Trends der Normenlandschaft, Teil 4 „Der Cyber Resilience Act betrifft sehr viele Produkte“

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

Schneider Electric GmbH

Pilz GmbH & Co. KG

Mit dem ersten Entwurf des Cyber Resilience Act ist ein Gesetzestext in Vorbereitung, der eigens Anforderungen an die Cybersecurity für alle Komponenten- sowie Maschinenhersteller und Betreiber von Maschinen und Anlagen stellt. Matthias Kuczera, Standards Group bei Pilz, beantwortet die wichtigsten Fragen zum aktuellen Entwurf.

Herr Kuczera, was steckt hinter der Bezeichnung Cyber Resilience Act?

Der Cyber Resilience Act ist eine EU-Verordnung und ist somit direkt auch in den EU-Mitgliedsstaaten gültig. Er muss im Gegensatz zu einer EU-Richtlinie nicht noch über ein Gesetz in nationales Recht überführt werden. Der Act wurde hauptsächlich aufgrund der wirtschaftlichen Auswirkungen der Cyberangriffe auf bestimmte Institutionen oder Unternehmen entworfen.

Er bezieht sich auf Produkte mit digitalen Elementen, die in der Lage sind, mit anderen Produkten zu kommunizieren. Das heißt, es sind sehr viele Produkte sowohl aus dem B2C-Bereich, wie Smartphones oder Staubsaugerroboter, als auch Produkte aus dem B2B-Bereich, wie Steuerungen und Sensoren – aber auch reine Softwareprodukte wie Betriebssysteme – betroffen.

Welche Bedeutung hat der Act damit für den Maschinenbau?

Abhängig von den möglichen Auswirkungen, muss jeder Hersteller vor der Inverkehrbringung von Produkten mit digitalen Elementen sicherstellen, dass die Produkte ohne bekannte Schwachstellen ausgeliefert werden. Hierzu gehört die technische Dokumentation und die Bewertung von Cybersicherheitsrisiken. Aber auch nach der Inverkehrbringung hat der Hersteller Melde- und gegebenenfalls Korrekturmaßnahmenpflichten zu erfüllen. So muss der Hersteller beispielsweise die Agentur der Europäischen Union für Cybersicherheit, kurz ENISA, und die Nutzer informieren, wenn eine aktiv ausnutzbare Schwachstelle bekannt wird, damit die Nutzer so schnell wie möglich zum Beispiel mit einem Software-Update die Sicherheitslücke schließen können.

Trends der Normenlandschaft, Teil 1

Industrial Security wird verpflichtend

Trends der Normenlandschaft, Teil 2

„Sich frühzeitig über die Auswirkungen der neuen Maschinenverordnung informieren"

Trends der Normenlandschaft, Teil 3

Anforderungen an die Maschinensicherheit umsetzen – aber wie?

Und für welche Produkte wird er gelten?

Der Cyber Resilience Act unterscheidet zwischen Produkten mit digitalen Elementen und kritischen Produkten mit digitalen Elementen der Klasse I und Klasse II.

Hierbei hat ein potenzieller Cybervorfall bei einem Produkt der Klasse II, wie einem Passwort-Manager, tendenziell größere negative Auswirkungen als ein Cybervorfall bei einem Produkt der Klasse I, wie einem Computer am Ende der Kette. Abhängig von dem Einsatz und der bestimmungsgemäßen Verwendung des Produktes fällt es unter Umständen in den Bereich „kritisches Produkt mit digitalen Elementen“. Typische kritische Produkte sind Passwort-Manager Firewalls, Router und industrielle Automatisierungs- und Steuerungssysteme.

Der Cyber Resilience Act schreibt für die kritischen Produkte der Klasse II eine Konformitätsprüfung durch eine benannte Akkreditierungsstelle vor. Klasse I und unkritische Produkte mit digitalen Elementen hingegen können gegebenenfalls auch ohne die Einbindung einer benannten Stelle durch Herstellererklärungen in Verkehr gebracht werden. Hier sind allerdings noch viele Fragen offen und es ist noch unklar, ob die Hersteller von kritischen Produkten und die benannten Stellen innerhalb der Übergangsfrist eine nennenswerte Anzahl an erfolgreichen Konformitätsprüfungen durchführen können, ohne dass die Produktvielfalt, die wir heute kennen, erheblich eingeschränkt wird.

Wann ist mit einer Veröffentlichung des Cyber Resilience Acts zu rechnen?

Im Moment ist eine Übergangsfrist von zwei Jahren geplant, wobei die Meldepflichten der Hersteller bereits nach einem Jahr nach der Veröffentlichung des Cyber Resilience Act im Amtsblatt der Europäischen Union gelten soll.