Rechnungshof schlägt Alarm: Informationslücken und Verzögerungen schwächen Europas Cybersicherheit

Obwohl die Europäische Union zwischen 2021 und 2027 erhebliche finanzielle Mittel in Höhe von 1,4 Milliarden Euro bereitstellt, offenbart die europäische Verteidigung gegen schwerwiegende Cyberangriffe eklatante Schwachstellen. Zu diesem Urteil kommt ein aktueller Bericht des Europäischen Rechnungshofs (EHR), der Defizite beim Informationsaustausch, Verzögerungen beim Aufbau von Warnsystemen und mangelnde Kontrollen bei der Mittelvergabe anprangert.

Hemmschuh Informationsaustausch: Nationale Hürden und Unklarheiten

Als größtes Nadelöhr identifizieren die Prüfer den unzureichenden Informationsfluss zwischen den Mitgliedstaaten und den EU-Einrichtungen. Zwar regelt der 2025 verabschiedete Cyber-Konzeptentwurf die Aufgabenverteilung bei Großkrisen grundsätzlich, jedoch fehlt es an klaren Vorgaben für die Zusammenarbeit der beiden zentralen EU-Netzwerke:

• CSIRTs-Netzwerk: Zusammenschluss der nationalen Computer-Notfallteams zur operativen Abwehr.
• EU-CyCLONe: Netzwerk für das politische und strategische Krisenmanagement.

Zusätzlich erschweren Verzögerungen bei der nationalen Umsetzung der NIS-2-Richtlinie sowie streng geheim gehaltene Sicherheitsvorschriften der einzelnen Mitgliedstaaten die frühzeitige Erkennung von Bedrohungen.

„Bei einem schwerwiegenden Cybervorfall ist ein schneller Informationsfluss entscheidend. Ohne diese Informationen können die entsprechenden Netzwerke und Mechanismen deutlich weniger bewirken“, betont George-Marius Hyzler, das für die Prüfung zuständige Mitglied des Rechnungshofs.

Doppelstrukturen und fehlendes Frühwarnsystem

Neben Schnittstellenproblemen kritisieren die Prüfer unnötige Doppelarbeiten innerhalb der EU-Strukturen. So überschneiden sich Aufgaben des 2022 eingerichteten Cyber-Lagezentrums der EU-Kommission stellenweise mit den Kapazitäten der Europäischen Agentur für Cybersicherheit (ENISA).

Besonders schwer wiegt, dass das geplante europäische Warnsystem für Cybersicherheit zum Prüfungszeitpunkt noch nicht einsatzbereit war. Wegen Verzögerungen bei der Auftragsvergabe sowie fehlender Kooperationsvereinbarungen, Klassifizierungssysteme und technischer Standards sind die beiden Kernelemente des Systems – die Plattformen ATHENA und ENSOC – bislang nicht in Betrieb gegangen.

Sicherheitsrisiko bei Fördergeldern

Ein weiteres Risiko sieht der Rechnungshof bei der Kontrolle von Empfängern finanzieller Mittel aus dem Förderprogramm „Digitales Europa“. Bislang bewerten die Begünstigten selbst, ob ausländische Drittstaaten Einfluss auf ihre Eigentumsstrukturen ausüben. Da das Europäische Kompetenzzentrum für Cybersicherheit diese Angaben nicht systematisch überprüft, besteht die Gefahr, dass sensible Betriebsdaten oder kritische Sicherheitstechnologien in die Hände von Akteuren aus Nicht-EU-Ländern gelangen.

Der Rechnungshof fordert daher von den EU-Institutionen und Mitgliedstaaten eine rasche Beseitigung der Doppelstrukturen, die vollständige Inbetriebnahme der Frühwarnsysteme sowie eine striktere Überwachung der Mittelvergabe, um den EU-Binnenmarkt wirksam vor großflächigen Sabotageakten zu schützen.