Vorbereitung auf den EU Cyber Resilience Act – was Ihr Unternehmen schon jetzt beachten muss
In einer digitalisierten Welt, in der Software und Hardware immer mehr Aspekte unseres Lebens durchdringen, ist Cybersicherheit nicht mehr nur ein technisches Detail. Sie ist eine gesellschaftliche Notwendigkeit. Die Europäische Union hat die Bedeutung der Cybersicherheit erkannt und einen Gesetzesentwurf zur Stärkung der Cybersicherheit vorgelegt. Dieser Gesetzesentwurf trägt den Namen Cyber Resilience Act. Doch was bedeutet das für Unternehmen, die Produkte mit digitalen Elementen herstellen?
Der Cyber Resilience Act: Ein Überblick
Der Cyber Resilience Act ist ein Gesetzesentwurf der Europäischen Kommission, der seit Oktober 2021 in Arbeit ist und im September 2022 vorgelegt wurde. Sein Hauptziel ist die Verbesserung der Cybersicherheit von Produkten, die miteinander oder mit dem Internet verbunden werden können. Die Rahmenbedingungen gelten für alle Produkte mit digitalen Elementen – unabhängig davon, ob sie an Verbraucher oder im B2B-Bereich verkauft werden.
Der Gesetzesentwurf sieht vor, dass Hersteller und Anbieter von Produkten mit digitalen Elementen von Anfang an auf „Security by Design“ achten und über einen definierten Zeitraum durch Sicherheitsupdates eine sichere Nutzung gewährleisten müssen. Je nach Kritikalität des Produktes unterscheidet der Entwurf zwischen „unkritischen“, „kritischen“ und „hochkritischen“ Produkten. Für kritische Produkte sind strengere Anforderungen vorgesehen, z. B. bei der Konformitätsbewertung, die auf Basis harmonisierter EU-Normen erfolgen soll.
Ein weiterer wichtiger Aspekt des Gesetzesentwurfs ist die Verpflichtung der Hersteller, Sicherheitslücken während des gesamten Produktlebenszyklus zu schließen, jedoch maximal fünf Jahre lang. Nutzer müssen über behobene Schwachstellen und Cybersicherheitsvorfälle informiert werden. Überdies müssen Hersteller Cybersicherheitsvorfälle und aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die Europäische Agentur für Cybersicherheit (ENISA) melden.
Die Vorschriften des Cyber Resilience Act sollen grundsätzlich 24 Monate nach Inkrafttreten gelten, wobei bestimmte Pflichten, wie etwa die Meldepflicht bei Sicherheitsvorfällen, bereits 12 Monate nach Inkrafttreten gültig sein sollen.
Der Gesetzesentwurf wird derzeit diskutiert. Es wird voraussichtlich noch einige Zeit dauern, bis der endgültige Gesetzestext feststeht und das Gesetz in Kraft tritt. In Fachmedien war von einer angepeilten Einführung im Jahr 2024 zu lesen. Ob dies tatsächlich realisierbar ist, bleibt abzuwarten. Denn die genauen Termine für die Einführung des Gesetzes sind derzeit noch nicht bekannt.
Dennoch gilt: Wenn Sie zu den betroffenen Unternehmen gehören, bereiten Sie sich jetzt bereits auf die Erfüllung der kommenden Anforderungen des Cyber Resilience Acts vor. Gerne unterstützen wir Sie dabei mir unserer Expertise.
Was passiert bei Verstößen gegen den Cyber Resilience Act?
Für den Fall, dass die Anforderungen des Cyber Resilience Act nicht erfüllt werden, drohen empfindliche Strafen. Diese können von einer zuständigen Behörde in den Mitgliedstaaten verhängt werden und umfassen Geldbußen in Höhe von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. In Deutschland wäre das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Behörde.
Vorgesehen ist auch, dass die Behörden abgestufte Maßnahmen ergreifen können. Sie können die Beseitigung eines festgestellten Risikos und die Wiederherstellung der Konformität verlangen, die Bereitstellung eines Produkts auf dem Markt einschränken oder verbieten oder sogar einen Produktrückruf anordnen.
Betroffene Branchen und Unternehmen: Wer muss sich auf den Cyber Resilience Act einstellen?
Der Cyber Resilience Act wird voraussichtlich Auswirkungen auf eine Vielzahl von Branchen und Unternehmen haben. Grundsätzlich betrifft das Gesetz alle Unternehmen, die Produkte mit digitalen Elementen herstellen, vertreiben oder nutzen. Dies umfasst eine Vielzahl von Branchen, von der Elektronik- und Digitalindustrie über die Automobilindustrie bis hin zur Spielzeugindustrie und vielen anderen.
Ein konkretes Beispiel ist die Elektronik- und Digitalindustrie. Unternehmen dieser Branche, die Mikrocontroller, industrielle Automatisierungs- und Steuerungssysteme oder Teile des in Fabriken eingesetzten Internets der Dinge herstellen, sind direkt von den neuen Vorschriften betroffen. Sie müssen sicherstellen, dass ihre Produkte den vorgeschriebenen Sicherheitsstandards entsprechen und dass sie in der Lage sind, Sicherheitsupdates über den gesamten Produktlebenszyklus bereitzustellen.
Auch Händler und Importeure von Produkten mit digitalen Elementen sind betroffen. Sie müssen sicherstellen, dass die von ihnen in Verkehr gebrachten Produkte den Anforderungen des Cyber Resilience Act entsprechen. Es gibt keine größenabhängigen Ausnahmen, sodass sowohl kleine als auch große Unternehmen die neuen Regelungen einhalten müssen.
Der Cyber Resilience Act gilt dabei nicht nur für Unternehmen in der EU, sondern für alle Unternehmen, die ihre Produkte auf dem europäischen Markt verkaufen wollen. Die Anforderungen des Gesetzes müssen somit auch von Unternehmen außerhalb der EU erfüllt werden, um ihre Produkte in der EU anbieten zu dürfen.
Immerhin, zumindest für einige Branchen stellen regulatorische Anforderungen in Bezug auf Cybersicherheit keine gänzlich neue Herausforderung dar. So sind Cybersicherheitsstandards in der Automobilindustrie beispielsweise in der Cybersecurity-Norm ISO/SAE 21434 sowie in den Regelungen der UNECE WP.29 festgeschrieben.
Offene Fragen und Kritikpunkte: Die Debatte um den Cyber Resilience Act
Der Cyber Resilience Act ist ein ambitioniertes Vorhaben, das aber auch einige offene Fragen aufwirft. Ein zentraler Kritikpunkt betrifft die praktische Umsetzbarkeit des Gesetzes.
So gibt der Bitkom zu bedenken, dass die Anforderungen des Gesetzes viele Unternehmen vor große Herausforderungen stellen könnten. Denn der Gesetzesentwurf sieht vor, dass die vorgeschriebenen Sicherheitsstandards innerhalb von 24 Monaten nach Inkrafttreten der Regelungen umgesetzt werden müssen. Die Deutsche Industrie- und Handelskammer weist in diesem Zusammenhang darauf hin, dass viele Unternehmen Schwierigkeiten haben könnten, die notwendigen Fachkräfte zu rekrutieren, um die Anforderungen des Cyber Resilience Act fristgerecht zu erfüllen.
Auch der TÜV-Verband und der Zentralverband Elektrotechnik- und Elektronikindustrie (ZVEI) sehen den Gesetzentwurf nicht ausschließlich positiv. Sie begrüßen zwar grundsätzlich die Einführung verbindlicher Cybersicherheitsanforderungen, fordern aber Nachschärfungen. Insbesondere die weite Definition von „kritischen Produkten“ und „hochkritischen Produkten“ wird kritisch gesehen. Der ZVEI warnt davor, dass es für Unternehmen schwierig werden könnte, Produkte auf den Markt zu bringen, wenn diese Einstufung zu erheblichen Verzögerungen führt.
Cyber Resilience Act und sepp.med: Gemeinsam für eine sichere digitale Zukunft
Inmitten der Herausforderungen und Unsicherheiten, die der Cyber Resilience Act mit sich bringt, steht Ihnen sepp.med als verlässlicher Partner zur Seite. Mit jahrzehntelanger Erfahrung in der regulatorischen Beratung und Software Security unterstützen wir Unternehmen dabei, die Anforderungen des neuen Gesetzes zu erfüllen.
Die Umsetzung des neuen Gesetzes zur Cybersicherheit wird für viele Unternehmen eine Herausforderung sein, speziell aufgrund des Mangels an Fachkräften im Bereich Cybersecurity. Hier kann sepp.med mit umfassender Beratung durch erfahrene Experten und mit zuverlässiger Umsetzung durch unsere agilen Teams tatkräftig unterstützen. Unser Ziel ist es, Ihre Digitalisierung durch schnelle und regelkonforme Ergebnisse zum Erfolg zu führen.
Gerne geben unsere Expertinnen und Experten ihr Wissen in Schulungen und Trainings weiter, um Ihr Team in Sachen IT- und Softwaresicherheit auf den neuesten Stand zu bringen. So können Sie sicher sein, auf alle Fragen die richtigen Antworten zu haben – sei es für ein bevorstehendes Audit oder für die tägliche Arbeit.
Der Cyber Resilience Act ist ein wichtiger Schritt in eine sicherere digitale Zukunft. Lassen Sie uns diese Zukunft gemeinsam gestalten! Wir freuen uns darauf, Sie auf diesem Weg zu begleiten.
