Europäisches Schema für die Cybersicherheitszertifizierung

Ein europäisches Schema für die Cybersicherheitszertifizierung ist ein von der Kommission erlassener Regelsatz, nach dem IKT-Produkte, -Dienste und -Prozesse bewertet und zertifiziert werden. Geschaffen werden solche Schemata nicht durch den Cyber Resilience Act (CRA), sondern durch die Verordnung (EU) 2019/881, den Rechtsakt zur Cybersicherheit. Der CRA greift sie auf und macht das Zertifikat an mehreren Stellen zu einem Weg, die Konformität nachzuweisen.

Wie ein Schema entsteht

Den Rahmen setzt die Verordnung (EU) 2019/881. Die Kommission veröffentlicht ein fortlaufendes Arbeitsprogramm der Union mit den strategischen Prioritäten für künftige Schemata (Artikel 47 Absatz 1), kann die ENISA mit der Ausarbeitung eines möglichen Schemas beauftragen (Artikel 48 Absatz 1) und kann dieses anschließend durch Durchführungsrechtsakt festlegen (Artikel 49 Absatz 7). Die Europäische Gruppe für die Cybersicherheitszertifizierung berät und gibt eine Stellungnahme ab, an die die ENISA nicht gebunden ist. Mindestens alle fünf Jahre bewertet die ENISA jedes angenommene Schema neu.

Artikel 54 derselben Verordnung zählt auf, was jedes Schema mindestens regeln muss: die erfassten Produktkategorien, die Bewertungskriterien und -methoden, ob eine Selbstbewertung zulässig ist, den Umgang mit bislang nicht erkannten Sicherheitslücken und die maximale Gültigkeitsdauer der Zertifikate. Sobald ein Schema gilt, verlieren nationale Zertifizierungsschemata für dieselben Produkte ihre Wirkung, und zwar zu dem Zeitpunkt, den der Durchführungsrechtsakt nennt (Artikel 57).

Eine Stolperstelle liegt allein in der deutschen Fassung: Der CRA schreibt fast durchgängig „europäisches Schema für die Cybersicherheitszertifizierung“, in Artikel 32 Absatz 2 steht jedoch einmal „europäische Systeme für die Cybersicherheitszertifizierung“, und zwar im selben Satz, der wenige Wörter später wieder von „Schemata“ spricht. Die englische Fassung sagt an beiden Stellen „scheme“. Gemeint ist dasselbe.

Drei Vertrauenswürdigkeitsstufen

Artikel 52 der Verordnung (EU) 2019/881 kennt die Stufen „niedrig“, „mittel“ und „hoch“. Sie unterscheiden sich in Strenge und Gründlichkeit der Bewertung:

• niedrig: Die Bewertung umfasst mindestens eine Überprüfung der technischen Dokumentation und ist darauf ausgerichtet, die bekannten grundlegenden Risiken möglichst gering zu halten (Absatz 5).
• mittel: Die Bewertung umfasst mindestens eine Überprüfung, die zeigt, dass keine allgemein bekannten Sicherheitslücken vorliegen, und die Prüfung, dass die Sicherheitsfunktionen korrekt durchgeführt werden. Maßstab sind Akteure mit begrenzten Fähigkeiten und Ressourcen (Absatz 6).
• hoch: Dieselbe Überprüfung, dazu die Prüfung, dass die Sicherheitsfunktionen dem neuesten Stand der Technik entsprechend durchgeführt werden, und eine Beurteilung der Widerstandsfähigkeit gegen kompetente Angreifer mittels Penetrationstests. Maßstab sind Akteure mit umfangreichen Fähigkeiten und Ressourcen (Absatz 7).

An der Stufe hängt auch, wer prüft. Ein Schema darf eine Selbstbewertung der Konformität zulassen, aber nur für Produkte mit niedrigem Risiko, die der Stufe „niedrig“ entsprechen; der Hersteller kann dann nach Artikel 53 eine EU-Konformitätserklärung ausstellen. Zertifikate der Stufen „niedrig“ und „mittel“ stellen Konformitätsbewertungsstellen aus, sofern das Schema die Ausstellung nicht einer öffentlichen Stelle vorbehält. Verlangt ein Schema die Stufe „hoch“, ist grundsätzlich die nationale Behörde für die Cybersicherheitszertifizierung zuständig, und eine Konformitätsbewertungsstelle darf nur mit vorheriger Zustimmung oder allgemeiner Übertragung ausstellen (Artikel 56).

Die EU-Konformitätserklärung nach Artikel 53 der Verordnung (EU) 2019/881 ist nicht die EU-Konformitätserklärung des CRA. Gleicher deutscher Name, anderer Rechtsakt, anderer Gegenstand. In der englischen Fassung heißen sie „EU statement of conformity“ und „EU declaration of conformity“.

Was ein Zertifikat im CRA bewirkt

Artikel 27 Absatz 8 CRA begründet eine Konformitätsvermutung. Für Produkte und für die vom Hersteller festgelegten Verfahren, für die im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen Schemas ein europäisches Cybersicherheitszertifikat oder eine EU-Konformitätserklärung ausgestellt wurde, wird die Erfüllung der grundlegenden Cybersicherheitsanforderungen vermutet, soweit Zertifikat oder Erklärung oder Teile davon diese Anforderungen abdecken.

Die zweite Wirkung wiegt wirtschaftlich schwerer: Ein Zertifikat mindestens der Stufe „mittel“ hebt die Pflicht auf, für die betreffenden Anforderungen eine Konformitätsbewertung durch Dritte durchführen zu lassen, konkret nach Artikel 32 Absatz 2 Buchstaben a und b sowie Artikel 32 Absatz 3 Buchstaben a und b. Das steht in Artikel 27 Absatz 9, zusammen mit der Befugnis der Kommission, durch delegierten Rechtsakt festzulegen, welche Schemata überhaupt zum Nachweis der Konformität verwendet werden dürfen.

Hier lohnt genaues Lesen. Der Wortlaut des Absatzes 8 macht die Vermutung von keiner weiteren Handlung der Kommission abhängig, während Erwägungsgrund 81 sie auf Schemata bezieht, die die Kommission in einem Durchführungsrechtsakt bestimmt hat. Als eigener Nachweisweg in Artikel 32 Absatz 1 Buchstabe d und Absatz 3 Buchstabe c taucht das Schema jedenfalls erst auf, wenn die Ausweisung nach Artikel 27 Absatz 9 vorliegt. Erwägungsgrund 82 nennt dafür einen konkreten Fall: Für das EUCC aus der Durchführungsverordnung (EU) 2024/482, die Produkte wie Hardware-Sicherheitsmodule und Mikroprozessoren betrifft, soll die Kommission durch delegierten Rechtsakt festlegen können, wie es eine Konformitätsvermutung begründet und wie ein danach ausgestelltes Zertifikat die Pflicht zur Bewertung durch Dritte aufhebt.

Der Zertifizierungsweg in Artikel 32

In den Konformitätsbewertungsverfahren steht das Schema als eigener Buchstabe:

• Artikel 32 Absatz 1 Buchstabe d: für jedes Produkt, sofern ein Schema verfügbar und anwendbar ist
• Artikel 32 Absatz 3 Buchstabe c: für wichtige Produkte der Klasse II, sofern ein Schema verfügbar und anwendbar ist, und dort mindestens auf der Stufe „mittel“
• Artikel 32 Absatz 4 Buchstabe a: für kritische Produkte des Anhangs IV

Bei Klasse I wirkt das Schema anders herum. Es ist dort kein eigener Weg, sondern hält den Weg über Modul A offen: Wendet der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein Schema mindestens der Stufe „mittel“ nicht oder nur zum Teil an, oder fehlen solche ganz, führt Artikel 32 Absatz 2 zwingend zu einem Verfahren mit Beteiligung Dritter.

Wann Zertifizierung Pflicht wird

Anhang IV zählt drei Kategorien kritischer Produkte auf: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen und andere Geräte für fortgeschrittene Sicherheitszwecke einschließlich der sicheren Kryptoverarbeitung sowie Chipkarten oder ähnliche Geräte einschließlich Sicherheitselemente.

Für Produkte mit den Kernfunktionen dieser Kategorien kann die Kommission nach Artikel 8 Absatz 1 durch delegierten Rechtsakt ein europäisches Cybersicherheitszertifikat mindestens der Stufe „mittel“ verlangen. Daran hängen drei Bedingungen: Ein passendes Schema muss nach der Verordnung (EU) 2019/881 angenommen und den Herstellern verfügbar sein, die Kommission muss vorher die Auswirkungen auf den Markt bewerten und die Interessenträger konsultieren, und der Rechtsakt muss einen Übergangszeitraum von mindestens sechs Monaten vorsehen, es sei denn, ein kürzerer Zeitraum ist aus Gründen äußerster Dringlichkeit gerechtfertigt. Ergeht kein solcher Rechtsakt, gelten für diese Produkte die Verfahren des Artikels 32 Absatz 3, also die der Klasse II.

Was ein Zertifikat nicht ersetzt

Die Vermutung reicht nur so weit, wie das Zertifikat die Anforderungen abdeckt; für alles Übrige bleibt der Nachweis zu führen. Anhang VII Nummer 5 verlangt deshalb, in der technischen Dokumentation aufzulisten, welche harmonisierten Normen mit im Amtsblatt der Europäischen Union veröffentlichter Fundstelle, welche gemeinsamen Spezifikationen und welche Zertifizierungsschemata vollständig oder teilweise angewandt wurden, bei teilweiser Anwendung mit der Angabe, welche Teile.

Unberührt bleiben die Pflichten, die nicht am geprüften Produktzustand hängen: CE-Kennzeichnung und EU-Konformitätserklärung, der Unterstützungszeitraum, die laufende Behandlung von Schwachstellen und die Meldepflichten aus Artikel 14. Über sie sagt ein Zertifikat nichts.

Auch bei den Prüfstellen gibt es keinen Automatismus. Nach Erwägungsgrund 100 sollen Konformitätsbewertungsstellen, die für ein europäisches Zertifizierungsschema notifiziert wurden, im Rahmen des CRA neu bewertet und notifiziert werden. Die zuständigen Behörden können bei sich überschneidenden Anforderungen Synergien definieren, um unnötigen Aufwand zu vermeiden. Die Notifizierung ersetzen sie nicht.

Was noch offen ist

Die Verordnung beschreibt das Werkzeug vollständig, garantiert aber nicht, dass es rechtzeitig bereitsteht. Welche Schemata die Kommission nach Artikel 27 Absatz 9 ausweist, für welche Kategorien des Anhangs IV sie nach Artikel 8 Absatz 1 Pflichtzertifizierung anordnet und wann beides kommt, bleibt den delegierten Rechtsakten überlassen.

Für die Planung heißt das: Der Zertifizierungsweg ist ein Angebot mit Vorbehalt. Wer ein Klasse-I-Produkt darauf stützen will, braucht einen Rückfallplan über harmonisierte Normen oder über ein Verfahren mit Beteiligung Dritter, und zwar rechtzeitig vor dem Geltungsbeginn am 11. Dezember 2027.