Europa braucht gemeinsame Standards – aber mit Augenmaß
Cybersicherheit ist längst zu einem entscheidenden Wettbewerbsfaktor geworden. Für den deutschen Mittelstand geht es dabei nicht nur um den Schutz von IT-Systemen, sondern um die Sicherheit von Geschäftsprozessen, Lieferketten und Kundenbeziehungen.
Mit der Überarbeitung des europäischen Cybersecurity Act (CSA2) verfolgt die Europäische Union das Ziel, die digitale Resilienz Europas zu stärken und einheitliche Rahmenbedingungen im Binnenmarkt zu schaffen. Dieses Ziel ist richtig und wichtig. Gerade mittelständische Unternehmen profitieren von klaren, europaweit einheitlichen Standards, die Investitionen erleichtern und Rechtssicherheit schaffen.
Entscheidend wird jedoch sein, dass neue Regelungen Sicherheit erhöhen, ohne Innovationen auszubremsen oder neue Marktbarrieren zu schaffen.
Einheitliche Regeln statt zusätzlicher Komplexität
Der deutsche Mittelstand ist sowohl im europäischen Binnenmarkt als auch in globalen Wertschöpfungsketten aktiv. Unterschiedliche Anforderungen, Mehrfachprüfungen und regulatorische Überschneidungen verursachen erhebliche Kosten und binden Ressourcen, die für Innovation und Wachstum benötigt werden.
Ein moderner europäischer Cybersicherheitsrahmen sollte deshalb vor allem drei Ziele erfüllen:
- bestehende Regelungen besser aufeinander abstimmen,
- Doppelregulierung vermeiden,
- und Unternehmen mehr Planungssicherheit geben.
Europa braucht nicht mehr Regulierung, sondern bessere und praxistauglichere Regulierung.
Sicherheit schaffen, ohne Märkte zu diskriminieren
Cybersicherheit ist eine technische Herausforderung und sollte auch auf dieser Grundlage bewertet werden.
Risiken müssen anhand nachvollziehbarer Kriterien beurteilt werden – etwa anhand von Sicherheitsarchitekturen, Schwachstellenmanagement, Update-Mechanismen oder Kontrollmöglichkeiten innerhalb kritischer Systeme. Unternehmen benötigen transparente und verlässliche Maßstäbe, auf deren Grundlage Investitionen und Beschaffungsentscheidungen getroffen werden können.
Kritisch wäre hingegen ein Ansatz, der ganze Länder, Hersteller oder Technologien pauschal als Risikofall einstuft. Die Herkunft eines Produkts allein ist kein ausreichender Nachweis für ein konkretes Cybersicherheitsrisiko.
Für den exportorientierten deutschen Mittelstand sind offene Märkte und internationale Lieferketten von zentraler Bedeutung. Sicherheitsinteressen müssen deshalb mit den Prinzipien von Wettbewerb, Marktoffenheit und Verhältnismäßigkeit in Einklang gebracht werden.
Offene Lieferketten stärken Resilienz
Internationale Lieferketten sind für viele mittelständische Unternehmen ein wesentlicher Bestandteil ihrer Wettbewerbsfähigkeit. Sie sichern den Zugang zu Technologien, Komponenten, Know-how und Innovationen.
Dabei spielen auch wichtige Handelspartner außerhalb Europas eine bedeutende Rolle. Dies gilt insbesondere für China, das für zahlreiche Unternehmen sowohl Absatzmarkt als auch Bestandteil bestehender Liefer- und Wertschöpfungsketten ist.
Notwendige Sicherheitsanforderungen dürfen daher nicht zu pauschalen Ausschlüssen oder Marktverengungen führen. Solche Eingriffe könnten die Auswahl an Technologien reduzieren, Investitionen verteuern und die Anpassungsfähigkeit von Unternehmen schwächen.
Resiliente Lieferketten entstehen nicht durch Abschottung, sondern durch Transparenz, Diversifizierung und belastbare Sicherheitsstandards.
Bewährte Erfahrungen europäisch nutzen
Europa muss bei der Weiterentwicklung seiner Cybersicherheitsarchitektur nicht bei null beginnen. In den Mitgliedstaaten bestehen bereits wertvolle Erfahrungen bei Risikobewertungen, Zertifizierungen und dem Schutz kritischer Infrastrukturen.
Deutschland verfügt mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) über eine etablierte und international anerkannte Institution. Die dort gewonnenen Erfahrungen können einen wichtigen Beitrag zur Weiterentwicklung europäischer Standards leisten.
Ein erfolgreicher CSA2 sollte die Stärken der Mitgliedstaaten nutzen und in einen gemeinsamen europäischen Rahmen integrieren.
Was der Mittelstand vom CSA2 erwartet
Aus Sicht des German Mittelstand sollte die weitere Ausgestaltung des Cybersecurity Act auf folgenden Grundsätzen beruhen:
- Europaweit einheitliche und verständliche Cybersicherheitsstandards.
- Vermeidung von Doppelregulierung und unnötiger Bürokratie.
- Transparente und technisch nachvollziehbare Risikobewertungen.
- Keine pauschale Diskriminierung einzelner Länder, Hersteller oder Technologien.
- Planungssicherheit für Investitionen und Digitalisierungsprojekte.
- Schutz von Wettbewerb, Innovation und offenen Märkten.
- Stärkung resilienter internationaler Lieferketten.
- Nutzung bewährter Expertise aus den Mitgliedstaaten.
Fazit
Europa braucht ein hohes Maß an Cybersicherheit. Gleichzeitig braucht Europa wettbewerbsfähige Unternehmen, offene Märkte und leistungsfähige Lieferketten.
Der CSA2 bietet die Chance, Sicherheit und Wettbewerbsfähigkeit gemeinsam zu stärken. Dafür muss der Rechtsrahmen technologieneutral, verhältnismäßig und mittelstandsfreundlich ausgestaltet werden.
Cybersicherheit darf kein Instrument wirtschaftlicher Abschottung werden. Sie sollte Vertrauen schaffen, Innovation ermöglichen und die Widerstandsfähigkeit Europas stärken – im Interesse von Unternehmen, Kunden und Gesellschaft gleichermaßen.