Sybilla Nitsch

Sehr geehrte Präsidentin! Liebe Kolleginnen! Liebe Kollegen! Cyberangriffe sind keine Seltenheit. Die Angriffe oder Eingriffe in unsere Systeme werden immer vielfältiger. Wir merken das nicht zuletzt auch daran, wie oft wir im Landtag über die Prävention oder das schnelle Handeln sprechen, das nach schwerwiegenden Cyberangriffen notwendig wäre. Die Koalitionsfraktionen fordern die Einrichtung eines nationalen Cyber Incident Review Boards. Das Prüfen findet sich bei diesem Antrag schon in der Überschrift wieder. Das ist einmal etwas Neues. Die Landesregierung soll sich für die Prüfung und Schaffung eines solchen Gremiums einsetzen und dann im Bundesrat aktiv werden. Ich gehe davon aus, wenn so ein Gremium gefordert ist, dass es darum geht, dass man Wissen davon hat, dass Lücken in der Bewältigung und Aufarbeitung von Cyberangriffen zu identifizieren sind. In dieser Hinsicht stellen sich für mich besondere Fragen, wo es sich lohnen würde, die mit Experten im Ausschuss zu beleuchten. Die Koalitionsfraktionen skizzieren das australische Modell, einen Sicherheitsausschuss oder eine Institution auf nationaler Ebene einzurichten, um nach einem gewichtigen Cyberangriff eine unabhängige Untersuchung vornehmen zu können. Auch ich finde es grundsätzlich wichtig, systematisch aus diesen Angriffen zu lernen und für kommende Szenarien gerüstet zu sein. Weil das BSI, Bundesamt für Sicherheit in der Informationstechnik, sowie das Cyber-AZ, Nationales Cyber-Abwehrzentrum, oft dem Quellenschutz unterliegen, sprechen sich Be- (Sybilla Nitsch) fürworter dafür aus, einen unabhängigen Ausschuss zu bilden, um die Transparenz und Ursachen in den Blick zu nehmen. Ein CIRB würde auch Akteure aus der Privatwirtschaft und Wissenschaft einbinden. Das erachte ich für sinnvoll, da die Systeme von Cyberangriffen auch in der Privatwirtschaft analysiert werden. Aber ich sehe da einige Hürden. Wie ist ein solches Gremium in unserem föderalen System zu integrieren? Darauf habe ich bisher keine Antwort gehört. Müsste es in allen Bundesländern eingerichtet werden? In Ihrem Antrag gehen Sie ein wenig auf die Rolle Schleswig-Holsteins ein, aber es lässt sich nichts richtig ableiten. Eines muss klar sein, das hat auch der Kollege Buchholz schon gesagt: Wir müssen Doppelstrukturen vermeiden. Bevor ich diesem Antrag aus Überzeugung zustimmen würde, wäre es sinnvoll, dass wir die vielen vorhandenen Fragen mit Experten im Ausschuss auswerten. Vor diesem Hintergrund beantrage ich die Überweisung an den Innen- und Rechtsausschuss. Ich möchte beleuchten, was bereits in den bestehenden Netzwerken geschieht und ob es Lücken in der Aufklärung gibt. In die Bewertung muss auch einfließen, welche Erkenntnisse aus den Erhebungen für den Cyber Resilience Act, CRA, einfließen und wie in dieser Struktur bereits gearbeitet wird. Wir müssen bewerten, ob das CyberAZ und das BSI schon entsprechende Ableitungen, Rückschlüsse und Handlungsempfehlungen erarbeiten. Vielleicht wäre es auch möglich, dem BSI ein schuldunabhängiges Untersuchungsmandat zu geben. Wenn wir in den vergangenen Monaten und Jahren über kritische Infrastruktur gesprochen haben, dann kamen verschiedene Töne aus der Koalition in unsere Richtung, wir sollten keine Verunsicherung in der Bevölkerung schaffen, wobei es uns darum ging, mit solchen Themen transparent für die Bürgerinnen und Bürger umzugehen und Fälle aufzuarbeiten und zu evaluieren. Das müsste auch hier gelten. Daher habe ich eingangs schon angemerkt, dass wir herausfinden müssen, ob der Bedarf wirklich besteht und ob Sie bei Ihrer Forderung davon ausgehen, dass in der Aufarbeitung tatsächlich Lücken bestehen; das finde ich verunsichernd. Unabhängigkeit und Transparenz sind beliebte Schlagwörter, aber ich muss auch fragen: Wer hat in so einem Ausschuss oder so einer Institution schlussendlich die Verantwortung? Wie steht es mit dem Datenschutz und den Betroffenenrechten? Berichte zu schreiben, reicht nicht aus. Am Ende muss kontrolliert werden, wie die Handlungsempfehlungen umgesetzt worden sind. Am Ende müssen wir uns auch darüber unterhalten, wie so ein Ausschuss oder eine Institution mit den Sicherheitsbehörden korrespondieren würde. Wenn wir uns die neuesten Reformvorhaben für den Verfassungsschutz und den Bundesnachrichtendienst angucken – darauf habe ich heute schon hingewiesen –, so werden die erweiterten Befugnisse mit der Bedrohungslage durch Cyberangriffe begründet. In der Logik würde ich das so verstehen, dass dann gewollt ist, die Ableitungen und Empfehlungen auch an diese Behörden weiterzuleiten, damit diese dann mit ihren neuen operativen Befugnissen agieren können.