Cybersicherheit

Cybersicherheit ist das Ziel, auf das der Cyber Resilience Act (CRA) hinausläuft, und ausgerechnet diesen Begriff formuliert die Verordnung nicht selbst aus. Artikel 3 Nummer 3 verweist auf Artikel 2 Nummer 1 der Verordnung (EU) 2019/881, des Rechtsakts zur Cybersicherheit. Dort heißt es: Cybersicherheit sind alle Tätigkeiten, die notwendig sind, um Netz- und Informationssysteme, die Nutzer solcher Systeme und andere von Cyberbedrohungen betroffene Personen zu schützen.

Tätigkeiten, kein Zustand

Die Definition beschreibt Cybersicherheit als Tun. Sie nennt keine Eigenschaft, die ein Produkt hat oder nicht hat, und keinen Schwellenwert, ab dem etwas als sicher gelten dürfte. Das erklärt die Bauweise der Verordnung, die zu weiten Teilen Verfahren regelt statt Merkmale.

Artikel 13 Absatz 2 verlangt, das Ergebnis der Risikobewertung in sechs Phasen zu berücksichtigen, nämlich in Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung. Artikel 13 Absatz 8 bindet die Behandlung von Schwachstellen nach Anhang I Teil II an den gesamten Unterstützungszeitraum. Ein Produkt besitzt Cybersicherheit demnach nicht ein für alle Mal, sondern nur so lange, wie die Arbeit dahinter stattfindet.

Drei Schutzgüter

Geschützt werden nach der Definition drei Dinge:

• Netz- und Informationssysteme,
• die Nutzer solcher Systeme,
• andere von Cyberbedrohungen betroffene Personen.

Das dritte Schutzgut reicht am weitesten. Erfasst ist nicht nur, wer Ihr Produkt betreibt, sondern auch, wen ein Angriff über dieses Produkt erreicht. Anhang I Teil I Nummer 2 Buchstabe i setzt das in eine Anforderung um: Produkte müssen die negativen Auswirkungen von ihnen selbst oder von vernetzten Geräten auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste minimieren. Ein Gerät, das sich für ein Botnetz einspannen lässt, verfehlt diese Anforderung, selbst wenn seinem Eigentümer nichts geschieht.

Was ein Netz- und Informationssystem ist, klärt eine weitere Verweisungskette. Artikel 2 Nummer 2 der Verordnung (EU) 2019/881 zeigt auf Artikel 4 Nummer 1 der Richtlinie (EU) 2016/1148, die nach Artikel 44 der NIS-2-Richtlinie mit Wirkung vom 18. Oktober 2024 aufgehoben wurde. Bezugnahmen darauf gelten seither als Bezugnahmen auf die NIS-2-Richtlinie. Deren Artikel 6 Nummer 1 fasst dreierlei zusammen: elektronische Kommunikationsnetze, Geräte oder Gerätegruppen, die digitale Daten programmgesteuert automatisch verarbeiten, sowie die digitalen Daten, die diese Elemente zum Zweck ihres Betriebs, ihrer Nutzung, ihres Schutzes und ihrer Pflege speichern, verarbeiten, abrufen oder übertragen. Die Daten gehören also selbst zum Schutzgut, nicht nur die Technik, die sie bewegt.

Wo der Begriff in der Verordnung arbeitet

Artikel 1 benennt den Gegenstand der Verordnung und knüpft die Buchstaben a bis c ausdrücklich an die Cybersicherheit: Vorschriften für die Bereitstellung auf dem Markt, grundlegende Anforderungen an Konzeption, Entwicklung und Herstellung sowie grundlegende Anforderungen an die Verfahren zur Behandlung von Schwachstellen während der erwarteten Nutzungsdauer der Produkte.

Verbindlich wird das über Artikel 6 und die grundlegenden Cybersicherheitsanforderungen. Anhang I Teil I Nummer 1 ist die Generalklausel: Produkte werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten. Anders als die dreizehn Einzelanforderungen unter Nummer 2 steht dieser Satz nicht unter dem Vorbehalt „soweit zutreffend“.

Eine dritte Stelle wird leicht übersehen. Artikel 13 Absatz 5 verlangt beim Einbau von Komponenten Dritter die gebotene Sorgfalt, damit diese Komponenten die Cybersicherheit des Produkts nicht beeinträchtigen, ausdrücklich auch bei quelloffener Software, die nicht im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt wurde.

Wie viel genug ist, sagt der CRA nicht absolut

Ein Maß nennt die Verordnung nirgends. Was angemessen ist, ergibt sich aus der Bewertung der Cybersicherheitsrisiken, die Artikel 13 Absatz 3 an die Zweckbestimmung und die vernünftigerweise vorhersehbare Verwendung bindet, etwa an die Betriebsumgebung oder die zu schützenden Anlagen. Erst diese Bewertung entscheidet, welche Anforderungen aus Anhang I Teil I Nummer 2 auf ein konkretes Produkt überhaupt anwendbar sind.

Greifbarer wird der Maßstab über die Konformitätsvermutung. Artikel 27 kennt drei Wege dorthin: harmonisierte Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht sind, gemeinsame Spezifikationen der Kommission in Durchführungsrechtsakten und europäische Schemata für die Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881. Solange harmonisierte Normen fehlen, bleibt die Festlegung des Maßstabs beim Hersteller, und ihre Begründung gehört in die technische Dokumentation.

Was der Begriff nicht abdeckt

Vertraulichkeit, Integrität und Verfügbarkeit kommen in der Definition nicht vor. Diese Trias erreicht den CRA auf zwei Umwegen. Der erste führt über den Sicherheitsvorfall: Artikel 3 Nummer 43 übernimmt ihn aus Artikel 6 Nummer 6 der NIS-2-Richtlinie, wo er als Ereignis definiert ist, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der über Netz- und Informationssysteme angebotenen Dienste beeinträchtigt. Der zweite führt über die Buchstaben e, f und h in Anhang I Teil I Nummer 2.

Vom umfassenderen deutschen Wort „Sicherheit“ ist Cybersicherheit ebenfalls zu trennen. Artikel 13 Absatz 2 nennt die Gesundheit und Sicherheit der Nutzer ausdrücklich, und zwar als Gesichtspunkt, unter dem die Auswirkungen von Sicherheitsvorfällen so gering wie möglich zu halten sind. Beides ist gemeinsam zu betrachten und bleibt doch verschieden.

Die NIS-2-Richtlinie schließlich verweist in Artikel 6 Nummer 3 auf dieselbe Begriffsbestimmung. Der Begriff ist im Unionsrecht also einheitlich, der Gegenstand nicht. Die NIS-2-Richtlinie verpflichtet Einrichtungen für die Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, der CRA verpflichtet Hersteller für das Produkt, das sie in den Verkehr bringen.