Cyberbedrohung

Eine Cyberbedrohung ist im Cyber Resilience Act (CRA) jeder mögliche Umstand, jedes mögliche Ereignis oder jede mögliche Handlung, die Netz- und Informationssysteme, die Nutzer dieser Systeme und andere Personen schädigen, stören oder anderweitig beeinträchtigen könnte. Artikel 3 Nummer 46 formuliert das nicht selbst aus, sondern verweist auf Artikel 2 Nummer 8 der Verordnung (EU) 2019/881, den Rechtsakt zur Cybersicherheit.

Diese Begriffsbestimmung ist bewusst weit. Sie setzt keinen Schaden voraus, keinen Angriff und nicht einmal einen böswilligen Akteur. Es genügt, dass eine nachteilige Einwirkung möglich ist, und erfasst sind Umstände, Ereignisse und Handlungen gleichermaßen.

Möglichkeit statt Vorfall

Von den Nachbarbegriffen des CRA trennt die Cyberbedrohung der Eintritt. Eine Cyberbedrohung muss nie stattgefunden haben, denn sie beschreibt, was geschehen könnte. Ein Sicherheitsvorfall ist dagegen ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit tatsächlich beeinträchtigt. Ein Beinahe-Vorfall liegt dazwischen. Er bezeichnet ein Ereignis, das eine solche Beeinträchtigung hätte bewirken können, dessen Eintritt aber verhindert wurde oder das gar nicht erst eingetreten ist.

Auch der Bezugspunkt ist ein anderer. Sicherheitsvorfall und Beinahe-Vorfall werden an einem betroffenen System gemessen, die Cyberbedrohung dagegen ist produktunabhängig formuliert. Sie richtet sich gegen Netz- und Informationssysteme, deren Nutzer und andere Personen. Ein Produkt mit digitalen Elementen kommt in der Definition überhaupt nicht vor.

Der Begriff trägt den Schwachstellenbegriff

Seine praktische Bedeutung entfaltet der Begriff an anderer Stelle der Verordnung. Nach Artikel 3 Nummer 40 ist eine Schwachstelle eine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann. Die Cyberbedrohung ist damit der Filter, der sicherheitsrelevante Mängel von sonstigen Fehlern trennt.

Weil dieser Filter grob ist, hält er wenig zurück. Für die Einordnung als Schwachstelle reicht ein denkbarer Umstand, unter dem sich die Schwäche nachteilig auswirken ließe. Ein veröffentlichter Exploit, ein benannter Angreifer oder ein Eintrag in einer Schwachstellendatenbank sind nicht erforderlich. Ein reiner Anzeigefehler bleibt draußen, eine unsichere Voreinstellung nicht.

Bedrohungen halten sich nicht an Produktgrenzen

Erwägungsgrund 9 zieht daraus eine Folgerung für die Reichweite der Herstellerpflichten. Weil sich Cyberbedrohungen über verschiedene Produkte mit digitalen Elementen verbreiten können, ehe ein bestimmtes Ziel erreicht wird, etwa durch die Verkettung mehrerer ausnutzbarer Schwachstellen, sollten Hersteller auch die Cybersicherheit jener Produkte sicherstellen, die nur indirekt mit anderen Geräten oder Netzen verbunden sind.

Für die Risikobewertung folgt daraus, dass ein Produkt nicht schon deshalb außer Betracht bleibt, weil es selbst keine schützenswerten Daten hält. Es kann als Zwischenstation dienen, und genau diese Rolle gehört in die Analyse der Betriebsumgebung nach Artikel 13 Absatz 3.

Gemeldet wird freiwillig

Artikel 15 Absatz 1 stellt Herstellern und allen übrigen natürlichen oder juristischen Personen frei, Cyberbedrohungen, die sich auf das Risikoprofil eines Produkts mit digitalen Elementen auswirken könnten, einem Als Koordinator benanntes CSIRT oder der ENISA zu melden. Eine Pflicht dazu kennt der CRA nicht.

Genau darin unterscheidet sich die Cyberbedrohung von den Gegenständen des Artikels 14. Verpflichtend zu melden sind allein aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, und nur dort läuft die Frühwarnfrist von 24 Stunden. Für Cyberbedrohungen gibt es keine Frist, weil es keine Pflicht gibt.

Einen eigenen Meldeweg braucht es trotzdem nicht. Artikel 16 Absatz 1 bezieht die freiwilligen Meldungen ausdrücklich in die Einheitliche Meldeplattform ein. Artikel 15 Absatz 5 schützt zusätzlich, wer meldet. Die Angaben sind vertraulich zu behandeln, und aus einer freiwilligen Meldung dürfen keine Pflichten erwachsen, die ohne sie nicht bestanden hätten.

An die Verbraucherseite denkt Artikel 52 Absatz 11. Die Marktüberwachungsbehörden müssen Verbraucher darüber informieren, wo und wie diese Zugang zu Mechanismen erhalten, die die Meldung von Schwachstellen, Sicherheitsvorfällen und Cyberbedrohungen erleichtern, die Produkte mit digitalen Elementen betreffen können.

Bedrohung und Risiko sind nicht dasselbe

Das Cybersicherheitsrisiko ist nach Artikel 3 Nummer 37 das Potenzial für Verluste oder Störungen, die ein Sicherheitsvorfall verursacht, ausgedrückt als Kombination aus Ausmaß und Eintrittswahrscheinlichkeit. Die Bedrohung ist eine Eingangsgröße dieser Bewertung, das Risiko ihr Ergebnis.

Die Pflichten des CRA hängen am Risiko, nicht an der Bedrohung. Artikel 13 Absatz 2 verlangt eine Bewertung der Cybersicherheitsrisiken, Absatz 3 deren Dokumentation und, soweit erforderlich, Fortschreibung über den Unterstützungszeitraum, ausgehend von Zweckbestimmung und vernünftigerweise vorhersehbarer Verwendung. Welche Bedrohungen dabei anzusetzen sind und aus welchen Quellen sie stammen sollen, schreibt die Verordnung nicht vor.

Eine Abstufung nach Schwere fehlt ebenfalls. Die NIS-2-Richtlinie kennt in Artikel 6 Nummer 11 die erhebliche Cyberbedrohung, der CRA dagegen steigert allein auf der Risikoseite, nämlich zum erheblichen Cybersicherheitsrisiko in Artikel 3 Nummer 38.