Markt + Trends | IT-Recht & Datenschutz | iX

EU Cyber Resilience Act nimmt entscheidende Hürde

Die kommenden europäischen Vorgaben des Cyber Resilience Act (CRA) sollen Produkte mit digitalen Anteilen sicherer machen. In der Pflicht sind alle an Produktion und Vertrieb Beteiligten.

Europäische Union

Der EU Cyber Resilience Act (CRA) hat eine entscheidende Hürde genommen. Die „Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ ist vom Europäischen Parlament Mitte März 2024 verabschiedet worden. Für ein Inkrafttreten fehlt nur noch die Zustimmung des EU-Rats, die als sicher gilt. Während sich die NIS2-Verordnung um betriebsbezogene Cybersicherheit dreht, sollen mit dem CRA Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt werden. Mit der Verabschiedung hat das Europäische Parlament die Weichen für das Inkrafttreten der Verordnung noch vor der Europawahl im Juni 2024 gestellt.

Wie beim AI Act muss auf nationaler Ebene eine Behörde benannt werden, die die Einhaltung der CRA-Vorgaben überwacht. Für Deutschland sind dafür das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Bundesnetzagentur (BNetzA) im Gespräch. Die Regulierung erfasst Software und Hardware sowie mit ihnen verbundene Cloud-Produkte (zum Beispiel Festplatten, Browser, Passwortmanager, Router, Firewalls et cetera) und verlangt von den Herstellern die Befolgung des Grundsatzes „Security by Design“. Diese Anforderung muss zukünftig nicht nur beim Markteintritt, sondern fortlaufend erfüllt sein. Der CRA regelt Cybersicherheitsanforderungen, Informationen und Instruktionen, die den Nutzern bereitzustellen sind, Maßgaben für unterschiedliche Kritikalitätsklassen von Produkten mit digitalen Elementen, die EU-Konformitätserklärung und Bewertungsverfahren und die Anforderungen, die an die Produktdokumentation zu stellen sind.