Cybersicherheitsrisiko

Ein Cybersicherheitsrisiko ist im Cyber Resilience Act (CRA) keine Stimmungslage, sondern eine Kombination aus zwei Faktoren: dem Ausmaß eines möglichen Verlusts oder einer möglichen Störung und der Wahrscheinlichkeit, dass der auslösende Sicherheitsvorfall eintritt. Beide gehören zur Definition. Ein katastrophaler, praktisch aber unerreichbarer Schaden ist damit kein hohes Risiko, ein häufiger Bagatellschaden ebenso wenig.

Bezugspunkt ist der Sicherheitsvorfall, nicht die Schwachstelle. Der CRA übernimmt dessen Definition aus Artikel 6 Nummer 6 der Richtlinie (EU) 2022/2555 (NIS2): ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste beeinträchtigt, die über Netz- und Informationssysteme angeboten werden bzw. zugänglich sind. Ohne ein denkbares Ereignis dieser Art gibt es kein Risiko im Sinne der Verordnung.

Die Bewertung entscheidet, welche Anforderungen gelten

Artikel 13 Absatz 2 verpflichtet den Hersteller, eine Bewertung der Cybersicherheitsrisiken eines Produkts mit digitalen Elementen durchzuführen und ihr Ergebnis in sechs Phasen zu berücksichtigen: Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung.

Die praktische Tragweite steckt in Anhang I Teil I Nummer 2. Die dort unter den Buchstaben a bis m aufgezählten dreizehn Produkteigenschaften reichen von der Bereitstellung ohne bekannte ausnutzbare Schwachstellen über die sichere Standardkonfiguration, den Schutz vor unbefugtem Zugriff und die Datenminimierung bis zum sicheren Löschen aller Daten und Einstellungen. Sie gelten ausdrücklich „auf der Grundlage der Bewertung der Cybersicherheitsrisiken“ und „soweit zutreffend“. Welche davon ein konkretes Produkt erfüllen muss, ergibt sich also erst aus der Bewertung. Zwei Blöcke stehen nicht unter diesem Vorbehalt: das in Anhang I Teil I Nummer 1 verlangte angemessene Cybersicherheitsniveau angesichts der Risiken und die Anforderungen an die Behandlung von Schwachstellen in Anhang I Teil II.

Was in der Bewertung mindestens stehen muss

Artikel 13 Absatz 3 gibt einen Mindestinhalt vor:

• eine Analyse der Cybersicherheitsrisiken auf Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung, einschließlich der Verwendungsbedingungen wie der Betriebsumgebung oder der zu schützenden Anlagen
• die Berücksichtigung der Zeitspanne, über die das Produkt voraussichtlich genutzt wird
• die Angabe, ob und gegebenenfalls in welcher Weise die Anforderungen aus Anhang I Teil I Nummer 2 anwendbar sind und wie sie umgesetzt werden
• die Angabe, wie der Hersteller Anhang I Teil I Nummer 1 und die Anforderungen an die Behandlung von Schwachstellen aus Anhang I Teil II anwendet

Die Bewertung ist über den Unterstützungszeitraum hinweg zu dokumentieren und bei Bedarf zu aktualisieren. Artikel 13 Absatz 7 verlangt zusätzlich, alle relevanten Cybersicherheitsaspekte systematisch und in einer der Art der Risiken angemessenen Weise zu dokumentieren (einschließlich der Schwachstellen, von denen der Hersteller Kenntnis erlangt) und die Bewertung gegebenenfalls fortzuschreiben.

Wohin die Bewertung gehört

Beim Inverkehrbringen nimmt der Hersteller sie nach Artikel 13 Absatz 4 in die Technische Dokumentation auf; Anhang VII führt sie unter Nummer 3 ausdrücklich als Pflichtbestandteil. Sind bestimmte grundlegende Cybersicherheitsanforderungen auf das Produkt nicht anwendbar, gehört eine klare Begründung dafür in dieselbe Dokumentation.

Erwägungsgrund 55 nennt ein Beispiel: Die Zweckbestimmung eines Produkts kann es erforderlich machen, weithin anerkannte Interoperabilitätsnormen zu befolgen, auch wenn deren Sicherheitsmerkmale nicht mehr dem Stand der Technik entsprechen. Hat der Hersteller in diesem Zusammenhang Risiken ermittelt, verschwinden sie mit der Nichtanwendbarkeit nicht. Er soll ihnen dann mit anderen Mitteln begegnen, etwa indem er die Zweckbestimmung auf vertrauenswürdige Umgebungen beschränkt oder die Nutzer über die Risiken informiert. Der Erwägungsgrund erläutert die Verordnung, er begründet aber keine eigene Pflicht.

Für Hochrisiko-KI-Systeme nach Artikel 12 kann die Bewertung Teil der Risikobewertung sein, die die betreffenden Unionsrechtsakte ohnehin verlangen. Zwei getrennte Dokumente sind dafür nicht vorgeschrieben.

Erhebliches Cybersicherheitsrisiko: die zweite Stufe

Artikel 3 Nummer 38 kennt eine Steigerung. Ein erhebliches Cybersicherheitsrisiko ist eines, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führen wird, der schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte.

Daran hängen Pflichten, die über den Hersteller hinausreichen. Einführer (Artikel 19 Absätze 3 und 5) und Händler (Artikel 20 Absätze 3 und 4) müssen den Hersteller und die Marktüberwachungsbehörde unterrichten, sobald sie ein solches Risiko erkennen. Hat eine Marktüberwachungsbehörde hinreichenden Grund zu der Annahme eines erheblichen Cybersicherheitsrisikos, bewertet sie das Produkt nach Artikel 54 Absatz 1 anhand der Anforderungen dieser Verordnung. Stellt sie dabei fest, dass das Produkt diesen Anforderungen nicht genügt, fordert sie den Wirtschaftsakteur zu Korrekturmaßnahmen, zur Rücknahme vom Markt oder zum Rückruf auf, und zwar innerhalb einer Frist, die der Art des Cybersicherheitsrisikos angemessen ist.

Zwei Punkte werden dabei leicht übersehen. Erstens berücksichtigen die Behörden nach Artikel 54 Absatz 2 auch nichttechnische Risikofaktoren, etwa solche aus den koordinierten Risikobewertungen zur Sicherheit der Lieferketten auf Unionsebene nach Artikel 22 NIS2, obwohl die Definition selbst nur auf technische Merkmale abstellt. Zweitens greift Artikel 57 auch bei Produkten, die dieser Verordnung vollständig entsprechen: Stellt die Behörde nach einer Bewertung gemäß Artikel 54 fest, dass sie zugleich ein erhebliches Cybersicherheitsrisiko und eines der dort genannten weiteren Risiken bergen, etwa für die Gesundheit oder Sicherheit von Personen, muss sie den Wirtschaftsakteur zu geeigneten Maßnahmen auffordern.

Was der CRA offenlässt

Eine Methode schreibt die Verordnung nicht vor. Es gibt keine vorgegebene Skala, keine Risikomatrix und keinen Schwellenwert, ab dem ein Risiko als beherrscht gilt. Wer weder harmonisierte Normen noch gemeinsame Spezifikationen noch europäische Schemata für die Cybersicherheitszertifizierung anwendet, muss nach Anhang VII Nummer 5 beschreiben, mit welchen Lösungen die grundlegenden Anforderungen aus Anhang I Teile I und II stattdessen erfüllt werden. Die Begründungslast verschiebt sich damit auf den Hersteller.

Für Kleinstunternehmen und kleine Unternehmen sieht Artikel 33 Absatz 5 ein vereinfachtes Format der technischen Dokumentation vor, das die Kommission durch Durchführungsrechtsakt festlegt und das notifizierte Stellen akzeptieren müssen. Erleichtert wird dadurch die Form, nicht der Inhalt der Bewertung.