CSS CYBER DEFENSE Nationale Cybersicherheits- strategien im Vergleich – Herausforderungen für die Schweiz Zürich, März 2019 Center for Security Studies (CSS), ETH Zürich Autoren: Marie Baezner, Sean Cordey Zusätzliche Recherche: Matteo Bonfanti, Robert Dewar, Jasper Frei und Fabien Merz Layout: Miriam Dahinden-Ganzoni © 2019 Center for Security Studies (CSS), ETH Zürich Kontakt: Center for Security Studies Haldeneggsteig 4 ETH Zürich CH-8092 Zürich Switzerland Tel.: +41-44-632 40 25 [email protected] www.css.ethz.ch Auftraggeber: Informatiksteuerungsorgan des Bundes ISB Studie verfasst von: Center for Security Studies (CSS), ETH Zürich ETH-CSS Projekt- und Qualitätsmanagement: Myriam Dunn Cavelty, stv. Leiterin CSS und Andreas Wenger, Direktor des CSS. Disclaimer: Die in dieser Studie wiedergegebenen Auffassungen stellen ausschliessliche die Ansichten der betreffenden Autorinnen und Autoren dar. Bitte zitieren als: Baezner, Marie; Cordey, Sean (2019): Nationale Cybersicherheits strategien im Vergleich – Herausforderungen für die Schweiz March 2019, Center for Security Studies (CSS), ETH Zürich. Inhalt Zusammenfassung 4 Einleitung 5 Cybersicherheitsstrategien im Vergleich 7 Wichtige Dokumente und ihre Entwicklung 8 Rollen und Verantwortlichkeiten 9 Beziehungen zwischen der zivilen und militärischen Domäne 10 Cybersicherheit in den Streitkräften 11 Die Rolle der Nachrichtendienste 11 Strafverfolgung 11 Wichtigste Herausforderungen 13 1) Integration (vertikal) 13 2) Koordination (horizontal) 13 3) Internationale Kooperation 13 4) Krisenmanagement 14 5) Lageanalyse 14 6) Bildung und Information sowie Aufbau von Kapazitäten 14 7) Öffentlich-private Partnerschaften 15 8) Gesetzgebung und Regulierung 15 Schlussfolgerung und Herausforderungen für die Schweiz 16 Anhang 18 Länderinformation Finnland 18 Länderinformation Frankreich 21 Länderinformation Deutschland 24 Länderinformation Israel 27 Länderinformation Italien 29 Länderinformation Niederlande 32 Nationale Cybersicherheits strategien im Vergleich – Herausforderungen für die Schweiz Zusammenfassung • die (vertikale) Integration nationaler Cybersicherheit in den Rahmen der nationalen Sicherheit und/oder Die digitale Transformation zeichnet sich als eine der gro- einer Gesamtstrategie, um nationale Ressourcen ssen Herausforderungen der kommenden Jahre ab. Sie möglichst effizient zu steuern; bietet nicht nur vielfältige Vorteile, sondern birgt auch neuartige Risiken und schafft neue Verwundbarkeiten. • die (horizontale) Koordination verschiedener Stellen, Eine Mehrheit von Staaten hat begonnen, diesen unter die sich um Cybersicherheit kümmern, wobei insbe- dem Stichwort der «Cybersicherheit» durch die Entwick- sondere die richtige Mischung zwischen Zentralisie- lung nationaler Strategien zu begegnen. Die Schweiz hat rung und Nutzung bestehender Kompetenzen zu 2018 ihre zweite «Nationale Strategie zum Schutz der finden ist; Schweiz vor Cyber-Risiken» (NCS) veröffentlicht, in der sie wichtige Herausforderungen identifiziert, Verantwort- • die Förderung internationaler Zusammenarbeit und lichkeiten umreisst und künftige Massnahmen skizziert. die Ausbildung internationaler Verhaltensnormen in Die vorliegende Studie vergleicht die Cybersicherheits- einem Umfeld, in dem sich geopolitische Verwerfun- strategien Deutschlands, Finnlands, Frankreichs, Israels, gen intensiviert haben; Italiens und der Niederlande, um den schweizerischen Ansatz in einen breiteren internationalen Zusammen- • die Schaffung solider und belastbarer Strukturen für hang zu stellen und in einem Vergleich die wichtigsten das Krisenmanagement, einschliesslich effizienter zukünftigen Herausforderungen zu eruieren. Krisenkommunikation, sowie die Entwicklung einer Im Zentrum stehen die Identifikation von Schlüs- guten Reaktionsfähigkeit auf schwerwiegende selstrategien, die Beschreibung von Hauptakteuren und Vorfälle, die diesen Kommunikationsaspekt berück- ihren Aufgabenfeldern (insbesondere die Aufgabenver- sichtigt; teilung zwischen zivilen und militärischen Behörden in den Bereichen «Sicherheit», «Verteidigung» und «Straf- • ein adäquates Lagebild und eine präzise Bedrohungs- verfolgung») und die Identifikation von generellen Her- analyse, die überzogenen Beurteilungen von Cyberbe- ausforderungen bei der Organisation nationaler Cybersi- drohungen gegenüber immun sind – trotz der cherheitspolitiken. Schwierigkeit, zuverlässige Daten zu sammeln; Die Cybersicherheitsstrategien weisen viele kon- zeptionelle Gemeinsamkeiten auf. Ihnen sind insbeson- • der Aufbau von Kapazitäten und die Ausgestaltung dere sechs zentrale Aspekte gemeinsam: der holistische zukünftiger Bildungsangebote, um dem Personal- Ansatz, welcher sowohl nationale Sicherheit als auch so- mangel in der Cybersicherheit zu begegnen; zioökonomische Anliegen umfasst; Verbindungen zu umfassenderen nationalen Sicherheitsstrategien; der • ein Kooperationsrahmen mit der Privatwirtschaft, der zentrale Fokus auf die Entwicklung defensiver Cyberfä- Innovation nicht hemmt, aber nationale Sicherheit higkeiten; der hohe Stellenwert der internationalen Ko- fördert sowie operation; die Betonung der notwendigen Zusammenar- beit mit dem Privatsektor und schliesslich die Notwen- • die Harmonisierung der Gesetzgebung und effiziente digkeit umfassenderer Sensibilisierung, Bildung und Strategien zur Bekämpfung von Cyberkriminalität. Information. Die wichtigsten Unterschiede zwischen den un- Auch die Schweiz ist ebendiesen Herausforderungen aus- tersuchten Ländern sind, wo Cybersicherheit im Rahmen gesetzt. Ein kleiner, aber wohlhabender Staat wie die staatlicher Strukturen angesiedelt wird und wer welche Schweiz sollte gewährleisten, dass er ausreichend Mittel Verantwortlichkeiten trägt. Dies betrifft das Ausmass der in die Cybersicherheit investiert, ohne die Reichweite und Zentralisierung, die Beziehung zwischen zivilen und mili- Rolle des Staats zu sehr auszudehnen, wenn er seine Zu- tärischen Kräften und die Aufgaben von Nachrichten- kunft in der digitalen Welt sichern möchte. Hierfür ist ei- diensten und Stellen der Strafverfolgung. Die Gründe für nerseits erforderlich, dass alle Teile der Regierung auf die Unterschiede fussen grossmehrheitlich auf der politi- dasselbe übergeordnete Ziel hinarbeiten. Andererseits schen Kultur und der Organisation der politischen Syste- bietet sich eine besondere Berücksichtigung des Kapazi- me. tätsaufbaus und der Ausgestaltung von Bildungsangebo- Angesichts eines globalen Bedrohungsumfelds ten als wohl fruchtbarster Ansatz an. stehen vergleichbare Staaten bei der Entwicklung, Um- setzung oder Aufrechterhaltung ihrer Strategien ver- gleichbaren Herausforderungen gegenüber. Wir haben acht solche Herausforderungen identifiziert: 4 Nationale Cybersicherheits strategien im Vergleich – Herausforderungen für die Schweiz Einleitung Cybersicherheit in sechs Ländern, um diese Bemühungen in Kontext zu setzen und zu validieren:1 Länder in aller Welt sind bemüht, digitale Transformati- onsprozesse so zu gestalten, dass sie die Chancen dieses • Finnland, technologisch gesteuerten Wandels für ihre Gesellschaf- ten jeweils optimal nutzen können. Allerdings beinhaltet • Frankreich, die Verbreitung digitaler Technologien auch Risiken. Ihr technischer Unterbau ist aufgrund von technischen, wirt- • Deutschland, schaftlichen und politischen Faktoren unsicher und für eine Nutzung für kriminelle oder politische Zwecke anfäl- • Israel, lig. In Anbetracht der wachsenden Zahl interessanter Zie- le und der aufgrund von starker Nachfrage immer ausge- • Italien und reifteren Fertigkeiten und Kompetenzen sind spektakulä- re, kriminell motivierte Cyberverbrechen und die • die Niederlande. strategische Nutzung des Cyberspace zur alltäglichen Re- alität geworden. Dieser Vergleich konzentriert sich insbesondere auf: Es ist daher unerlässlich, sich den Herausforderun- gen der Cybersicherheit zu stellen, wenn die digitale a die Art und den Inhalt wichtiger Strategien, Transformation erfolgreich verlaufen soll. Die meisten Staaten überarbeiten folglich ihre Cybersicherheitsstra- b die Rolle und Verantwortlichkeiten der wichtigsten tegien, um besser auf die Risiken vorbereitet zu sein, die Akteure und Stellen (Strafverfolgung, Militär, Nach- sich in einem immer enger vernetzten und zugleich im- richtendienste und zivile Stellen) sowie mer stärker politisierten und militarisierten Umfeld ab- zeichnen. Die zu bewältigenden Herausforderungen sind c die Herausforderungen, denen diese Staaten hinsicht- nicht ausschliesslich technischer Natur: Gross angelegte lich der Cybersicherheit ausgesetzt sind. wirtschaftliche oder politische Cyberspionage, strategi- sche Beeinflussungskampagnen und die Gefährdung kri- Diese Studie baut auf primären Quellen wie öffentlichen tischer Infrastrukturen von nationaler Bedeutung sind nationalen Cybersicherheits- und Cyberabwehrstrategi- alles sicherheitspolitisch relevante Themen. en sowie auf sekundären Quellen wie Medienartikeln Die genaue Rolle des Staats und seiner Verwal- und wissenschaftlicher Forschung auf. Alle der herange- tung in der Cybersicherheit muss allerdings in einem po- zogenen Dokumente sind öffentlich verfügbar. Es ist litischen Prozess bestimmt und sorgfältig definiert wer- wichtig, den Kontext und die Ziele dieser Dokumente zu den. Kritische Infrastrukturen befinden sich hauptsächlich verstehen, die bestimmten Einschränkungen unterlie- in den Händen privater Akteure. Der Cyberspace kann als gen: Allgemeingut bezeichnet werden, dessen Dynamik oder Nutzung von einem ganzen Ökosystem staatlicher und • Erstens sagen nationale