Die Philippinen debattieren seit Jahren über Datenschutz, Cybersicherheit, Cloud Computing und digitale Verwaltung. Doch eine grundlegende Frage blieb oft unbeantwortet: Weiß die Regierung tatsächlich, welche Daten sie besitzt, wie sensibel diese Daten sind und welcher Schutzbedarf für jeden einzelnen Datensatz besteht?

Die Executive Order Nr. 119 mit dem Titel „Updating the Government Data Classification, Establishing a Data Residency Framework, and for Other Purposes“ setzt genau bei diesem Problem an. Ihre Bedeutung beschränkt sich nicht auf die Frage, wo Regierungsdaten gespeichert werden dürfen. Grundlegender verlangt sie von den Behörden, die von ihnen gehaltenen Informationen zu identifizieren, den potenziellen Schaden durch missbräuchliche Verwendung oder unbefugte Offenlegung zu bewerten und Schutzmaßnahmen anzuwenden, die in einem angemessenen Verhältnis zum Risiko stehen. Eine Regierung kann Daten, die sie nicht ordnungsgemäß identifiziert hat, nicht schützen.

EO 119 unterteilt Regierungsdaten in zwei große Kategorien: Restricted Access Data und Open Access Data. Restricted Access Data umfassen Informationen, die geschützt werden müssen, weil ihre unbefugte Offenlegung die nationale Sicherheit, Regierungsoperationen, das öffentliche Interesse oder einzelne Personen schädigen könnte. Open Access Data erfassen Informationen, die nicht in diese geschützten Kategorien fallen.

Die Methode ist wichtiger als die Bezeichnungen. Behörden sind verpflichtet, die in ihrem Gewahrsam befindlichen Daten zu inventarisieren, Risiko- und Auswirkungsanalysen durchzuführen, die angemessene Klassifizierung zuzuweisen und diese im Zeitverlauf zu überprüfen. Wenn sich die Umstände ändern, können Daten herabgestuft oder deklassifiziert werden. Die Klassifizierung, die Rechtsgrundlage und die Risikobewertung müssen außerdem in einem staatlichen Register erfasst werden.

Dies stellt einen notwendigen Wandel dar – weg von der Auffassung der Klassifizierung als bloßem Stempel auf einem Dokument, hin zu einem kontinuierlichen Governance-Prozess. Sowohl eine zu niedrige als auch eine zu hohe Klassifizierung birgt Risiken. Eine unzureichende Klassifizierung kann den Staat Sicherheitsverletzungen, Betrug, Datenschutzverstößen und operativen Störungen aussetzen. Eine übermäßige Klassifizierung kann die Transparenz behindern, die Zusammenarbeit zwischen Behörden verlangsamen und den legitimen öffentlichen Zugang erschweren. Das Ziel muss Präzision sein.

Die Verordnung verbindet zudem auf angemessene Weise den Datenaufbewahrungsort mit der Klassifizierung. Top Secret- und Secret-Daten müssen grundsätzlich innerhalb des philippinischen Hoheitsgebiets oder in anderen Gebieten unter philippinischer Souveränität oder Gerichtsbarkeit verbleiben. Confidential-Daten unterliegen einer ähnlichen Behandlung, wobei eine Offshore-Speicherung oder -Verarbeitung unter strengen Genehmigungsverfahren und Schutzmaßnahmen zulässig sein kann. Weniger sensible Regierungsdaten können auf sicheren Cloud-Plattformen gespeichert werden, sofern Verschlüsselung und Risikokontrollen gewährleistet sind.

Dieser Ansatz ist praktikabler als die pauschale Anforderung, dass alle Regierungsdaten im Land verbleiben müssen. Eine nationale Sicherheitsakte sollte nicht auf dieselbe Weise behandelt werden wie ein veröffentlichter statistischer Bericht. Ein risikobasierter Rahmen ermöglicht es der Regierung, die Sicherheitsanforderungen an die tatsächliche Sensibilität anzupassen, anstatt sich auf pauschale Beschränkungen zu verlassen. Er kann auch die Technologiebeschaffung verbessern, indem er den Behörden eine klarere Grundlage für die Entscheidung bietet, ob Informationen auf einer souveränen Plattform, einer privaten Cloud, einem kommerziellen Cloud-Dienst oder einem offenen öffentlichen System gespeichert werden sollten.

Die wirtschaftlichen Auswirkungen sind ebenfalls erheblich. Schlecht klassifizierte Informationen schaffen Unsicherheit. Behörden zögern, Daten zu teilen, Cloud-Projekte verzögern sich, Anbieter sehen sich inkonsistenten Anforderungen gegenüber, und Open-Data-Initiativen kommen zum Stillstand, weil die Verantwortlichen unsicher sind, was freigegeben werden darf. Ein kohärenter Rahmen kann die Cloud-Beschaffung berechenbarer machen, den Datenaustausch verbessern und den Dienstleistern klarere Standards setzen.

Er kann auch die Position der Philippinen in der digitalen Wirtschaft der ASEAN stärken. Ein Land, das eine größere Rolle bei Cloud-Diensten, Rechenzentren, Cybersicherheit und digitalen Diensten anstrebt, benötigt mehr als nur Infrastruktur. Es benötigt auch glaubwürdige Regeln für die Informationen, die durch diese Infrastruktur fließen. In diesem Sinne ist Klassifizierung nicht etwas Getrenntes von der digitalen Transformation; sie ist eine Voraussetzung für die Entscheidung, welche Systeme geöffnet, welche eingeschränkt und welche Schutzmaßnahmen von der Modernisierung begleitet werden müssen.

Die Umsetzung wird jedoch die zentrale Herausforderung sein. Die schwierigste Aufgabe wird nicht die Erstellung von Registern oder Vorlagen sein, sondern der Aufbau fundierter Urteilskraft innerhalb der Behörden. Beamte müssen in der Lage sein, echte Sicherheitsbedenken von bürokratischer Vorsicht zu unterscheiden. Sie müssen vermeiden, Informationen lediglich zu klassifizieren, um sich der Überprüfung zu entziehen, und gleichzeitig sicherstellen, dass legitimer offener Zugang den notwendigen Schutz nicht schwächt.

EO 119 richtet ein Joint Oversight Committee for Data Classification ein, das gemeinsam vom Department of Information and Communications Technology und dem National Security Council geleitet wird, und gibt den Behörden drei Jahre zur vollständigen Umsetzung. Diese Übergangszeit sollte nicht zu einer Massenumbenennungsübung werden. Die Qualität der Behördeninventare, der Risikobewertungen und der späteren Überprüfungen wird ebenso viel zählen wie die formelle Einhaltung der Frist.

Das Ziel ist nicht, weitere Stempel, Ordner und Berichte zu schaffen. Es geht darum, die Art und Weise zu verbessern, wie die Regierung Informationen versteht und verwaltet. Die Executive Order Nr. 119 handelt letztlich von institutioneller Disziplin: Bevor die Regierung Daten schützen, übertragen, teilen oder für künstliche Intelligenz nutzen kann, muss sie zunächst wissen, um welche Daten es sich handelt.

Das mag einer der unspektakulärsten Teile der digitalen Transformation sein, aber es könnte auch einer der wichtigsten sein.

Die hier geäußerten Ansichten sind seine eigenen und spiegeln nicht zwingend die Meinung seines Amtes sowie der FINEX wider.

Joel Luis E. Dabao ist Präsident der Kabankalan Community Antenna Television (K-CAT, Inc.), eines wichtigen Kabel- und Internetdienstanbieters mit Sitz in Kabankalan City, Negros Occidental. Unter seiner Führung ist das Unternehmen ein fester Bestandteil der Konnektivität in Süd-Negros geworden.