Japans Regierung hat erstmals umfassende Entwurfsrichtlinien zur Cybersicherheit kritischer Infrastruktur vorgelegt. Der Katalog umfasst 150 Maßnahmen für 15 Sektoren – von Cybersicherheitsversicherung über den Verzicht auf Lösegeldzahlungen bis zur Einführung Post-Quanten-Kryptografie bis 2035. Die finale Fassung soll Ende September erscheinen.
Die japanische Regierung hat Entwurfsrichtlinien vorgelegt, die Unternehmen der kritischen Infrastruktur zu deutlich härteren Cybersicherheitsstandards verpflichten sollen. Der Katalog umfasst 150 Maßnahmen und richtet sich an Betreiber in 15 Sektoren – von Finanzen über Bahn und Stromversorgung bis hin zu Postdiensten. Die Regierung will die finale Version bis Ende September veröffentlichen [1].
15 Sektoren, ein gemeinsamer Standard
Die Richtlinien betreffen Unternehmen in 15 Bereichen, die die Regierung als kritische Infrastruktur einstuft. Dazu zählen unter anderem Finanzwesen, Eisenbahn und Elektrizität; die Postdienste sollen im Oktober hinzukommen [1]. Die Regierung hofft, dass Branchenverbände und Behörden die Leitlinien künftig als Grundlage für eigene Sicherheitsstandards nutzen [1].
Der Entwurf stellt klar, dass auch geschlossene Netze ohne Internetanbindung nicht automatisch sicher seien. Angesichts einer Serie jüngster Ransomware-Angriffe werden die betroffenen Unternehmen aufgefordert, unter anderem eine Cybersicherheitsversicherung abzuschließen [1].
Cybersicherheit als Überlebensfrage
Die Regierung beschreibt Cybersicherheit in dem Entwurf als „Managementthema, das für das Überleben eines Unternehmens entscheidend sein kann“ [1]. Zugleich räumt sie ein, dass ein vollständiger Schutz vor Cyberangriffen kaum möglich sei. Die Unternehmen in den betroffenen Sektoren werden daher aufgefordert, ihre Fähigkeit zur Wiederherstellung nach einem Angriff zu verbessern und sich auf mögliche Systemausfälle vorzubereiten [1].
Der Entwurf warnt ausdrücklich vor „Selbstüberschätzung“: Unternehmen sollten sich nicht in Sicherheit wiegen, nur weil ihre Systeme geschlossene Netze, spezielle Betriebssysteme oder eigene technische Spezifikationen nutzen [1].
Versicherung ja, Lösegeld nein
Zu den konkreten Empfehlungen gehört der Abschluss einer Cybersicherheitsversicherung, um die möglicherweise massiven finanziellen Folgen von Ransomware-Angriffen abzufedern. Gleichzeitig werden die Unternehmen aufgefordert, keine Lösegelder zu zahlen [1].
Damit folgt Japan einer Linie, die auch in den USA und der EU zunehmend verbreitet ist: Zahlungen an Erpresser gelten als kontraproduktiv, weil sie das Geschäftsmodell der Angreifer finanzieren und weitere Attacken wahrscheinlicher machen.
KI-gestützte Angriffe und Quantencomputer
Der Entwurf reagiert auch auf neue Bedrohungslagen. Um Angriffe abzuwehren, die mit fortgeschrittenen KI-Modellen durchgeführt werden, fordert das Papier eine rasche Stärkung der Verteidigungsmaßnahmen – unter anderem durch den Einsatz ebenfalls hochentwickelter KI-Systeme [1].
Angesichts der Fortschritte bei der Entwicklung von Quantencomputern ruft der Entwurf zudem zur Einführung der Post-Quanten-Kryptografie (PQC) auf, die als schwer zu knacken gilt – und zwar möglichst bis 2035 [1]. Damit reiht sich Japan in eine internationale Bewegung ein: Auch die US-Regierung und die EU-Kommission haben für die Ablösung klassischer Verschlüsselungsverfahren wie RSA und ECC durch quantenresistente Algorithmen Fristen um das Jahr 2035 gesetzt [2].
Zeitplan und Anhörung
Die Regierung nimmt bis Mittwoch Stellungnahmen der Öffentlichkeit zu den Entwurfsrichtlinien entgegen. Auf Basis des Feedbacks soll der Entwurf überarbeitet und die endgültige Fassung bis Ende September veröffentlicht werden [1].
Die Richtlinien sind Teil einer breiteren Anstrengung Tokios, die Cyberabwehr zu stärken. Erst im Juli hatte Premierministerin Sanae Takaichi bei einer Sitzung zur Cybersicherheit die Hoffnung geäußert, Japan solle „eine der höchsten Cyberverteidigungen der Welt“ aufbauen [3]. Die neue Initiative für kritische Infrastruktur ist ein weiterer Baustein dieser Strategie – und dürfte angesichts der wachsenden Bedrohungslage auch international aufmerksam verfolgt werden.