EU einigt sich auf Cyberresilienzgesetz

„Der Ratsvorsitz und die Verhandlungsführer des Europäischen Parlaments haben eine vorläufige Einigung über den vorgeschlagenen Rechtsakt in Bezug auf Cybersicherheitsanforderungen für Produkte mit digitalen Elementen erzielt“, verlautbarte die EU heute. Mit dem neuen „Cyberresilienzgesetz“ solle sichergestellt werden, „dass Produkte – wie Heimkameras, Kühlschränke, Fernsehgeräte und Spielzeug, die vernetzt sind – sicher sind, bevor sie in Verkehr gebracht werden.

„Die heutige Einigung ist ein Meilenstein auf dem Weg zu einem sicheren und geschützten digitalen Binnenmarkt in Europa“, sagte José Luis Escrivá, spanischer Minister für den digitalen Wandel. „Vernetzte Geräte müssen ein grundlegendes Cybersicherheitsniveau aufweisen, wenn sie in der EU verkauft werden. So wird sichergestellt, dass Unternehmen und Verbraucherinnen und Verbraucher ausreichend vor Cyberbedrohungen geschützt werden.“

Mit diesem neuen Rechtsakt werden EU-weite Cybersicherheitsanforderungen für Konzeption, Entwicklung, Herstellung und Inverkehrbringen von Hardware- und Software-Produkten eingeführt. Ziel ist es, sich überschneidende Anforderungen aufgrund unterschiedlicher Rechtsvorschriften in den EU-Mitgliedstaaten zu vermeiden.

Die Verordnung gilt für alle Produkte, die direkt oder indirekt mit einem anderen Gerät oder einem Netz verbunden sind. Es gibt einige Ausnahmen für Produkte, für die in den geltenden EU-Vorschriften bereits Cybersicherheitsanforderungen festgelegt sind, z. B. Medizinprodukte, luftfahrttechnische Erzeugnisse oder Kraftfahrzeuge.

Mit dem Vorschlag sollen nicht nur Lücken in den bisherigen Gesetzen geschlossen werden, sondern auch die Verknüpfungen zu geltenden Rechtsvorschriften präzisiert und die geltenden Rechtsvorschriften im Bereich der Cybersicherheit kohärenter gestaltet werden. Das soll gewährleisten, dass Produkte mit digitalen Elementen, z. B. Produkte des „Internets der Dinge“, über die gesamte Lieferkette und ihren gesamten Lebenszyklus hinweg sicher sind.

Schließlich wird es den Verbraucherinnen und Verbrauchern durch die Verordnung auch ermöglicht, die Cybersicherheit bei der Auswahl und Nutzung von Produkten mit digitalen Elementen zu berücksichtigen. So wird es ihnen erleichtert, Hardware- und Softwareprodukte mit den entsprechenden Cybersicherheitsmerkmalen zu erkennen.

Im Anschluss an die heute erzielte vorläufige Einigung werden die Arbeiten in den kommenden Wochen auf fachlicher Ebene fortgesetzt, um die Einzelheiten der neuen Verordnung fertigzustellen. Der spanische Vorsitz wird den Kompromisstext den Vertretern der Mitgliedstaaten (AStV) zur Billigung vorlegen, sobald diese Arbeiten abgeschlossen sind. Der vollständige Text muss noch von beiden Organen bestätigt und von den Rechts- und Sprachsachverständigen überarbeitet werden, bevor er von den gesetzgebenden Organen förmlich angenommen wird.

„Der Cyber Resilience Act stärkt die europäische Cybersicherheit-Architektur“, lautet die Botschaft des IT-Verbandes Bitkom zur Einigung nach Abschluss der Trilog-Verhandlungen. „Der CRA ist weltweit einzigartig und ein Meilenstein auf dem Weg zur Stärkung der Cybersicherheit in Europa“, begrüßt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, die Fortschritte bei der Gesetzgebung. „Mit einheitlichen Standards für Produkte mit digitalen Elementen, wie zum Beispiel ‚Security by Design‘, kann er deutlich mehr Sicherheit für Verbraucherinnen und Verbraucher schaffen. Unternehmen profitieren unter anderen durch eine Vereinheitlichung der Meldefristen für Schwachstellen. Allerdings kommt auf sie auch ein hoher zusätzlicher Personal- und Kostenaufwand zu, sowohl bei der Anpassung der Produkte als auch der internen Prozesse an die neuen Vorgaben. Die vorgesehenen Übergangsfristen sehen wir als zu kurz an, da Unternehmen ganze Ökosysteme umstellen müssen und dies Zeit in Anspruch nimmt.“

Daher müsse die EU-Kommission, wie im Trilog festgehalten, die Unternehmen bei der Umsetzung des CRA unterstützen, etwa durch die Bereitstellung von Implementierungsleitfäden. „Es darf an dieser Stelle nicht zu Rechtsunsicherheiten kommen, von denen insbesondere Startups und kleine sowie mittelständische Unternehmen betroffen wären“, warnt Dehmel. „Bedauerlich ist auch, dass es auch nach Ende der Trilog-Verhandlungen weiter Unklarheit darüber besteht, inwiefern Open-Source-Software die Anforderungen des CRA erfüllen muss und kann.“

„Endlich mehr Sicherheit für Smart Watches & Co.“, begrüßt auch Ramona Pop, Vorstand des Verbraucherzentrale Bundesverband e. V. (vzbv) das Ergebnis der Trilog-Verhandlung. Denn Smart Watch, Saugroboter, digitales Türschloss: vernetzte Geräte ziehen in den Verbraucheralltag ein – und damit auch neue Sicherheitsprobleme. Hier mussten man sich bisher auf den guten Willen der Hersteller verlassen. Das will die EU per CRA ändern.

„Mit ihm schafft die EU erstmals einen Rechtsrahmen, der EU-weit alle Hersteller dazu verpflichtet, für die Cyber-Sicherheit ihrer vernetzten Produkte zu sorgen“, begrüßte Pop das neue Gesetzesvorhaben. Sie kritisiert aber, dass die Sicherheits-Updates nicht für die gesamte Lebensdauer von Produkten zur Verfügung gestellt werden müssen, denn Verbraucherinnen und Verbraucher „erwarten zu Recht, dass ihre Smart Watch oder das Fitnessarmband sicher sind und sicher bleiben, solange sie getragen werden.“ Ein weiterer Wehrmutstropfen sei, dass die neuen Regelungen erst nach 36 Monaten gelten. „Das sind drei verschenkte Jahre.“

Der vzbv begrüßt, dass Verbraucherprodukte wie Smart Watches, Smart-Home-Server, Smart Toys und smarte Sicherheitsprodukte endlich als sicherheitskritische Produkte anerkannt werden. Damit werden an diese Produkte vor Markteintritt besondere Anforderungen gestellt. Zudem werden Hersteller verpflichtet, Sicherheitsupdates für vernetzte Produkte bereitzustellen. Der vzbv kritisiert jedoch, dass die vorgesehene support period (Bereitstellungsdauer von Updates) nicht zwangsläufig gleichbedeutend mit der Produktlebenszeit ist.

Positiv bewertet der vzbv auch, dass künftig im Bereich Cyber-Sicherheit Verbandsklagen geführt werden können. Befugte Verbände wie der vzbv können Verbraucher somit künftig auch bei Verstößen gegen die Cyber-Sicherheit vertreten.

Bildquelle: EU, Bitkom, Caroline Wimmer / vzbv