Wenn ein Zug mit hoher Geschwindigkeit in einen Tunnel einfährt, denken die Fahrgäste nicht an die Signaltechnik, Kommunikationsnetze und Steuerungssysteme, die ihn leiten. Sie vertrauen einfach darauf, dass jemand, irgendwo, dafür gesorgt hat, dass diese Systeme sicher sind. Genau diese Annahme macht es gefährlich, wenn sie sich als falsch erweist.

Als Verkehrsökonom habe ich einen Großteil meiner Karriere damit verbracht, die Infrastruktur zu erforschen, die es Menschen und Gütern ermöglicht, sich zu bewegen. Eine Lektion gilt weit über den Verkehr hinaus: Ein Netzwerk ist nur so stark wie die kritischen Systeme, die ihm zugrunde liegen.

Die unsichtbare Infrastruktur

Europas digitale Infrastruktur ist da keine Ausnahme. Jedes Mal, wenn ein Krankenhaus eine Patientenakte abruft, ein Hafen eine Sendung abwickelt, eine Fabrik die Produktion koordiniert oder ein Eisenbahnbetreiber den Verkehr steuert, ist eine unsichtbare digitale Kette am Werk. Vernetzungsnetze, Rechenzentren, Cloud-Dienste und Software bilden heute das Fundament fast aller wesentlichen Aktivitäten in unseren Gesellschaften.

• EU startet Aufruf für sieben „Gigafactories“ zur Entwicklung KI-Technologien der nächsten Generation

Wenn diese Systeme kompromittiert werden, bleiben die Folgen nicht digital. Züge können zum Stillstand kommen. Zahlungen können fehlschlagen. Öffentliche Dienste können unzugänglich werden. Unternehmen können sensible Informationen verlieren. Als die schwedische Regierung Anfang dieses Jahres bestätigte, dass ein Cyberangriff auf ein Heizkraftwerk von einer prorussischen Gruppe mit Verbindungen zum russischen Geheimdienst verübt worden war, und als ein koordinierter Angriff auf Polens Stromnetz im vergangenen Dezember kritische Steuerungssysteme beschädigte, war die Botschaft eindeutig: Digitale Bedrohungen reichen bereits in unsere physische Welt hinein.

Das Ende der Unschuld

Jahrzehntelang beruhte die europäische Politik auf der vernünftigen Annahme, dass größere wirtschaftliche Interdependenz Wohlstand und Stabilität hervorbringe. Europa hat enorm von offenen Märkten und globalem Handel profitiert. Wir sollten diese Errungenschaften nicht aufgeben. Doch das geopolitische Umfeld hat sich verändert.

• Cyberangriff trifft Liechtensteins Geldwäsche-Datenregister, teilt Vaduz mit

Russlands Krieg gegen die Ukraine hat Europa auf harte Weise gelehrt, dass strategische Abhängigkeiten ausgenutzt werden können. Chinas Entwicklung ist weniger offenkundig, erfordert aber ebenso viel Aufmerksamkeit: Seine Unternehmen operieren unter Gesetzen, die eine Zusammenarbeit mit staatlichen Nachrichtendiensten auf Verlangen vorschreiben, ohne Widerspruchsrecht und ohne unabhängige gerichtliche Kontrolle. Chinesische staatlich unterstützte Gruppen haben dokumentierte Kampagnen gegen europäische Außenministerien, Cloud-Infrastrukturen und kritische Systeme durchgeführt, in Operationen, die darauf abzuzielen scheinen, Zugriffsmöglichkeiten für die künftige Nutzung zu schaffen.

Die Lektion lautet nicht, dass internationaler Handel gefährlich ist. Sondern dass nicht jede Abhängigkeit kommerziell neutral ist.

Nicht alle Lieferanten sind gleich

Ein Lieferant von Büromöbeln und ein Lieferant, der wesentliche Komponenten in einem Mobilfunknetz kontrolliert, schaffen nicht dasselbe Risiko. In sensiblen digitalen Systemen sind Eigentumsverhältnisse, rechtliches Umfeld, Governance und Aussetzung gegenüber staatlichem Druck eines Lieferanten entscheidend. Genauso wie seine Fähigkeit, remote auf Daten zuzugreifen, Software-Updates bereitzustellen oder Geräte nach der Installation zu beeinflussen.

Europa muss aufhören, so zu tun, als seien diese Faktoren für die Beschaffung irrelevant. Vertrauen in einen Lieferanten ist keine Frage von Branding oder diplomatischer Präferenz. Es ist zunehmend eine Sicherheitsanforderung.

Drei Prüfsteine für Europa

Die Überarbeitung des EU-Cybersicherheitsgesetzes, die die Europäische Kommission Anfang dieses Jahres vorgelegt hat, ist das richtige Instrument, um die Sicherheit digitaler Lieferketten anzugehen. Nun sind das Europäische Parlament und der Rat am Zug, sie weiterzuentwickeln. Drei Prinzipien sollten ihre legislatorische Arbeit leiten.

Erstens braucht Europa Kohärenz. Cyberbedrohungen machen an den nationalen Grenzen innerhalb der EU nicht halt, doch die Entscheidung, europäische Telekommunikationsnetze mit Hochrisiko-Lieferanten aus China aufzubauen, ist nach wie vor eine Entscheidung, die jeder Mitgliedstaat für sich treffen kann. Das schwächt die Sicherheit und schadet dem Binnenmarkt. Eine in einem Mitgliedstaat akzeptierte Schwachstelle kann Folgen für andere haben.

• Europa vereint sich, um souveräne Cloud- und KI-Infrastruktur aufzubauen, um die Abhängigkeit von den USA zu beenden

Zweitens muss der Rahmen verhältnismäßig sein. Das bedeutet, europäische digitale Netze sollten dort die stärksten Schutzvorkehrungen haben, wo ein Ausfall den größten Schaden verursachen würde. Die Kernvernetzungsinfrastruktur verdient besonders strengen Schutz, weil jeder andere kritische Sektor von ihr abhängt. Mit einer Untertreibung: Es ist besser, unsere Krankenhäuser und Atomkraftwerke nicht auf Netzen von Lieferanten zu betreiben, denen wir nicht zu 100 Prozent vertrauen können.

Drittens muss Europa mit Tempo handeln. Ein Rahmen, der Jahre braucht, um operational zu werden, wird von Technologie und Ereignissen überholt. Das ist nicht Europas Stärke, aber Unternehmen brauchen Rechtssicherheit, um zu investieren und Ausrüstung zu ersetzen. Regierungen brauchen durchsetzbare Fristen.

Sicherheit ist nicht Protektionismus

Europa sollte offen für Investitionen und globale Zusammenarbeit bleiben, aber nur mit vertrauenswürdigen Partnern. US-amerikanische und chinesische Unternehmen sind nicht strategisch gleichwertig: Amerikanische Firmen sind rechtlich vom Staat getrennt und können staatliche Entscheidungen anfechten, während chinesische Firmen gezwungen werden könnten, Parteistaats-Ziele zu dienen, ohne unabhängigen gerichtlichen Schutz.

• Die Probleme der 500 Milliarden Euro schweren europäischen Datenwirtschaft halten an

Europa sollte seine Abhängigkeit von US-Technologie managen, nicht mit der Abhängigkeit von hochriskanten chinesischen Anbietern verwechseln. Diese Unterscheidung ist wichtig, weil Europa sich nicht gleichzeitig von jedem Handelspartner isolieren kann. Das Ziel ist nicht, Offenheit aufzugeben, sondern sie sicher zu machen.

Im Verkehr hindern Sicherheitsstandards Züge nicht daran, Grenzen zu überqueren; sie gewährleisten, dass sie dies sicher tun können. Europas digitale Wirtschaft sollte nach demselben Prinzip funktionieren: offene Strecken, gemeinsame Sicherheitsvorkehrungen und nur vertrauenswürdige Betreiber im Stellwerk.

Ein sicherer Binnenmarkt ist nötig, um die Größe zu haben, für Investitionen attraktiv zu sein, aber gleichzeitig die Sicherheit zu wahren, um eine langfristige Entwicklung des Marktes zu ermöglichen.

Andrea Giuricin ist Adjunct Professor für Verkehrsökonomie an der Universität Mailand-Bicocca und CEO von TRA Consulting. Er berät die Weltbank und die Vereinten Nationen.