Cybersicherheit Cyber Resilience Act: Nachbesserung erforderlich

Anbieter zum Thema

G DATA CyberDefense AG

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Der Cyber Resilience Act der EU-Kommission soll ein weitreichender Schritt hin zu mehr Cybersicherheit werden. Laut Branchenverband ZVEI schaffe die horizontale Regulierung endlich einheitliche Regeln. Einige Punkte sieht der Verband allerdings kritisch und fordert eine Nachbesserung.

Mit dem Cyber Resilience Act geht die EU-Kommission die notwendige Aufgabe an, Produktanforderungen an Cybersicherheit zu vereinheitlichen und das Resilienzniveau in der EU anzuheben. „Diese Regulierung wird alle digitalen Produkte im europäischen Binnenmarkt betreffen. Auch wenn es unsere Unternehmen vor enorme Herausforderungen stellt, braucht der europäische Binnenmarkt ein solches harmonisiertes Level-Playing-Field in der Cybersicherheit“, erklärt Wolfgang Weber, Vorsitzender der ZVEI-Geschäftsführung. Der vorgelegte Entwurf sei ein wichtiger Schritt.

Hinter dem kürzlich vorgestellten Gesetzentwurf der Brüsseler Regierungsinstitution steht der dringende Bedarf, Unternehmen und Verbraucher in der EU besser vor Produkten mit unzureichenden IT-Sicherheitsfunktionen zu schützen. So stellt die vorliegende Version grundlegende Anforderungen an die Gestaltung, Entwicklung und Herstellung von Produkten „mit digitalen Elementen“ wie Hard- und Software. Hersteller sollen verpflichtet werden, die Cybersicherheit für den gesamten Produktlebenszyklus aufrecht zu erhalten. Dazu gehört etwa die Auflage, ein Schwachstellen-Management einzuführen. Vorschriften für die Marktüberwachung und Durchsetzung sind ebenfalls enthalten.

Hunderte Millionen vernetzter Produkte sind potenzielle Schwachstellen

„Wir müssen uns darauf verlassen können, dass die Produkte, die im Binnenmarkt angeboten werden, sicher sind“, erklärte die für Digitales zuständige Kommissionsvizepräsidentin Margrethe Vestager. Hunderte Millionen vernetzter Produkte seien eine potenzielle Schwachstelle, über die Cyberangriffe erfolgen können, ergänzte Binnenmarktkommissar Thierry Breton. Damit meinte er Computer, Handys, Haushaltsgeräte, Smart-Home-Produkte und Spielzeug, aber auch Autos, die zunehmend mit Onlinefunktionen ausgestattet sind.

Fakt ist: Die bislang fehlenden Verpflichtung der Hersteller zur Gewährleistung von IT-Sicherheit hat Anwender – Konsumenten wie Unternehmen – im digitalen Alltag unzumutbaren Risiken und Gefahren ausgesetzt: „Das reicht von digitalen Türschlössern, die zu leicht gehackt werden können, über ausspähbare Babyphones bis hin zu Identitätsdiebstahl mit schwerwiegenden finanziellen Schäden für Betroffene“ sagt Ramona Pop, Vorständin des Verbraucherzentrale Bundesverbands (vzbv). Mit dem Konzept der „integrierten Cybersicherheit“ will die Kommission nun gegensteuern.

Kritische Punkte

Kritisch sieht der ZVEI allerdings die weitgefasste Definition bei sogenannten „critical products“ und „highly critical products“, zu denen beispielsweise auch Mikrocontroller, industrielle Automatisierungs- und Steuerungssysteme oder Teile des Industrial Internet of Things gezählt werden, auch wenn sie in keinem kritischen Kontext verwendet werden. „Wenn Unternehmen solche oder darauf aufbauende Produkte auf Basis dieser Einteilung nur erschwert auf den Markt bringen können, wird es zu großen Verzögerungen in der EU beim Einsatz digitaler Produkte und Komponenten kommen“, sagt Weber.

Statt reine Hochrisikolisten zu führen, müsse deshalb das Konzept des vorgesehenen Verwendungszwecks im Vordergrund stehen. Zudem müssen Hersteller digitaler Produkte und Komponenten bei der Zuweisung der Kritikalität essenziell eingebunden werden, da sie potenzielle Sicherheitsrisiken am besten beurteilen und entsprechende Maßnahmen einleiten können.

ZVEI: Längere Fristen nötig

Positiv bewertet der Verband der Elektro- und Digitalindustrie, dass der Regulierungsentwurf den Prinzipien des New Legislative Framework (NLF) folgt. Weber: „Diese Vorgehensweise knüpft unmittelbar an etablierte Prozesse in den Unternehmen, unter anderem zur Konformitätsbewertung, an und stärkt die Rolle der europäischen Normung.“

Allerdings ist die vorgesehene Übergangsfrist von 24 Monaten zur Umsetzung solcher Maßnahmen deutlich zu kurz und muss verlängert werden. Die akuten Schwierigkeiten bei der Anwendung der Medical Device Regulation zeigen, wie viel Zeit nötig ist, um alle Produkte bis zum Stichtag einer umfangreichen Konformitätsbewertung zu unterziehen. Die Europäische Kommission sollte hier deshalb längere Fristen setzen, damit harmonisierte Normen rechtzeitig gelistet und eine ausreichende Zahl an Drittstellen zur Konformitätsbewertung benannt werden kann.

Der ZVEI setzt sich bereits seit Jahren aktiv für eine horizontale Regulierung ein, die die Cybersicherheitsanforderungen für Produkte adressiert. Vom Hersteller bis zum Anwender müssen nach Ansicht des Verbands alle Beteiligten im Wertschöpfungsnetzwerk zusammenarbeiten und ihren Teil erfüllen, um ein hohes Niveau an Cyberresilienz zu erreichen. Dafür müssten die Anforderungen an die einzelnen Beteiligten, insbesondere für Hersteller von Hard- und Software, im Lebenszyklus auch künftig klar abgrenzbar bleiben.

Innovationsbremse für kleine Unternehmen?

Der EU-Vorschlag findet allerdings nicht nur Zuspruch: Einige Marktbeobachter befürchten, dass kleine, aber möglicherweise besonders innovative Marktteilnehmer angesichts drohender überbordender Bürokratie kaum noch zum Entwickeln kommen und früher oder später aufgeben. Wenn sich nur große Unternehmen den Aufwand leisten können, die Einhaltung der geforderten Auflagen zu prüfen und nachzuhalten, könnte dies als Hemmschwelle wirken und Innovationen verhindern.

Andererseits dürfen mangelnde Ressourcen kein Grund dafür sein, potenziell unsichere Produkte auf den Markt zu bringen. Interessant wird es sein zu verfolgen, wie etwa der Einsatz von Open-Source-Hard- und Software in dem neuen Gesetz bewertet werden. Sind etwa Open-Source-Entwickler Hersteller im Sinne des Cyber Resilience Act, wenn ihre Lösungen in Produkten anderer Hersteller verwendet werden? Dies könnte die Motivation etlicher Entwickler empfindlich dämpfen. So befürchtet etwa der EU-Abgeordnete Patrick Breyer, Piratenpartei, dass die Entwicklung freier Software bedroht sein könnte, weil an ehrenamtliche Programmierer dieselben Anforderungen gestellt würden wie an Firmen. (me)

Dieser Artikel erschien zuerst auf unserem Partnerportal Elektronik Praxis.

(ID:48624943)