Elektronisches Informationssystem

Ein elektronisches Informationssystem ist nach Artikel 3 Nummer 7 des Cyber Resilience Acts (CRA) ein System einschließlich elektrischer oder elektronischer Ausrüstung, das digitale Daten verarbeiten, speichern oder übertragen kann. Die Definition beschreibt damit keine Produktgattung, sondern eine Fähigkeit.

Eine Herstellerpflicht knüpft die Verordnung unmittelbar an diesen Begriff nicht. Tragend ist er trotzdem, weil drei andere Definitionen ohne ihn nicht auskommen, nämlich Software, Hardware und Komponente.

Drei Fähigkeiten, von denen eine genügt

Verarbeiten, speichern und übertragen stehen im Verordnungstext mit „oder“ nebeneinander. Ein System muss also nicht alles drei können. Ein Datenträger, der Daten nur aufbewahrt, erfüllt die Definition ebenso wie ein Medienkonverter, der sie weder auswertet noch speichert, sondern ausschließlich weiterreicht.

Ebenso wichtig ist das Wort „kann“. Gefordert ist die Fähigkeit, nicht deren tatsächliche Nutzung. Eine vorhandene, im Auslieferungszustand aber abgeschaltete Schnittstelle ändert an der Einordnung nichts.

Die einzige echte Einschränkung liegt bei den digitalen Daten. Eine rein analoge Signalkette fällt nicht darunter. In der Praxis trägt dieser Einwand selten weit, weil schon ein Mikrocontroller, ein Analog-Digital-Wandler oder eine digitale Anzeige die Schwelle überschreitet.

Warum die Ausrüstung ausdrücklich genannt wird

Der Einschub „einschließlich elektrischer oder elektronischer Ausrüstung“ stellt klar, dass die Geräte selbst zum System gehören und nicht nur das, was auf ihnen läuft. Genannt ist dabei nicht allein die elektronische, sondern auch die elektrische Ausrüstung. Ältere Technik bleibt also nicht deshalb außen vor, weil sie ohne moderne Elektronik auskommt.

Was auf dem Begriff aufbaut

Artikel 3 verwendet das elektronische Informationssystem als Baustein für drei weitere Definitionen:

• Software ist nach Nummer 4 der Teil eines elektronischen Informationssystems, der aus Computercode besteht. Software ist damit nicht als eigenständige Sache definiert, sondern als Teil eines Systems.
• Hardware ist nach Nummer 5 ein physisches elektronisches Informationssystem, das digitale Daten verarbeiten, speichern oder übertragen kann, oder Teile eines solchen Systems.
• Eine Komponente ist nach Nummer 6 Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist.

Über diese drei Definitionen erreicht der Begriff das Produkt mit digitalen Elementen, das Artikel 3 Nummer 1 als Software- oder Hardwareprodukt beschreibt. Jede Pflicht des CRA, die sich an ein Produkt richtet, steht deshalb mittelbar auf Nummer 7.

Auffällig ist, dass Nummer 5 die Fähigkeitsformel wiederholt, obwohl Nummer 7 sie bereits enthält. Die Sprachfassungen setzen den Zusatz unterschiedlich an, im Deutschen beim System und im Englischen bei dessen Teilen. Am Ergebnis ändert das nichts, denn Nummer 7 verlangt die Fähigkeit ohnehin.

Der Weg in den Anwendungsbereich

Artikel 2 Absatz 1 macht den Anwendungsbereich an einer direkten oder indirekten, logischen oder physischen Datenverbindung mit einem Gerät oder Netz fest. Das elektronische Informationssystem kommt in diesem Satz nicht vor. Den Anwendungstest selbst erklärt die Datenverbindung.

In den Test gelangt der Begriff nur über die physische Variante. Die Physische Verbindung ist nach Artikel 3 Nummer 9 eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten, hergestellt mit physikalischen Mitteln wie elektrischen, optischen oder mechanischen Schnittstellen, Drähten oder Funkwellen. Die Logische Verbindung nach Nummer 8 kommt dagegen ohne den Begriff aus, denn sie ist eine virtuelle Darstellung einer Datenverbindung über eine Softwareschnittstelle.

Warum der Begriff so weit gefasst ist

Erwägungsgrund 9 nennt den Grund. Alle Produkte mit digitalen Elementen, die in ein größeres elektronisches Informationssystem integriert oder mit ihm verbunden sind, können böswilligen Akteuren unter bestimmten Umständen als Angriffsvektor dienen. Auch als weniger kritisch geltende Hardware und Software kann deshalb die erste Kompromittierung eines Geräts oder Netzes erleichtern und es böswilligen Akteuren ermöglichen, sich privilegierten Zugriff auf ein System zu verschaffen oder sich systemübergreifend zu bewegen. Der Erwägungsgrund zieht daraus den Schluss, dass die Hersteller alle Produkte mit digitalen Elementen im Einklang mit den grundlegenden Cybersicherheitsanforderungen konzipieren und entwickeln sollten. Eine Ausnahme für einfache Produkte sieht er nicht vor.

Wo die Systemgrenze praktisch gebraucht wird

Anhang I Teil I setzt an mehreren Stellen voraus, dass klar ist, wo Ihr System endet. Nummer 2 Buchstabe j verlangt, Produkte so zu konzipieren, zu entwickeln und herzustellen, dass sie auch bei externen Schnittstellen möglichst geringe Angriffsflächen bieten. Von einer externen Schnittstelle lässt sich nur sprechen, wenn die Grenze gezogen ist.

Nummer 2 Buchstabe i verlangt, die negativen Auswirkungen der Produkte selbst oder vernetzter Geräte auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste zu minimieren. Beide Anforderungen gelten nach dem Einleitungssatz auf der Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, soweit zutreffend. Wo Ihr System endet, ist damit keine Frage des Sprachgebrauchs, sondern eine Annahme, an der die Anforderungen des Anhangs I gemessen werden.

Nicht dasselbe wie das Netz- und Informationssystem der NIS-2-Richtlinie

Beide Begriffe klingen ähnlich und stammen aus benachbarten Rechtsakten, sind aber unterschiedlich gebaut. Artikel 6 Nummer 1 der NIS-2-Richtlinie zählt drei Dinge auf: elektronische Kommunikationsnetze, Geräte oder Gerätegruppen, die programmgesteuert digitale Daten automatisch verarbeiten, und die digitalen Daten selbst, soweit sie für Betrieb, Nutzung, Schutz und Pflege dieser Elemente gespeichert, verarbeitet, abgerufen oder übertragen werden. Der CRA arbeitet dagegen mit einer einzigen Fähigkeitsformel und rechnet die Daten nicht zum System.

Zusammen treffen die beiden Begriffe in Artikel 57 Absatz 1 Buchstabe c. Stellt eine Marktüberwachungsbehörde nach einer Bewertung gemäß Artikel 54 fest, dass ein konformes Produkt ein erhebliches Cybersicherheitsrisiko und zugleich ein Risiko für die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Diensten birgt, die wesentliche Einrichtungen im Sinne von Artikel 3 Absatz 1 der NIS-2-Richtlinie über ein elektronisches Informationssystem anbieten, fordert sie den Wirtschaftsakteur zu geeigneten Maßnahmen auf. Der CRA beschreibt die Dienste dieser Einrichtungen also mit seinem eigenen Systembegriff.

Was der Begriff nicht leistet

Der Versuch, ein Produkt über Nummer 7 aus dem Anwendungsbereich zu halten, führt fast nie zum Ziel. Nahezu alles, was der CRA erfassen will, kann digitale Daten verarbeiten, speichern oder übertragen. Wer prüfen will, ob ein Produkt erfasst ist, setzt deshalb besser bei Artikel 2 Absatz 1 und den vier Verbindungsvarianten an als bei der Frage, ob überhaupt ein System vorliegt.