Datenverbindung

Die Datenverbindung ist das Merkmal, an dem der Cyber Resilience Act (CRA) seinen gesamten Anwendungsbereich festmacht. Nach Artikel 2 Absatz 1 gilt die Verordnung für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

Den Ausdruck „Datenverbindung“ selbst definiert der CRA nirgends, und „Gerät“ und „Netz“ ebenso wenig. Definiert sind nur die drei Eigenschaftswörter, die den Satz weit machen: die logische Verbindung in Artikel 3 Nummer 8, die physische Verbindung in Nummer 9 und die indirekte Verbindung in Nummer 10. Ob ein Produkt mit digitalen Elementen erfasst ist, entscheidet sich an diesen drei Begriffen.

Zwei Prüfungen, in jeder genügt eine Variante

Der Satz verbindet zwei Fragen. Die eine betrifft die Verbindung selbst, die andere den Anlass, aus dem sie zustande kommt. Beide müssen beantwortet sein, innerhalb jeder Frage reicht aber eine einzige Variante.

• Anlass: die Zweckbestimmung oder die vernünftigerweise vorhersehbare Verwendung. Die zweite Variante liegt nicht in der Hand des Herstellers.
• Verbindung: direkt oder indirekt, logisch oder physisch. Vier Kombinationen, von denen eine genügt.

Damit steht auch die Reihenfolge fest. Wer zuerst nach der Verbindungsart fragt, prüft am falschen Ende. Maßgeblich ist zunächst, was zu Zweckbestimmung und vorhersehbarer Verwendung gehört, und erst danach zählt, in welcher der vier Formen die Verbindung dort auftaucht. Am weitesten reicht dabei die indirekte Variante, denn sie erfasst auch Produkte ohne eigenen Netzanschluss, sobald das größere System, in das sie gehören, verbunden werden kann.

Wohin die Verbindung führen muss

Zwei weitere Definitionen umschreiben das Ziel der Verbindung, ohne „Gerät“ oder „Netz“ festzulegen. Das elektronische Informationssystem in Artikel 3 Nummer 7 kehrt in der physischen Verbindung wieder, die Nummer 9 als Verbindung zwischen elektronischen Informationssystemen oder Komponenten beschreibt. Der Endpunkt in Nummer 11 ist ein Gerät, das an ein Netz angeschlossen ist und als Zugangspunkt zu diesem Netz dient. Artikel 2 Absatz 1 greift selbst auf keinen der beiden Ausdrücke zurück.

Wichtiger als beide Definitionen ist, was Artikel 2 Absatz 1 gerade nicht verlangt. Von einem Internetzugang ist dort nicht die Rede. Eine Verbindung zu einem einzelnen Gerät genügt, und dieses Gerät muss selbst an keinem Netz hängen.

Wenn die Voraussetzung nicht erfüllt ist

Der CRA nennt keine Beispiele für Produkte, die an Artikel 2 Absatz 1 scheitern. Die Begründung muss der Hersteller selbst führen und gegenüber Kunden, Einführern und Behörden vertreten. Hilfreich ist, die Prüfung an den vorhandenen Schnittstellen entlangzuführen statt am Bild vom vernetzten Produkt. Gefragt ist nicht, ob ein Produkt vernetzt ist, sondern ob eine einzige Datenverbindung zu seinem Zweck oder seiner vorhersehbaren Verwendung gehört.

Die Verbindung allein genügt nicht

Artikel 2 stellt der Voraussetzung mehrere Ausnahmen zur Seite. Ausgenommen sind nach Absatz 2 Produkte, für die die Verordnungen (EU) 2017/745 über Medizinprodukte, (EU) 2017/746 über In-vitro-Diagnostika oder (EU) 2019/2144 über die Typgenehmigung von Kraftfahrzeugen gelten. Absatz 3 nimmt Produkte aus, die nach der Verordnung (EU) 2018/1139 zertifiziert sind, Absatz 4 Geräte im Anwendungsbereich der Richtlinie 2014/90/EU über Schiffsausrüstung. Absatz 7 nimmt Produkte aus, die ausschließlich für Zwecke der nationalen Sicherheit oder für Verteidigungszwecke entwickelt oder geändert wurden, und Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind.

Absatz 6 nimmt außerdem Ersatzteile aus, die identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden. Nach Absatz 5 kann die Anwendung der Verordnung auf Produkte eingeschränkt oder ausgeschlossen werden, die unter andere Rechtsvorschriften der Union mit Anforderungen an alle oder einige der von Anhang I abgedeckten Risiken fallen. Voraussetzung ist, dass dies mit dem für diese Produkte geltenden allgemeinen Rechtsrahmen vereinbar ist und die sektorspezifischen Vorschriften dasselbe Schutzniveau erreichen oder ein höheres; die Notwendigkeit stellt die Kommission durch delegierte Rechtsakte fest. Die Datenverbindung ist damit die notwendige Bedingung des Anwendungsbereichs, nicht die hinreichende.

Was inhaltlich an der Verbindung hängt

Die Verbindung öffnet nicht nur den Anwendungsbereich, sie prägt auch die Anforderungen. Anhang I Teil I Nummer 2 gilt nach seinem Einleitungssatz auf der Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, soweit zutreffend. Buchstabe j verlangt dann, Produkte so zu konzipieren, zu entwickeln und herzustellen, dass sie auch bei externen Schnittstellen möglichst geringe Angriffsflächen bieten. Buchstabe i verlangt, die negativen Auswirkungen der Produkte selbst oder vernetzter Geräte auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste zu minimieren.

Nach Artikel 13 Absatz 3 umfasst die Bewertung der Cybersicherheitsrisiken mindestens eine Analyse auf der Grundlage von Zweckbestimmung und vernünftigerweise vorhersehbarer Verwendung, und die Betriebsumgebung nennt der Wortlaut dort als Beispiel. Nach Absatz 4 gehört die Bewertung beim Inverkehrbringen in die technische Dokumentation nach Artikel 31 und Anhang VII. Wie ein Produkt verbunden ist, steht damit zweimal im Verfahren: einmal als Eintrittsfrage, einmal als Inhalt.

Anhang II Nummer 4 verlangt zudem, den Nutzern die Zweckbestimmung einschließlich des vom Hersteller bereitgestellten Sicherheitsumfelds mitzuteilen. Wer sich auf eine eng gefasste Zweckbestimmung stützt, muss sie also aufschreiben und mitliefern. Eine Einschränkung, die nur als interne Annahme existiert, trägt nicht.

Was die Verbindung nicht entscheidet

Über die Einstufung des Produkts sagt die Datenverbindung nichts. Ob es zu den wichtigen Produkten nach Artikel 7 und Anhang III oder zu den kritischen Produkten nach Artikel 8 und Anhang IV zählt, ist eine eigene Frage; welches Konformitätsbewertungsverfahren daraus folgt, regelt Artikel 32. Art und Intensität der Verbindung spielen dabei keine Rolle. Ein dauerhaft vernetztes Gerät kann in das einfachste Verfahren fallen, während ein rein lokal arbeitender Passwort-Manager nach Artikel 7 Absatz 1 in Verbindung mit Anhang III Klasse I Nummer 3 als wichtiges Produkt gilt.