Cyber Resi­li­ence Act: Mel­de­pflich­ten sind gestartet

Ein Sicher­heits­pro­blem ent­de­cken, behe­ben – und die zustän­di­gen Behör­den dar­über infor­mie­ren: Was bis­lang nicht für sämt­li­che ver­netz­ten Pro­duk­te ein­heit­lich gere­gelt war, wird mit dem Cyber Resi­li­ence Act, kurz CRA, euro­pa­weit ver­bind­lich. Seit dem 11. Sep­tem­ber gilt ein wich­ti­ger Teil der euro­päi­schen Cyber­re­si­li­enz-Ver­ord­nung: Her­stel­ler müs­sen aktiv aus­ge­nutz­te Schwach­stel­len sowie schwer­wie­gen­de Sicher­heits­vor­fäl­le mel­den, wenn die­se die Sicher­heit eines vom CRA erfass­ten Pro­dukts mit digi­ta­len Ele­men­ten betref­fen. Damit erreicht die schritt­wei­se Ein­füh­rung des CRA eine neue Stu­fe. Die EU-Ver­ord­nung soll dafür sor­gen, dass ­Cyber­si­cher­heit künf­tig nicht erst dann zum The­ma wird, wenn ein Pro­dukt bereits beim Kun­den im Ein­satz ist. Her­stel­ler sol­len Sicher­heits­ri­si­ken bereits bei Ent­wick­lung und Kon­struk­ti­on berück­sich­ti­gen und wäh­rend des ­Lebens­zy­klus eines Pro­dukts auf Schwach­stel­len reagieren.

Ein Mel­de­weg für die gesam­te EU

Für die neu­en Mel­de­pflich­ten steht Her­stel­lern die von der EU-Agen­tur für Cyber­si­cher­heit ENISA bereit­ge­stell­te „Sin­gle Report­ing Plat­form“ zur Ver­fü­gung. Über die­se Platt­form sol­len Mel­dun­gen zen­tral und ver­trau­lich ein­ge­reicht wer­den kön­nen. Sie wer­den anschlie­ßend an das zustän­di­ge Com­pu­ter Secu­ri­ty Inci­dent Respon­se Team, kurz CSIRT, sowie gege­be­nen­falls an wei­te­re betrof­fe­ne Mit­glied­staa­ten wei­ter­ge­lei­tet. Eine vor­he­ri­ge Regis­trie­rung ist nach Anga­ben des Bun­des­amts für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) nicht zwin­gend erfor­der­lich. Das BSI stellt Her­stel­lern zudem Infor­ma­tio­nen und tech­ni­sche Hil­fe­stel­lun­gen zur Umset­zung der CRA-Anfor­de­run­gen bereit. In Deutsch­land soll das BSI nach dem Gesetz­ent­wurf der Bundes­regierung zugleich eine zen­tra­le Rol­le bei der Markt­über­wa­chung übernehmen.

Viel Zeit bleibt Unter­neh­men im Ernst­fall nicht. Kennt ein Her­stel­ler eine aktiv aus­ge­nutz­te Schwach­stel­le, muss inner­halb von 24 Stun­den eine ers­te War­nung erfol­gen. Inner­halb von 72 Stun­den sind wei­te­re Infor­ma­tio­nen nach­zu­rei­chen. Bei einer Schwach­stel­le folgt spä­tes­tens 14  Tage nach Bereit­stel­lung einer Kor­rek­tur- oder Risiko­minderungsmaßnahme ein Abschluss­be­richt. Für einen schwer­wie­gen­den Sicher­heits­vor­fall ist die­ser Abschluss­be­richt grund­sätz­lich inner­halb eines Monats nach der aus­führ­li­che­ren Vor­fall­mel­dung abzugeben.

Wei­te­re Pflich­ten ab 2027

Die Mel­de­pflicht ist aller­dings nur ein Teil eines deut­lich grö­ße­ren Regel­werks. Vom 11. Dezem­ber 2027 an greift der CRA grund­sätz­lich voll­stän­dig. Her­stel­ler erfass­ter Pro­duk­te müs­sen dann unter ande­rem Cybersicherheits­risiken sys­te­ma­tisch bewer­ten, Schwach­stel­len wäh­rend des vor­ge­se­he­nen Unter­stüt­zungs­zeit­raums behan­deln und Sicher­heits­ak­tua­li­sie­run­gen bereit­stel­len. Der Unter­stüt­zungs­zeit­raum beträgt grund­sätz­lich min­des­tens fünf Jah­re, sofern nicht von einer kür­ze­ren Nut­zung des Pro­dukts aus­zu­ge­hen ist.

Der Ansatz ver­än­dert damit die Per­spek­ti­ve auf Produkt­sicherheit. Cyber­si­cher­heit wird nicht mehr aus­schließ­lich als Auf­ga­be der IT-Abtei­lung ver­stan­den, son­dern als Bestand­teil von Ent­wick­lung, Pro­dukt­pfle­ge und Kon­for­mi­täts­be­wer­tung. Auch das bekann­te CE-Sys­tem wird um ent­spre­chen­de Anfor­de­run­gen ergänzt.

Wel­che Pro­duk­te sind betroffen?

Für Her­stel­ler und Betrie­be der Hilfs­mit­tel­ver­sor­gung ist eine Abgren­zung beson­ders wich­tig. Der CRA gilt grund­sätz­lich für Pro­duk­te mit digi­ta­len Ele­men­ten, deren bestim­mungs­ge­mä­ße oder vor­her­seh­ba­re Ver­wen­dung eine direk­te oder indi­rek­te Daten­ver­bin­dung mit einem Gerät oder Netz­werk umfasst. Das BSI weist aller­dings dar­auf hin, dass Medi­zin­pro­duk­te zu den vom CRA aus­ge­nom­me­nen Berei­chen gehö­ren. Anders kann die Situa­ti­on bei digi­ta­len Pro­duk­ten im Umfeld der Ver­sor­gung aus­se­hen, die nicht als Medi­zin­pro­dukt regu­liert wer­den – etwa bestimm­te Software‑, Hard­ware- oder Netz­werk­lö­sun­gen. Ent­schei­dend ist daher die regula­torische Ein­ord­nung des jewei­li­gen Produkts.