Erhebliches Cybersicherheitsrisiko

Das erhebliche Cybersicherheitsrisiko ist die Schwelle, an der der Cyber Resilience Act (CRA) die Marktüberwachung in Bewegung setzt. Artikel 3 Nummer 38 beschreibt damit kein neues Risiko, sondern eine Steigerung des allgemeinen Risikobegriffs, an der eigene Pflichten für Einführer und Händler sowie ein förmliches Behördenverfahren hängen.

Die Definition verlangt zwei Merkmale, und zwar beide zugleich. Erstens muss mit hoher Wahrscheinlichkeit ein Sicherheitsvorfall zu erwarten sein. Zweitens muss dieser Vorfall schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen können. Fehlt eines davon, greift der Begriff nicht. Ein wahrscheinlicher Vorfall mit geringen Folgen erfüllt ihn ebenso wenig wie ein verheerender, dessen Eintritt fernliegt.

Grundlage ist das Cybersicherheitsrisiko aus Artikel 3 Nummer 37, das Ausmaß und Eintrittswahrscheinlichkeit verbindet. Die Erheblichkeit legt über beide Größen eine Schwelle, benennt sie aber nicht in Zahlen.

Technische Merkmale, und trotzdem nicht nur

Der Wortlaut stellt ausdrücklich auf die technischen Merkmale des Risikos ab. Artikel 54 Absatz 2 weitet den Blick jedoch wieder. Bei der Bestimmung der Erheblichkeit berücksichtigen die Marktüberwachungsbehörden auch nichttechnische Risikofaktoren, insbesondere solche aus den koordinierten Risikobewertungen zur Sicherheit kritischer Lieferketten auf Unionsebene nach Artikel 22 der NIS-2-Richtlinie.

Woran der Gesetzgeber dabei denkt, sagt Erwägungsgrund 58. Er beschreibt Abhängigkeiten von risikoreichen Anbietern als strategisches Risiko und nennt als mögliche Anknüpfungspunkte die für den Hersteller geltende Gerichtsbarkeit, die Merkmale seines Unternehmenseigentums und die von Kontrolle bestimmten Beziehungen zur Regierung des Drittlands, in dem der Hersteller niedergelassen ist. Wer den Begriff rein technisch liest, unterschätzt, was eine Behörde in die Waagschale legen darf.

Wer die Beurteilung treffen muss

In den Herstellerpflichten der Artikel 13 und 14 kommt der Begriff nicht vor; die Meldepflichten des Herstellers nach Artikel 14 knüpfen an die aktiv ausgenutzte Schwachstelle und an den schwerwiegenden Sicherheitsvorfall an, der sich auf die Sicherheit des Produkts auswirkt. Beurteilen muss das erhebliche Cybersicherheitsrisiko, wer weiter hinten in der Lieferkette steht.

Der Einführer steht dabei an drei Stellen in der Pflicht:

• Hält er ein Produkt oder die Herstellerverfahren für nicht konform, darf er das Produkt erst dann in den Verkehr bringen, wenn die Konformität hergestellt ist. Birgt es zusätzlich ein erhebliches Cybersicherheitsrisiko, unterrichtet er nach Artikel 19 Absatz 3 auch den Hersteller und die Marktüberwachungsbehörden.
• Derselbe Absatz enthält eine zweite, eigenständige Pflicht: Hat er Grund zu der Annahme, dass ein Produkt angesichts nichttechnischer Risikofaktoren ein solches Risiko darstellen könnte, unterrichtet er die Behörden, die daraufhin nach Artikel 54 Absatz 2 verfahren. Ein technischer Befund ist dafür nicht verlangt.
• Erfährt er von einer Schwachstelle, informiert er nach Artikel 19 Absatz 5 unverzüglich den Hersteller. Birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichtet er zudem unverzüglich die Behörden aller Mitgliedstaaten, in denen er das Produkt bereitgestellt hat, mit genauen Angaben insbesondere zur Nichtkonformität und zu ergriffenen Korrekturmaßnahmen.

Für den Händler gilt nach Artikel 20 Absätze 3 und 4 dasselbe Muster, in zwei Punkten aber enger. Seine Beurteilung bemisst sich ausdrücklich nach den ihm vorliegenden Informationen, und die Klausel zu den nichttechnischen Risikofaktoren fehlt. Eine Begründung für diesen Unterschied nennt die Verordnung nicht.

Für Hersteller taucht der Begriff nur als Dokumentationspflicht auf. Anhang II Nummer 5 verlangt, in den Informationen und Anleitungen für den Nutzer alle bekannten oder vorhersehbaren Umstände zu nennen, die im Zusammenhang mit der Zweckbestimmung des Produkts oder dessen vernünftigerweise vorhersehbarer Fehlanwendung zu erheblichen Cybersicherheitsrisiken führen können.

Was das Verfahren nach Artikel 54 bedeutet

Hat eine Marktüberwachungsbehörde hinreichenden Grund zu der Annahme, dass ein Produkt, einschließlich der Behandlung von Schwachstellen, ein erhebliches Cybersicherheitsrisiko birgt, bewertet sie es unverzüglich, gegebenenfalls zusammen mit dem einschlägigen CSIRT. Zwei Punkte werden dabei unterschätzt. Der Anlass umfasst ausdrücklich auch die Behandlung von Schwachstellen, und die Bewertung bleibt nicht beim Anlass stehen: Geprüft wird die Konformität mit allen Anforderungen dieser Verordnung. Die betroffenen Wirtschaftsakteure arbeiten dabei im erforderlichen Umfang mit der Behörde zusammen.

Soweit für die Bewertung der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I erforderlich, gibt Artikel 53 der Behörde auf begründeten Antrag Zugang zu den Daten, die für die Bewertung von Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung nötig sind, einschließlich der betreffenden internen Unterlagen des Wirtschaftsakteurs.

Stellt die Behörde eine Nichtkonformität fest, fordert sie den Wirtschaftsakteur zu Korrekturmaßnahmen, zur Rücknahme vom Markt oder zum Rückruf auf, innerhalb einer Frist, die der Art des Cybersicherheitsrisikos angemessen ist. Eine feste Zahl von Tagen nennt der CRA nicht. Für die Korrekturmaßnahmen gilt Artikel 18 der Verordnung (EU) 2019/1020.

Ergreift der Wirtschaftsakteur innerhalb dieser Frist keine angemessenen Korrekturmaßnahmen, greift Artikel 54 Absatz 5 mit vorläufigen Maßnahmen, die die Bereitstellung auf dem nationalen Markt untersagen oder einschränken, das Produkt vom Markt nehmen oder zurückrufen; Kommission und übrige Mitgliedstaaten werden unverzüglich notifiziert. Erhebt binnen drei Monaten nach Eingang dieser Notifizierung weder ein Mitgliedstaat noch die Kommission Einwand, gilt die Maßnahme als gerechtfertigt. Andernfalls entscheidet die Kommission im Schutzklauselverfahren nach Artikel 55 innerhalb von neun Monaten nach Eingang derselben Notifizierung, ob die nationale Maßnahme gerechtfertigt ist.

Auch ein konformes Produkt kann betroffen sein

Artikel 57 ist die Vorschrift, die am ehesten übersehen wird. Sie greift, wenn die Behörde nach einer Bewertung gemäß Artikel 54 feststellt, dass Produkt und Herstellerverfahren dieser Verordnung zwar entsprechen, aber zugleich ein erhebliches Cybersicherheitsrisiko und ein Risiko für eines der folgenden Güter bergen:

• die Gesundheit oder Sicherheit von Personen
• die Erfüllung von Pflichten aus dem Unionsrecht oder dem nationalen Recht zum Schutz der Grundrechte
• die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Diensten, die wesentliche Einrichtungen nach Artikel 3 Absatz 1 der NIS-2-Richtlinie über ein elektronisches Informationssystem anbieten
• andere Aspekte des Schutzes öffentlicher Interessen

Beide Elemente müssen zusammentreffen; ein erhebliches Cybersicherheitsrisiko allein trägt Artikel 57 nicht. Liegen sie vor, fordert die Behörde geeignete Maßnahmen, die bis zur Rücknahme vom Markt oder zum Rückruf reichen können und der Art dieser Risiken angemessen sein müssen. Die Kommission prüft die nationale Maßnahme anschließend und beschließt, ob sie gerechtfertigt ist.

Was der CRA offenlässt

Der CRA nennt keine Schwelle, ab der eine Wahrscheinlichkeit „hoch“ und eine Auswirkung „schwerwiegend“ ist. Er sieht dafür weder einen Durchführungsrechtsakt noch eine harmonisierte Norm vor. Die Einstufung trifft im Ernstfall die Behörde.

Das einzige Gegengewicht entsteht lange vorher: eine Risikobewertung, die benennt, welche Vorfälle der Hersteller für wahrscheinlich hält, welche Folgen er ihnen zuschreibt und warum. Wer sie erst im laufenden Verfahren nachliefert, verhandelt über die eigene Dokumentation statt über das Produkt.