Cyber

Der Regierungsplan zum Umgang mit Cyber- und digitalen Krisen legt fest, wie die Regierung im Falle von Cyber- oder digitalen Krisen vorgeht, die die lebenswichtigen Interessen oder die grundlegenden Bedürfnisse des gesamten Landes oder eines Teils davon bzw. seiner Bevölkerung beeinträchtigen, insbesondere im Falle eines schwerwiegenden nationalen Cybersicherheitsvorfalls oder einer schwerwiegenden nationalen Cyberbedrohung, sowie deren Ziele, Akteure und die zuständigen Stellen.

Die Hauptziele des Plans sind:

• Stärkung der Vorsorge, Prävention und des Schutzes vor Cyber- und digitalen Risiken;
• Bestimmung der für eine wirksame nationale Koordinierung erforderlichen Leitlinien der Regierungsführung und der Krisenmanagementgremien;
• Bestimmung allgemeiner Verfahren für die Reaktion auf Krisensituationen und deren Bewältigung sowie der jeweiligen Rollen der beteiligten Akteure;
• Bestimmung des Rahmens für die Verbreitung von Warnmeldungen der Behörden und Informationen an die Öffentlichkeit.

Ein Cyber-Notfall bezeichnet eine Situation, die sich aus einem Vorfall oder einem Angriff ergibt, die wesentliche Störungen bzw. die Nichtverfügbarkeit der Kommunikations- und Infomationsverarbeitungssysteme mit sich bringen können, welche eine Gefahr für die lebenswichtigen Interessen oder die wesentlichen Bedürfnisse eines Teils des Landes oder des ganzen Landes bzw. der Bevölkerung des Großherzogtums darstellen.

Unter Cybersicherheit versteht man die Maßnahmen, die zum Schutz von Netzwerken und Informationssystemen, der Nutzer dieser Systeme sowie anderer Personen, die Cyberbedrohungen ausgesetzt sind, erforderlich sind.

Die allgemeinen Ziele in Sachen Sicherheit sind:

• Verfügbarkeit ;
• Integrität (die Authentizität und Verbindlichkeit/Nichtabstreitbarkeit einschließen kann) ;
• Vertraulichkeit.

Die Umsetzung des unter der Leitung des Hohen Kommissariats für nationalen Sicherheit (HCPN) ausgearbeiteten Plans obliegt dem Premierminister.

Alle Ministerien, Behörden und staatlichen Dienststellen sind verpflichtet, mit allen verfügbaren Mitteln an der Verwirklichung der im „Plan“ festgelegten Ziele mitzuwirken.

Der Regierungsplan bestimmt in einer Notfallsituation die folgenden für die Krisenbewältigung zuständigen Organe:

• Krisenstab (Cellule de crise, CC) ;
• Cyber-Einsatzzenttale (PCO-C) ;
• Bewertungsstelle der Cyberbedrohung (Cellule d’évaluation du risque cyber, CERC) ;
• Stelle für Kommunikation und Information (Cellule communication/information, CCI).

Der Krisenstab (Cellule de crise, CC) wird vom Premierminister aktiviert, wenn eine Krise bevorsteht oder eintritt. Er verfügt, koordiniert und überwacht die Ausführung aller Maßnahmen zur Bewältigung der Krise und ihrer Auswirkungen bzw. zur Wiederherstellung des Normalzustandes. Er bereitet die anstehenden strategischen Entscheidungen vor und legt sie der Regierung zur Genehmigung vor. Im Falle eines Einsatzes erweitert sich seine Aufgabe um die Koordination und Kontrolle der Ausführung dieses Einsatzes.

Im Rahmen einer Notsituation setzt sich der Krisenstab mindestens aus folgenden Personen zusammen:

• dem Hochkommissar für nationale Sicherheit ;
• dem Generalsekretär der Rgeirung ; 
• dem Generaldirektor der Polizei ;
• dem Direktor des luxemburgischen Nachrichtendienstes ;
• dem Generalstabschef der Armee ;
• dem Direktor des Zentrums für Informationstechnologien des Staates (Centre des technologies de l'information de l'État, CTIE) ;
• dem Direktor der ministeriellen Abteilung für Medien, Konnektivität und digitale Politik (Service des médias et des communications) ;
• dem Direktor der Luxemburgischen Regulierungsbehörde;
• einem Vertreter des Wirtschaftsministeriums
• einem Vertreter des Ministerums für Digitalisierung.

Der Krisenstab (Cellule de crise, CC) ist während der gesamten Dauer der Krise bis zur Wiederherstellung des Normalzustands tätig: er verfügt, koordiniert und überwacht die Ausführung aller Maßnahmen zur Bewältigung der Krise und ihrer Auswirkungen bzw. zur Wiederherstellung des Normalzustandes.

Die Stelle zur Bewertung von Cyberrisiken (CERC) ist mit der Analyse, Bewertung und Nachverfolgung von Cybersicherheitsvorfällen und Cyberbedrohungen betraut. Sie sorgt für eine verstärkte Überwachung, bewertet die Schwere und die potenziellen Auswirkungen der Vorfälle und spricht gegebenenfalls Empfehlungen aus, insbesondere im Hinblick auf den Übergang in den „Krisenmodus“.

Die Stelle für Kommunikation und Information (CCI) ist für die Kommunikation und die Information gegenüber den Medien und den Bürgern zuständig. Sie ist verantwortlich für die öffentliche und institutionelle Kommunikation und gewährleistet eine klare, kohärente und koordinierte Information für Bürger, Medien und Interessengruppen.

Die horizontale Koordination der externen Kommunikation obliegt dem Dienst für Krisenkommunikation des HCPN, insbesondere um Falschinformationen vorzubeugen und die Kohärenz der verbreiteten Botschaften zu gewährleisten.

Grundsätzlich wird die Stelle für Kommunikation und Information (CCI) parallel zum Krisenstab einberufen.

Offizielle Informationen werden über die institutionellen Kanäle der Regierung verbreitet, insbesondere über das Portal www.infocrise.lu. Je nach Art, Schwere und Dringlichkeit der Situation kann die Regierung auf das nationale Bevölkerungswarnsystem „LU Alert“ zurückgreifen, das eine schnelle und gezielte Verbreitung wichtiger Informationen ermöglicht. Aktuelle Warnmeldungen werden über die Website www.lu-alert.lu, die mobile App „LU-Alert“ und, falls erforderlich, per standortbezogener SMS oder über Cell-Broadcast-Meldungen verbreitet.

Der Regierungsplan gibt den für seine Ausführung zuständigen Behörden und Personen die nötigen Instrumente an die Hand, um angemessen und flexibel auf die Ereignisse reagieren und die Bürger bzw. die betroffenen Sektoren, ihre lebenswichtigen Interessen und die nationalen wirtschaftlichen Interessen bestmöglich schützen zu können.

Im Plan sind unterschiedliche Maßnahmen vorgesehen:

• Bewerung;
• Verstärkte Wachsamkeit ;
• Systemaufrüstung und Schutz;
• Wiederherstellung der Dienste.

Die Bewertung ist der erste Schritt im Krisenmanagementzyklus. Sie dient dazu, die Dringlichkeit des Ereignisses, sein Ausmaß und seine tatsächlichen oder potenziellen Auswirkungen auf die lebenswichtigen Interessen oder Grundbedürfnisse des gesamten Landes oder eines Teils davon oder seiner Bevölkerung zu beurteilen.

Die verstärkte Wachsamkeit umfasst Maßnahmen, die bei einer Situation mit erhöhtem Risiko ergriffen werden, insbesondere die Analyse der verfügbaren Informationen und die kontinuierliche Bewertung des Situationsverlaufs.

Diese Maßnahme zielt darauf ab, das Risiko der Ausnutzung technischer Schwachstellen zu begrenzen, und kann auf Empfehlung der PCO-C und nach Entscheidung des Krisenstabs zur Umsetzung geeigneter Schutz- oder Begrenzungsmaßnahmen führen.

Die Wiederherstellung der Dienste ermöglicht die schrittweise Wiederaufnahme der betroffenen Aktivitäten gemäß festgelegten Prioritäten, bis eine normale und stabile Situation wiederhergestellt ist.

Das Hochkommissariat für den nationalen Schutz trägt in seiner Funktion als ANSSI zur Informationssicherheitspolitik des Staates bei, unterstützt die Verwaltungen bei der Umsetzung und gibt Empfehlungen zur Informationssicherheit ab. Er legt gemeinsam mit den Verwaltungen einen Ansatz für das Risikomanagement fest, berät bei Schulungsprogrammen zur Informationssicherheit, fördert die Informationssicherheit durch Sensibilisierungsmaßnahmen, berät öffentliche Einrichtungen und kritische Infrastrukturen und sorgt als TEMPEST-Behörde für die Einhaltung der Vorschriften in den als Verschlusssachen eingestuften Netzen und Informationssystemen.

GOVCERT.LU ist die zentrale Kontaktstelle für alle Arten von IT-Vorfällen, die die Informationssysteme der Regierung und anderer als kritisch eingestufter öffentlicher oder privater Infrastrukturbetreiber gefährden könnten.

Die Plattform zur nationalen Förderung der Cyber-Sicherheit SECURITYMADEIN.lu, die am 8. Juni 2015 online geschaltet wurde, ist eine Initiative der wirtschaftlichen Interessenvereinigung „Security made in Lëtzebuerg“ (SMILE), die im Jahre 2010 vom Ministerium für Wirtschaft damit beauftragt wurde, die Informationssicherheit in Luxemburg zu fördern und zu stärken.

SECURITYMADEIN.lu verfolgt die vier folgenden Ziele:

• Koordinierung der Initiativen der Regierung wie BEE SECURE (Sensibilisierung der breiten Öffentlichkeit) und CIRCL (Dienste für Koordinierung und Maßnahmen nach Zwischenfällen) ;
• Unterstützung und Erhöhung des Bekanntheitsgrads der Sensibilisierungs- und Hilfsmaßnahmen dieser verschiedenen Initiativen bei den jeweiligen Zielgruppen ;
• Unterstützung der gesamten Gemeinschaft der Informationssicherheit ;
• Entwicklung eines Ökosystems für Cyber-Sicherheit, das den Bekanntheitsgrad der luxemburgischen Akteure und Dienste im Bereich Informationssicherheit erhöhen soll.

BEE SECURE wurde am 8. November 2010 ins Leben gerufen und ist eine gemeinsame Initiative des Ministeriums für Wirtschaft, des Ministeriums für Familie, Integration und die Großregion und des Ministeriums für Bildung, Kinder und Jugend. Sie umfasst Sensibilisierungsmaßnahmen im Hinblick auf eine sicherere Nutzung der neuen Informations- und Kommunikationstechnologien.

Ziel des Programms Safer Internet Plus der Europäischen Kommission ist es, die Bürger Europas zu ermutigen, die neuen Informations- und Kommunikationstechnologien sicher und vertrauensvoll zu nutzen.

Im Einklang mit dieser Politik sind die wesentlichen strategischen Pfeiler des Programms Safer Internet Plus sowie des Projekts BEE SECURE als Teil dieses Programms:

• die Förderung einer sichereren Nutzung des Internet und der derzeitigen Kommunikationstechnologien, besonders bei jungen Nutzern,
• dieSchulung der Nutzer in diesem Bereich, und vor allem von Kindern, Jugendlichen, Eltern, Lehrern und Erziehern,
• die Bekämpfung illegaler Inhalte und gefährlicher Verhaltensweisen im Netz.

Beim Computer Incident Response Center Luxembourg (CIRCL) handelt es sich um eine Initiativender Regierung für die Privatwirtschaft, die Gemeinden und die nichtstaatlichen Einrichtungen, die als Zentrum für die systematische Reaktion auf Bedrohungen und Zwischenfälle im Zusammenhang mit der Datensicherheit dienen soll.

Ziel des CIRCL ist es, optimalen Schutz für Informations- und Kommunikationssysteme zu bieten, wobei gleichzeitig ein Alarm- und Warnsystem für die Nutzer in Luxemburg gewährleistet wird.

Da jede Cyber-Krise von internationalem Umfang sein kann, ist eine internationale Zusammenarbeit garantiert und internationale Unterstützung ist sowohl auf Ebene der CERT als auch im Rahmen der internationalen Organisationen, in denen Luxemburg Mitglied ist (Europäische Union, Benelux, NATO, UNO, OSZE), möglich.