Cybersecurity Coordinator und 72-Stunden-Meldung: was die TSA-Richtlinien von deutschen Konzernen verlangen

Problem in der Praxis

Deutsche Konzerne steuern Informationssicherheit häufig zentral aus Deutschland, mit deutschen CISOs und SOC-Teams. Unter den TSA-Richtlinien muss für die erfasste US-Gesellschaft mindestens ein US-Bürger als Koordinator benannt sein, und ein deutscher Koordinator braucht eine Mitgliedschaft in einem der genannten Programme. Zusätzlich muss der Konzern verhindern, dass Informationen, die nur an US-Personen gehen dürfen, auf Konzernsystemen landen, auf die deutsche Mitarbeiter zugreifen. Das berührt gemeinsame Ticketsysteme, E-Mail-Postfächer und Dokumentenablagen.

Bei Vorfällen kommt eine weitere Meldestelle hinzu: CISA, neben den Meldewegen nach deutschem und europäischem Recht. Wer nur die europäischen Fristen kennt, verpasst den US-Meldeweg.

CISO-Einordnung

Koordinator (SD Pipeline-2021-01G, Abschnitt II.B; gleichlautend in den Bahnserien):

• Benennung eines primären Koordinators und mindestens eines Vertreters auf Konzernebene.
• Mindestens einer ist US-Bürger und für eine Sicherheitsüberprüfung geeignet.
• Wird ein Nicht-US-Bürger benannt: Der US-Bürger ist Hauptkontakt für nachrichtendienstliche Cyberinformationen und muss Informationen empfangen können, die nicht mit Nicht-US-Personen geteilt werden dürfen; der Nicht-US-Bürger ist Mitglied von NEXUS, Global Entry oder einem anderen Programm, das TSA als hinsichtlich der Sicherheitsüberprüfung vergleichbar bestimmt hat; Verfahren stellen sicher, dass auf US-Personen beschränkte Informationen nicht an Nicht-US-Personen gelangen oder auf Systemen gespeichert werden, auf die Nicht-US-Personen zugreifen können.
• Meldung von Namen, Funktionen und Kontaktdaten aller Koordinatoren an TSA, bei Nicht-US-Bürgern mit Programmnummer; Aktualisierung binnen sieben Tagen nach Aufnahme neuer Tätigkeiten oder Änderungen.
• Aufgaben: Hauptkontakt zu TSA und CISA, Erreichbarkeit rund um die Uhr an allen Tagen, auch wenn die US-Regierung geschlossen ist, interne Koordination, Zusammenarbeit mit Strafverfolgung und Notfalldiensten.

Meldung von Vorfällen (Abschnitt II.C):

• Zu melden sind unter anderem unbefugte Zugriffe auf IT- oder OT-Systeme, Schadsoftware auf solchen Systemen, Denial-of-Service-Aktivitäten und sonstige Vorfälle, die zu einer Betriebsstörung führen oder führen können, bezogen auf Systeme, die der Betreiber betreibt oder wartet; nur die Pipeline-Richtlinie nennt zusätzlich physische Angriffe auf die Netzinfrastruktur des Betreibers als eigenen Tatbestand.
• Frist: so bald wie praktikabel, spätestens 72 Stunden nach Feststellung des Vorfalls.
• Weg: CISA Central (Online-Meldesystem oder Telefon); CISA teilt die Informationen mit TSA. Die nach der Richtlinie gemeldeten Informationen sind Sensitive Security Information.

Die Anforderung der Programmmitgliedschaft für Nicht-US-Bürger hat TSA laut Begleitschreiben mit SD Pipeline-2021-01G als inhaltliche Änderung in Abschnitt II.B.1 klargestellt.

Umsetzungsperspektive

• Koordinatorrolle besetzen: mindestens ein US-Bürger mit Eignung für eine Sicherheitsüberprüfung; deutsche Koordinatoren nur mit NEXUS, Global Entry oder gleichwertiger Mitgliedschaft.
• Informationsflüsse trennen: eigener Kanal und eigene Ablage für Informationen, die US-Personen vorbehalten sind, ohne Zugriff deutscher Konzernsysteme.
• Rufbereitschaft rund um die Uhr für TSA und CISA sicherstellen, auch an US-Feiertagen.
• Incident-Response-Prozess um den CISA-Meldeweg mit 72-Stunden-Frist ergänzen und mit den europäischen Meldewegen abstimmen.
• Koordinatordaten aktuell halten (sieben Tage nach Änderungen).

Typische Fehler

1. Nur deutsche Mitarbeiter werden als Koordinatoren benannt, ohne US-Bürger.
2. Ein deutscher Koordinator ohne NEXUS-, Global-Entry- oder gleichwertige Mitgliedschaft wird benannt.
3. Auf US-Personen beschränkte Informationen landen in Konzern-Ticketsystemen mit globalem Zugriff.
4. Die Meldung an CISA wird vergessen, weil der Konzernprozess nur europäische Meldestellen kennt.
5. Koordinatordaten werden nach Personalwechseln nicht binnen sieben Tagen aktualisiert.

Risiken und Trade-offs

Eine strikte Trennung der Informationsflüsse schützt vor Verstößen, erschwert aber die zentrale Steuerung. Ein US-Bürger als Koordinator vor Ort stärkt den Kontakt zu TSA und CISA, verlangt aber eine klare Abstimmung mit dem Konzern-CISO. Mehrere parallele Meldewege erhöhen den Aufwand, lassen sich aber in einem gemeinsamen Incident-Prozess bündeln.

Entscheidungspunkte

• Wer ist US-Koordinator, wer Vertreter, und welche Nicht-US-Bürger sind benannt?
• Wie werden auf US-Personen beschränkte Informationen getrennt?
• Wie ist die 24/7-Erreichbarkeit organisiert?
• Wie ist die CISA-Meldung im Incident-Prozess verankert?

Praktische Empfehlungen

1. Benennen Sie mindestens einen US-Bürger als Koordinator und prüfen Sie Programmmitgliedschaften deutscher Koordinatoren.
2. Richten Sie einen getrennten Kanal für Informationen ein, die US-Personen vorbehalten sind.
3. Organisieren Sie eine durchgehende Erreichbarkeit für TSA und CISA.
4. Ergänzen Sie den Incident-Prozess um die CISA-Meldung binnen 72 Stunden.
5. Halten Sie die Koordinatordaten bei TSA aktuell.

Relevante Normreferenzen

• SD Pipeline-2021-01G, Abschnitte II.B (Cybersecurity Coordinator) und II.C (Reporting Cybersecurity Incidents); gleichlautende Regelungen in SD 1580-21-01E und SD 1582-21-01E (veröffentlichte Fassungen, tsa.gov).
• 49 CFR Part 1520 (Sensitive Security Information).