Cyberresilienzgesetz: Rat und Parlament erzielen Einigung über Sicherheitsanforderungen für digitale Produkte

Der Ratsvorsitz und die Verhandlungsführer des Europäischen Parlaments haben eine vorläufige Einigung über den vorgeschlagenen Rechtsakt in Bezug auf Cybersicherheitsanforderungen für Produkte mit digitalen Elementen erzielt, mit dem sichergestellt werden soll, dass Produkte – wie Heimkameras, Kühlschränke, Fernsehgeräte und Spielzeug, die vernetzt sind – sicher sind, bevor sie in Verkehr gebracht werden („Cyberresilienzgesetz“).

Die heutige Einigung ist ein Meilenstein auf dem Weg zu einem sicheren und geschützten digitalen Binnenmarkt in Europa. Vernetzte Geräte müssen ein grundlegendes Cybersicherheitsniveau aufweisen, wenn sie in der EU verkauft werden. So wird sichergestellt, dass Unternehmen und Verbraucherinnen und Verbraucher ausreichend vor Cyberbedrohungen geschützt werden. Genau dies wird mit dem Cyberresilienzgesetz erreicht, sobald es in Kraft getreten ist.

José Luis Escrivá, spanischer Minister für den digitalen Wandel

Wichtigste Ziele der neuen Verordnung

Mit diesem neuen Rechtsakt werden EU-weite Cybersicherheitsanforderungen für Konzeption, Entwicklung, Herstellung und Inverkehrbringen von Hardware- und Softwareprodukten eingeführt. Ziel ist es, sich überschneidende Anforderungen aufgrund unterschiedlicher Rechtsvorschriften in den EU-Mitgliedstaaten zu vermeiden.

Die Verordnung gilt für alle Produkte, die direkt oder indirekt mit einem anderen Gerät oder einem Netz verbunden sind. Es gibt einige Ausnahmen für Produkte, für die in den geltenden EU-Vorschriften bereits Cybersicherheitsanforderungen festgelegt sind, z. B. Medizinprodukte, luftfahrttechnische Erzeugnisse oder Kraftfahrzeuge.

Mit dem Vorschlag sollen die Lücken geschlossen, die Verknüpfungen zu geltenden Rechtsvorschriften präzisiert und die geltenden Rechtsvorschriften im Bereich der Cybersicherheit kohärenter gestaltet werden, wodurch gewährleistet wird, dass Produkte mit digitalen Elementen, z. B. Produkte des „Internets der Dinge“, über die gesamte Lieferkette und ihren gesamten Lebenszyklus hinweg sicher sind.

Schließlich wird es den Verbraucherinnen und Verbrauchern durch die Verordnung auch ermöglicht, die Cybersicherheit bei der Auswahl und Nutzung von Produkten mit digitalen Elementen zu berücksichtigen. So wird es ihnen erleichtert, Hardware- und Softwareprodukte mit den entsprechenden Cybersicherheitsmerkmalen zu erkennen.

Ausrichtung des Kommissionsvorschlags im Wesentlichen übernommen

Der vorläufig vereinbarte Text orientiert sich an der allgemeinen Ausrichtung des Kommissionsvorschlags, insbesondere in Bezug auf

• Vorschriften zur Neuausrichtung der Verantwortung für die Konformität in Richtung Hersteller, die bestimmten Verpflichtungen nachkommen müssen, wie etwa der Bereitstellung von Bewertungen der Cybersicherheitsrisiken, der Ausstellung von Konformitätserklärungen und der Zusammenarbeit mit den zuständigen Behörden,
• die von den Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen, um die Cybersicherheit digitaler Produkte zu gewährleisten, und Pflichten der Wirtschaftsakteure – wie etwa Einführer oder Händler – in Bezug auf diese Verfahren,
• Maßnahmen zur Verbesserung der Transparenz im Hinblick auf die Sicherheit von Hardware- und Softwareprodukten für Verbraucherinnen und Verbraucher und gewerbliche Nutzer,
• einen Rahmen für die Marktüberwachung zur Durchsetzung dieser Vorschriften.

Wichtigste Änderungen seitens der gesetzgebenden Organe

Die gesetzgebenden Organe haben allerdings verschiedene Anpassungen von Teilen des Kommissionsvorschlags vorgeschlagen; diese beziehen sich hauptsächlich auf

• den Anwendungsbereich des vorgeschlagenen Rechtsaktes: Die Methodik für die Einstufung digitaler Produkte, die von der Verordnung abgedeckt werden, wurde vereinfacht.
• die Bestimmung der erwarteten Produktlebensdauer durch die Hersteller: Wenngleich weiterhin der Grundsatz gilt, dass während der erwarteten Lebensdauer Unterstützung geleistet werden muss, wird jedoch vorgesehen, dass mindestens fünf Jahre lang Unterstützung geleistet werden muss, außer bei Produkten, die voraussichtlich für einen kürzeren Zeitraum genutzt werden.
• die Pflicht zur Meldung von aktiv ausgenutzten Schwachstellen oder Sicherheitsvorfällen: Solche Meldungen sind zwar zuerst an die zuständigen nationalen Behörden zu richten, doch wird die Rolle der Agentur der Europäischen Union für Cybersicherheit (ENISA) gestärkt.
• die Anwendung der neuen Vorschriften: Sie gelten ab drei Jahre nach Inkrafttreten des Rechtsakts, womit den Herstellern ausreichend Zeit für die Anpassung an die neuen Anforderungen eingeräumt werden dürfte.
• zusätzliche Unterstützungsmaßnahmen für Klein- und Kleinstunternehmen: Unter anderem wurden spezielle Sensibilisierungs- und Schulungsmaßnahmen sowie eine Unterstützung für Test- und Konformitätsbewertungsverfahren vereinbart.

Weiteres Vorgehen

Im Anschluss an die heute erzielte vorläufige Einigung werden die Arbeiten in den kommenden Wochen auf fachlicher Ebene fortgesetzt, um die Einzelheiten der neuen Verordnung fertigzustellen. Der spanische Vorsitz wird den Kompromisstext den Vertretern der Mitgliedstaaten (AStV) zur Billigung vorlegen, sobald diese Arbeiten abgeschlossen sind.

Der vollständige Text muss noch von beiden Organen bestätigt und von den Rechts- und Sprachsachverständigen überarbeitet werden, bevor er von den gesetzgebenden Organen förmlich angenommen wird.

Hintergrund

In seinen Schlussfolgerungen zur Cybersicherheit vernetzter Geräte vom 2. Dezember 2020 hatte der Rat unterstrichen, wie wichtig es ist, zu bewerten, ob langfristig horizontale Rechtsvorschriften, in denen auch die Bedingungen für das Inverkehrbringen festgelegt werden, notwendig sind, um alle einschlägigen Aspekte der Cybersicherheit vernetzter Geräte, wie Verfügbarkeit, Integrität und Vertraulichkeit, anzugehen.

Das Cyberresilienzgesetz wurde erstmals von Kommissionspräsidentin von der Leyen in ihrer Rede zur Lage der Union im September 2021 vorgebracht und in den Schlussfolgerungen des Rates vom 23. Mai 2022 zur Entwicklung der Cyberabwehr der Europäischen Union erwähnt, in denen die Kommission aufgefordert wurde, bis Ende 2022 ihren Vorschlag vorzulegen.

Am 15. September 2022 hat die Kommission den Vorschlag für ein Cyberresilienzgesetz vorgelegt, das den bestehenden EU-Rahmen für Cybersicherheit ergänzen wird, nämlich die Richtlinie zur Netz- und Informationssicherheit (NIS-Richtlinie), die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS‑2-Richtlinie) und den EU-Rechtsakt zur Cybersicherheit.

• Ihr Alltag im Internet: Wie die EU ihn leichter und sicherer macht (ausführlicher Beitrag)