Endlich Klarheit in der Cyberregulierung BSI wird Marktüberwachungsbehörde für den Cyber Resilience Act

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

bb-net media GmbH

Impossible Cloud GmbH

Das Bundesamt für Sicherheit in der Informationstechnik soll den EU Cyber Resilience Act in Deutschland überwachen und Konformitätsstellen notifizieren. Das erklärte Claudia Plattner, Präsidentin des BSI, auf der it-sa, der Messe für Cybersicherheit in Nürnberg.

Laut BSI Chefin Claudia Plattner bleibt die Cybersicherheitslage angespannt, Angriffe auf Wirtschaft und Staat nehmen zu. Spionage, Sabotage, professionelle Cyberkriminalität – die Liste ist lang. Plattner fordert Tempo und setzt dabei auf Technologie, aber auch auf verbindliche Regeln. Sie will die Sicherheitsanforderungen in Produkten stärker durchsetzen und die digitale Souveränität mit einem klaren Tech Stack sichern.

Im Zentrum stand eine Ankündigung mit Signalwirkung: „Das BSI wird die zuständige notifizierende und die nationale Marktüberwachungsbehörde für den Cyber Resilience Act in Deutschland sein“, kündigte Plattner an. Damit schafft das Bundesamt Klarheit, wie Produkte mit digitalen Elementen künftig in den EU-Markt gelangen dürfen und wer die Einhaltung prüft.

Als notifizierende Behörde bewertet das BSI künftig Konformitätsbewertungsstellen (Drittstellen) und gibt sie für CRA-Prüfungen frei. Als Marktaufsicht kontrolliert es stichprobenartig Produkte, achtet auf wirksame Updates über den gesamten Lebenszyklus und kann durchgreifen: „Wir können auch Sanktionen und Bußgelder verhängen und sogar Produkte vom Markt nehmen“, erläutert die BSI-Präsidentin ihre nun eindeutige Rolle.

Hintergrund: Der CRA ist seit Ende 2024 in Kraft, die Umsetzung läuft phasenweise. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle greifen ab 2026, ab Ende 2027 gilt der Rechtsrahmen vollumfänglich. Hersteller, Importeure und Händler müssen Sicherheitsanforderungen entlang des Produktlebenszyklus nachweisen, Mindestvorgaben einhalten und nachvollziehbare Prozesse für Patching und Schwachstellen-Management etablieren.

C5, IT Grundschutz, NIS 2: BSI schärft den Werkzeugkasten

Plattner verband die CRA-Aussage mit einer Reihe laufender Vorhaben. Beim Cloud-Kriterienkatalog C5 bereitet das BSI den nächsten Stand als Community-Entwurf vor. Ziel ist, Anforderungen mit der Fachcommunity zu spiegeln, bevor die neue Edition formal veröffentlicht wird. Auf der it-sa läuft die Diskussion in Sessions. Anbieter und Nutzer sollen dort Rückmeldungen einbringen.

Beim IT-Grundschutz modernisiert das BSI Konzept und Kompendium. Der „Stand der Technik“ liegt vor; als Nächstes gießt das Amt die Inhalte in IT-Sicherheitskonzepte. Plattner betonte die Notwendigkeit, Vorgaben maschinenlesbar zu gestalten. So lassen sich Prüfungen automatisieren und branchenspezifisch zuschneiden, vom Modulbaukasten bis zur laufenden Nachverfolgung. Intern läuft das Programm unter „Grundschutz++“.

Parallel nennt die BSI-Chefin die nationale Umsetzung von NIS 2 als prioritäre Baustelle. Sobald das Gesetzespaket verabschiedet ist, will das Amt „scharf schalten“: Prozesse für Meldungen, Prüfungen und Aufsicht stehen in den Startlöchern. Für Betreiber kritischer und besonders wichtiger Einrichtungen bedeutet das: Rollen, Meldeketten und technische Nachweise müssen sitzen, inklusive Lieferketten und Schwachstellenmanagement.

Was die Ankündigungen für die Industrie bedeuten

Die Ankündigung des BSI bedeutet vor allem Klarheit im Vollzug: ein zentraler Ansprechpartner, eine einheitliche Auslegung der CRA-Pflichten und ein klarer Eskalationspfad. Nicht erst seit jetzt betreibt die Behörde eine umfangreiche Aufklärungskampagne zum CRA. Denn vor fast genau einem Jahr bewarb sich das BSI für die Marktaufsicht.

Hersteller müssen deshalb ihre Roadmaps frühzeitig auf CRA-Konformität trimmen: Bedrohungsanalyse vor Markteinführung, sichere Standardkonfigurationen, Update Pflichten über den gesamten Lebenszyklus, koordinierter Umgang mit Schwachstellen sowie belastbare technische Dokumentation.

Für risikoreich eingestufte Produktkategorien wird eine Prüfung durch Drittstellen nötig; für weniger kritische Produkte kann die Eigenkonformität genügen, mit Haftung bei Verstößen. Bestandsprodukte bleiben im Markt, müssen aber bei wesentlichen Änderungen an die CRA-Anforderungen heran, Neuprodukte ab den Stichtagen ohnehin. Unternehmen sollten jetzt Zuständigkeiten, Meldeketten und Lieferantenpflichten festziehen und Test , Patch sowie Offenlegungsprozesse belegen können. Kurz: Es gibt nun eine Behörde, die prüft und durchsetzt, und damit verlässliche Regeln für alle Beteiligten. (mc)

Dieser Beitrag erschien zunächst auf unserem Schwesterportal Elektronikpraxis.

(ID:50583905)