Europäischer Cyber Resilience Act EU hat die digitale Produktsicherheit im Fokus

Anbieter zum Thema

PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft

FTAPI Software GmbH

Cohesity GmbH

Pathlock Deutschland GmbH

Um sicherzustellen, dass vernetzte Produkte entlang ihres gesamten Lebenszyklus gegen unberechtigten Zugriff und Manipulation geschützt sind, etabliert die EU mit dem Cyber Resilience Act (CRA) neue Vorgaben für Hersteller und Händler. In Hinblick auf die oft langwierigen Entwicklungs­zeiten sollten betroffene Unternehmen ihr Portfolio bereits jetzt umfassend prüfen.

Die Zahlen sprechen für sich: Fast jede zweite Führungskraft aus Deutschland sorgt sich dem aktuellen CEO Survey von PwC zufolge um die Folgen von Cyberrisiken. Vor allem die fortlaufende Vernetzung in sämtlichen Geschäfts- und Lebensbereichen trägt dazu bei, dass die Angriffsfläche für Hacker immer größer wird. Das hat auch die Europäische Union (EU) erkannt und möchte die Risiken mit verschiedenen Regulierungsinitiativen in den Griff bekommen. Der Cyber Resilience Act (CRA) ist eine davon und zielt insbesondere auf die Sicherheit von vernetzten Produkten ab. Maßgeblich sind dabei digitale Elemente, die eine Datenverbindung ermöglichen, z. B. zu anderen Produkten und Komponenten. Ziel der Regulierung ist es, die Cybersicherheit in der EU durch einen gemeinsamen Rechtsrahmen für solche Produkte nachhaltig zu stärken. Dafür sollen zukünftig in allen Sektoren neue Standards, Leitlinien und bewährte Verfahren zum Einsatz kommen.

Der EU-Rat hat im Juli 2023 ein Verhandlungsmandat des CRA veröffentlicht, um mit der Kommission in die Diskussion zu gehen, bevor das Parlament im März 2024 final darüber abgestimmt hat. Die Zustimmung des Europäischen Rats ist noch notwendig, wird nunmehr aber als Formsache betrachtet und für das zweite Quartal 2024 erwartet. Nach der Verabschiedung treten die meisten Vorgaben mit einer Übergangsfrist von bis zu 36 Monaten in Kraft, einige jedoch bereits nach 21 Monaten. Weil die neuen Regeln nicht nur auf Produkte für Endverbraucher anzuwenden sind, sondern auch industrielle Komponenten innerhalb der kritischen Infrastrukturen betreffen, gibt es enge Wechselwirkungen zwischen CRA und anderen Regularien, wie der NIS-2-Direktive.

Regulierung mit Augenmaß

Die EU definiert die von der Verordnung betroffenen Produkte grundsätzlich so, dass so gut wie alle Endgeräte und Software-Komponenten unter die neuen Vorgaben fallen. An der Schnittstelle zu den Endverbrauchern sind das etwa Produkte aus dem Bereich der Unterhaltungselektronik, Smart-Home-Technologien oder auch Smartphone-Apps. Im B2B-Sektor fallen zukünftig viele Komponenten für Industrie-, Umwelt- und Energietechnologie unter die Verordnung. Dazu gehören etwa Sensoren, Steuersysteme oder Software für die Datenanalyse.

Um die Anforderungen an diese Produkte mit dem richtigen Augenmaß zu definieren, unterscheidet der Gesetzgeber zwischen vier verschiedenen Kategorien. In die normale Standardkategorie fallen Produkte, die keinerlei cyber­sicherheits­relevante Aufgaben erfüllen – etwa Social-Media-Apps oder vernetzte Haushaltsgeräte. Die wichtigen Produkte der Klasse I gelten wiederum als cyber­sicherheits­relevant und werden dementsprechend strenger geprüft. Zu dieser Klasse gehören unter anderem Antivirensoftware oder Netzwerkkomponenten. Darauf folgen die wichtigen Produkte der Klasse II, die nicht nur hoch relevant für die Cybersicherheit sind, sondern deren Manipulation auch weitreichende Folgen für andere digitale Produkte hätte. Das trifft etwa auf industrielle Firewalls, SCADA-Systeme und ähnliche Lösungen zu, die in Anhang III des Verhandlungsmandats aufgeführt sind. Die letzte der vier Kategorien ergibt sich aus Anhang IV und betrifft insbesondere Produkte, die im Bereich der kritischen Infrastrukturen wichtige Sicherheitsfunktionen einnehmen. Dazu gehören etwa Smart-Metering-Gateways, die zur Erfassung und Übertragung von Energieverbrauchsdaten in Echtzeit verwendet werden.

CE-Abzeichen nur nach Prüfung und Konformitätserklärung

Hersteller und Händler müssen im Zuge der neuen Vorgaben ein Risiko-Assessment vornehmen und eine umfassende Dokumentation über die Sicherheitsmerkmale und -funktionen ihrer Produkte und Dienstleistungen führen. Es ist zu erwarten, dass rund 90 Prozent der Produkte auf dem europäischen Markt in die Standardkategorie fallen werden. Hier gelten die technischen Anforderungen aus Anhang 1, in dem grundlegende Prinzipien wie ein angemessenes Cybersicherheitsniveau entlang des gesamten Lebenszyklus definiert sind. Unternehmen können Produkte dieser Kategorie selbst prüfen und eine Konformitätserklärung abgeben, bevor sie das CE-Kennzeichen auf dem Produkt anbringen dürfen.

Für Produkte der wichtigen Klasse I ist zunächst zu prüfen, ob ein harmonisierter Standard verfügbar ist. Solche harmonisierten Standards sind für den CRA noch nicht festgelegt, erwartet werden jedoch Standards, die bereits weitläufigen Einsatz finden, wie z. B. der IEC 62443. Ist ein solcher Standard verfügbar, so können Unternehmen diesen anwenden und schließlich die Konformitätserklärung bei den zuständigen Behörden abgeben. Ist das nicht der Fall, müssen sie Anhang 1 anwenden und durch eine externe Prüfstelle untersuchen lassen, ob die Konformität gegeben ist. Für Produkte der wichtigen Klasse II besteht immer die Pflicht, eine externe Prüfstelle zu involvieren. Bei Produkten aus Anhang IV kommt es wiederum darauf an, ob ein Zertifizierungssystem verfügbar ist. Auch hier gilt: Sofern vorhanden, müssen Unternehmen dieses auch anwenden. Andernfalls kommt Anhang I zur Anwendung und es folgt das beschriebene Prozedere inklusive der externen Prüfung.

Pflichten und Sanktionen

Neben dem initialen Risiko-Assessment und der internen oder externen Prüfung kommen mit der Verabschiedung des CRA weitere Pflichten auf Unternehmen zu. Der CRA sieht vor, dass Unternehmen die erwartete Lebensdauer eines Produktes angeben, wenn sie es verkaufen. Standardmäßig gelten hier mindestens fünf Jahre, in Sonderfällen kann diese jedoch auch kürzer ausfallen. Marktüberwachungsbehörden vergleichen dabei die Lebensdauer vergleichbarer Produkte im Markt, um korrekte Angaben sicherzustellen. Für die erwartete Lebensdauer der Produkte muss die Sicherheit der Produkte sichergestellt werden, also sind insbesondere Risiken und Sicherheitslücken schnell zu identifizieren. Treten sicherheitsrelevante Unregelmäßigkeiten auf, sind die Hersteller in der Pflicht, diese innerhalb von 24 Stunden an das nationale Cyber Security Incident Response Team zu melden, in Deutschland also dem BSI. Über die Lebensdauer des Produktes hinweg müssen kostenlose Sicherheitsupdates zur Verfügung gestellt werden, damit das Produkt nicht nur sicher ausgeliefert, sondern auch dauerhaft so betrieben wird. Bei Verstößen gegen den CRA drohen Strafen in Höhe von bis zu 15 Millionen Euro oder 2,5 Prozent des globalen Umsatzes. Außerdem können die Behörden Produkte bei Verstößen vom Markt nehmen.

Die Pflichten für betroffene Unternehmen nehmen mit dem CRA deutlich zu, dennoch ist die Verordnung eine sinnvolle Ergänzung für die europäische Regulierungslandschaft. Denn sowohl Verbraucher als auch B2B-Anwender können sich zukünftig deutlich stärker auf die langfristige Sicherheit ihrer Produkte verlassen. Gerade in sensiblen Bereichen wie dem produzierenden Gewerbe oder der Energiewirtschaft ist das nicht nur begrüßenswert, sondern obligatorisch. Da Unternehmen außerhalb der EU dieselben Anforderungen erfüllen müssen, um ihr Produkt in der EU anbieten zu dürfen, bleibt die Wettbewerbsgleichheit auf dem Markt gewahrt. Herstellern und Händlern von vernetzten Produkten bleibt jetzt noch genug Zeit, ihr Portfolio umfassend zu prüfen, mögliche Defizite aufzuarbeiten und im Sinne der geforderten Konformitätsnachweise zu dokumentieren. Wer zu lange damit wartet, riskiert jedoch, von der Regulierung eingeholt zu werden. Daher ist ein proaktiver Ansatz der einzig richtige Weg, um sich den kommenden Anforderungen zu stellen.

Über den Autor: Dr. Oliver Hanka verantwortet bei PwC Deutschland das Thema Industrial und Product Cyber Security. Er ist unter anderem Experte für die Sicherheit an der Schnittstelle von IT und OT, den Schutz kritischer Infrastrukturen sowie damit einhergehende Regulierungsfragen.

(ID:50017122)