Endpunkt

Ein Endpunkt ist nach Artikel 3 Nummer 11 des Cyber Resilience Acts (CRA) ein Gerät, das an ein Netz angeschlossen ist und als Zugangspunkt zu diesem Netz dient. Die Begriffsbestimmung besteht aus zwei Merkmalen, die zusammentreffen müssen: dem Anschluss an ein Netz und der Rolle als Zugang zu eben diesem Netz.

Das zweite Merkmal ist das engere. Ein Gerät, das an einem Netz hängt, ist deshalb noch kein Endpunkt; es muss den Weg in dieses Netz eröffnen. Weder „Gerät“ noch „Netz“ definiert der CRA, sodass die Zuordnung an der Funktion entlanggeht und nicht an der Bauform. Ein Laptop kann ein Endpunkt sein, ebenso ein Router, ein Gateway oder ein Server. Die englische Fassung spricht von „any device“ und betont damit, dass keine Geräteklasse von vornherein ausgenommen ist.

Wo der Begriff in der Verordnung vorkommt

Außerhalb der Begriffsbestimmung taucht der Endpunkt in diesem Sinne im verfügenden Teil des CRA genau einmal auf: in Artikel 7 Absatz 2 Buchstabe a, dort als „Endpunktsicherheit“. In Anhang I steht er nicht, in Artikel 2 ebenso wenig, und keine Herstellerpflicht knüpft an die Eigenschaft als Endpunkt an. Die Definition ist ein Baustein für andere Vorschriften, keine eigene Rechtsfolge.

Endpunktsicherheit als Einstufungskriterium

Artikel 7 Absatz 2 nennt zwei Kriterien, von denen die in Anhang III aufgeführten Produktkategorien mindestens eines erfüllen. Buchstabe a beschreibt Produkte, die in erster Linie Funktionen erfüllen, die für die Cybersicherheit anderer Produkte, Netze oder Dienste von entscheidender Bedeutung sind, und zählt dazu die Sicherung der Authentifizierung und des Zugangs, die Prävention und Erkennung von Eindringen, die Endpunktsicherheit oder den Netzschutz.

Dieses Kriterium stuft für sich genommen kein Produkt ein. Nach Artikel 7 Absatz 1 gilt als wichtiges Produkt, was die Kernfunktionen einer in Anhang III aufgeführten Kategorie aufweist, und eine Kategorie namens Endpunktsicherheit gibt es dort nicht. Am nächsten kommen ihr Klasse I Nummer 4, Software für die Suche, Entfernung und Quarantäne von Schadsoftware, sowie Klasse II Nummer 2, Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme. Was aus der Einstufung folgt, behandeln die wichtigen und die kritischen Produkte.

Seine Wirkung entfaltet das Kriterium vor allem nach vorn. Artikel 7 Absatz 3 erlaubt der Kommission, Anhang III durch delegierte Rechtsakte zu ändern, und verweist für die Bewertung dieser Notwendigkeit auf ebendiese Kriterien. Wird eine Kategorie neu aufgenommen oder von Klasse I in Klasse II verschoben, sehen diese Rechtsakte gegebenenfalls einen Übergangszeitraum von mindestens 12 Monaten vor, bevor die Konformitätsbewertungsverfahren nach Artikel 32 Absätze 2 und 3 greifen; aus Gründen äußerster Dringlichkeit darf er kürzer ausfallen. Die technischen Beschreibungen der Kategorien der Anhänge III und IV legt nach Artikel 7 Absatz 4 ein Durchführungsrechtsakt fest, den die Kommission bis zum 11. Dezember 2025 zu erlassen hat.

Nicht zu verwechseln mit dem Meldeendpunkt

Dasselbe Wort steht im CRA an anderer Stelle für etwas völlig anderes. Nach Artikel 16 Absatz 1 muss die Architektur der Einheitlichen Meldeplattform es den Mitgliedstaaten und der ENISA ermöglichen, ihre eigenen Endpunkte für die elektronische Meldung einzurichten. Artikel 14 Absatz 7 bestimmt, über welchen dieser Endpunkte ein Hersteller zu melden hat, und nach Artikel 16 Absatz 5 stellt die ENISA Spezifikationen für den sicheren Betrieb der Plattform bereit, die auch die Sicherheitsvorkehrungen für diese Endpunkte umfassen.

Gemeint ist damit eine Meldeschnittstelle bei einem als Koordinator benannten CSIRT oder bei der ENISA, kein Gerät. Die Begriffsbestimmung in Artikel 3 Nummer 11 beschreibt etwas anderes und passt darauf nicht. Wer die Meldevorschriften liest, sollte den Begriff dort also nicht mit der Legaldefinition zusammenbringen.

Verhältnis zum Anwendungsbereich

Artikel 2 Absatz 1 macht die Anwendbarkeit des CRA an einer direkten oder indirekten, logischen oder physischen Datenverbindung mit einem Gerät oder Netz fest. Das Wort Endpunkt kommt dort nicht vor. Die Definition beschreibt also nicht die Eintrittsfrage, sondern eine mögliche Gegenstelle der Verbindung. Den Anwendungstest selbst erklärt die Datenverbindung.

Weshalb es auf diese Rolle ankommt, zeigt Erwägungsgrund 9, ohne das Wort Endpunkt zu verwenden. Jedes Produkt mit digitalen Elementen, das in ein größeres elektronisches Informationssystem integriert oder mit ihm verbunden ist, kann böswilligen Akteuren unter bestimmten Umständen als Angriffsvektor dienen. Auch als weniger kritisch geltende Hardware und Software kann die erste Kompromittierung eines Geräts oder Netzes erleichtern und privilegierten Zugriff oder die Bewegung zwischen Systemen ermöglichen. Genau diese Rolle beschreibt der Endpunkt.

Was praktisch daran hängt

Auch ohne eigene Rechtsfolge wirkt sich die Rolle als Zugangspunkt auf die Anforderungen aus. Anhang I Teil I Nummer 2 gilt nach seinem Einleitungssatz auf der Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, soweit zutreffend. Bei einem Gerät, über das ein Netz betreten wird, sind vor allem vier Buchstaben einschlägig:

• Buchstabe d: Schutz vor unbefugtem Zugriff durch geeignete Kontrollmechanismen, zumindest durch Authentifizierungs-, Identitäts- oder Zugangsverwaltungssysteme, und Meldung möglicherweise unbefugten Zugriffs
• Buchstabe i: Minimierung der negativen Auswirkungen des Produkts selbst oder vernetzter Geräte auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste
• Buchstabe j: möglichst geringe Angriffsflächen, ausdrücklich auch bei externen Schnittstellen
• Buchstabe k: Verringerung der Auswirkungen eines Sicherheitsvorfalls durch geeignete Mechanismen und Techniken zur Minderung der möglichen Ausnutzung

Nach Artikel 13 Absatz 3 muss die Risikobewertung angeben, ob und gegebenenfalls in welcher Weise die Anforderungen aus Anhang I Teil I Nummer 2 auf das Produkt anwendbar sind und wie sie umgesetzt werden. Hält ein Hersteller eine der grundlegenden Cybersicherheitsanforderungen für nicht anwendbar, verlangt Artikel 13 Absatz 4 eine klare Begründung in der technischen Dokumentation. Bei einem Produkt, das als Zugang zu einem Netz dient, ist diese Begründung für die vier genannten Buchstaben schwer zu führen.

Erwägungsgrund 55 zeigt den Ausweg, wenn eine Anforderung tatsächlich nicht passt, aber Risiken bestehen bleiben: Der Hersteller soll ihnen mit anderen Mitteln begegnen, etwa indem er die Zweckbestimmung auf vertrauenswürdige Umgebungen beschränkt oder die Nutzer über die Risiken informiert. Eine solche Beschränkung bleibt nicht intern. Nach Anhang II Nummer 4 gehört die Zweckbestimmung einschließlich des vom Hersteller bereitgestellten Sicherheitsumfelds in die Informationen für den Nutzer.