Cyber Resilience Act: Bundestag beschließt Durchführungsgesetz

Der Bundestag hat den Entwurf des Gesetzes zur Durchführung des Cyber Resilience Act (CRA) beschlossen, wie das Presse- und Informationsamt der Bundesregierung mitteilt. Die EU-Verordnung, auf Deutsch Cyberresilienz-Verordnung, schreibt erstmals ein Mindestmaß an Cybersicherheit für vernetzte Produkte vor, die auf dem EU-Markt erhältlich sind. Sie gilt in allen Mitgliedstaaten und wird schrittweise umgesetzt.

Für Gründerinnen und Gründer, die Hard- oder Software verkaufen, ist das der entscheidende Punkt: Cybersicherheit wird zur grundlegenden Produkteigenschaft und damit zur Voraussetzung für den Marktzugang. Alle Produkte mit „digitalen Elementen“, die in der EU verkauft werden, müssen die Anforderungen erfüllen. Die Regeln setzen auf der geläufigen CE-Kennzeichnung auf und ergänzen sie um die Cybersicherheit.

Was Produkte erfüllen müssen

Die Liste der Anforderungen ist umfassend. Produkte sollen ohne bekannte ausnutzbare Sicherheitslücken auf den Markt kommen und eine möglichst geringe Angriffsfläche bieten. Sie sollen die Auswirkungen von Sicherheitsvorfällen reduzieren. Nutzer müssen alle Daten und Einstellungen sicher und unwiderruflich löschen können.

Verantwortlich sind die betroffenen Wirtschaftsakteure, also Hersteller, Importeure und Händler. Sie müssen sicherstellen, dass die Vorgaben umgesetzt werden. Erfüllt ein Produkt die Standards nicht, darf es nicht auf den europäischen Markt. Betrieben stehen empfindliche Bußgelder ins Haus.

Welche Produkte betroffen sind

Unter „Produkte mit digitalen Elementen“ fällt jede Software, jede Hardware sowie deren Lösungen für die Verarbeitung von Daten. Grundsätzlich fällt darunter alle Software und Hardware mit Netzwerkfähigkeit, etwa Smart-TVs, Smartphones, Smart-Home-Geräte, Router und Betriebssysteme. Cloud-basierte Lösungen sowie freie und Open-Source-Software zählen ebenfalls dazu.

Nicht jedes solche Produkt fällt unter den CRA. Medizinprodukte, Fahrzeuge, Erzeugnisse der zivilen Luftfahrt sowie Produkte, die allein der nationalen Sicherheit oder der Verteidigung dienen, unterliegen eigenen Bestimmungen. Da diese Vorschriften häufig noch strenger ausfallen, nimmt der CRA sie von seinem Anwendungsbereich aus.

Aufsicht und Zeitplan

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird Marktüberwachungsbehörde. Es kontrolliert die Cybersicherheit vernetzter Produkte. Als notifizierende Behörde prüft und notifiziert es zudem Konformitätsbewertungsstellen unter Einbeziehung der Deutschen Akkreditierungsstelle.

Weil es sich beim CRA um eine Verordnung der EU handelt und nicht um eine Richtlinie, entfaltet er unmittelbare Wirkung. Die Umsetzung läuft in Etappen bis Ende 2027. Erst dann müssen Erzeugnisse, die frisch auf den Markt kommen, sämtliche Vorgaben einhalten.

Auf einen Blick

• Zuständige Behörde in Deutschland: Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Umsetzung in Etappen bis Ende 2027
• Mehr dazu bietet die Informationsseite des BSI zum Cyber Resilience Act.

Hintergrund

Ein Teil der Pflichten gilt bereits: Für Hersteller von Produkten mit digitalen Elementen greifen auf dem EU-Binnenmarkt die Meldepflichten des CRA. Hersteller sind verpflichtet, tatsächlich ausgenutzte Sicherheitslücken sowie gravierende Zwischenfälle anzuzeigen, sofern diese die Sicherheit ihrer Erzeugnisse beeinträchtigen. Die übrigen Bestimmungen gelten laut BSI grundsätzlich ab dem 11. Dezember 2027.

Die Meldungen laufen über die Meldeplattform der EU-Agentur für Cybersicherheit ENISA. Hersteller übermitteln ihre Meldung dort nur einmal, sie geht an das zuständige koordinierende CSIRT und an die ENISA. In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT. Eine vorherige Registrierung auf der Plattform ist laut BSI nicht erforderlich. Die Meldungen sind auf Englisch zu verfassen.

Als marktüberwachende Behörde kann das BSI Produkte stichprobenartig oder gezielt auf Cybersicherheit überprüfen. Wer gegen die Regeln verstößt, muss mit Strafen rechnen: Die Geldbuße kann bis zu 15 Mio. EUR betragen oder bis zu 2,5 % des weltweiten Umsatzes aus dem jeweils vorausgegangenen Geschäftsjahr ausmachen. Es kann Produkte auch vom Markt nehmen, wenn sie den Anforderungen nicht genügen.

Eigene Einschätzung

Wer Smart-Geräte oder Software entwickelt, sollte Sicherheit von Anfang an in die Produktplanung einbauen, statt sie später nachzurüsten. Die Mitteilung nennt keine Förderung oder Entlastung für kleine Unternehmen, das bleibt eine Lücke. Praktisch hilfreich sind die Informationsangebote des BSI.