Hardware

Hardware ist im Cyber Resilience Act (CRA) ein eigenständiger Rechtsbegriff. Artikel 3 Nummer 5 versteht darunter ein physisches elektronisches Informationssystem, das digitale Daten verarbeiten, speichern oder übertragen kann, sowie Teile eines solchen Systems.

Zwei Merkmale tragen diese Definition. Das erste ist die Körperlichkeit: Ohne physische Substanz keine Hardware. Das zweite ist der Rückgriff auf das elektronische Informationssystem, das Artikel 3 Nummer 7 als System einschließlich elektrischer oder elektronischer Ausrüstung beschreibt, das digitale Daten verarbeiten, speichern oder übertragen kann.

Praktisch bedeutsamer ist der zweite Halbsatz. Weil auch Teile eines solchen Systems erfasst sind, fallen Hauptplatinen, Mikroprozessoren, Speicherbausteine und Netzschnittstellen unter den Begriff, obwohl keines davon für sich ein fertiges Gerät ergibt.

Hardware und Software

Die Gegendefinition steht unmittelbar davor: Artikel 3 Nummer 4 versteht unter Software den Teil eines elektronischen Informationssystems, der aus Computercode besteht. Beide Begriffe beziehen sich auf dasselbe System und teilen es nach Substanz auf, in Code und in Physis.

Zusammengeführt werden sie im Produkt mit digitalen Elementen. Artikel 3 Nummer 1 definiert es als Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden. An diesen Oberbegriff knüpfen die Pflichten des CRA an, nicht an das Wort Hardware.

Ob ein Gerät überhaupt erfasst ist, entscheidet daher Artikel 2 Absatz 1. Erfasst sind Produkte, deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Ein Gerät ganz ohne Datenverbindung bleibt außen vor, auch wenn es Hardware im Sinne der Definition ist.

Den Begriff Firmware verwendet die Verordnung an keiner Stelle. Ein Gerät mit eingebettetem Code ist deshalb kein Zwitter aus beiden Kategorien, sondern ein Hardwareprodukt, das als Ganzes, einschließlich seines Codeanteils, den grundlegenden Cybersicherheitsanforderungen des Anhangs I unterliegt.

Hardware als Komponente

Artikel 3 Nummer 6 definiert die Komponente als Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist. Hardware kann damit beides sein: eigenständiges Produkt oder Baustein in einem fremden Produkt.

Für die Lieferkette folgt daraus eine konkrete Pflicht. Nach Artikel 13 Absatz 6 meldet ein Hersteller eine Schwachstelle in einer integrierten Komponente an die Person oder Einrichtung, die diese Komponente herstellt oder wartet. Hat er zur Behebung eine Software- oder Hardware-Änderung entwickelt, teilt er den betreffenden Code oder die einschlägigen Unterlagen mit, gegebenenfalls in einem maschinenlesbaren Format. Die Vorschrift nennt Hardware-Änderungen ausdrücklich neben Software-Änderungen.

Wo Hardwareprodukte anders behandelt werden

Unter anderem an diesen vier Stellen wirkt sich die physische Form eines Produkts aus:

• Identifikation: Nach Artikel 13 Absatz 15 muss das Produkt eine Typen-, Chargen- oder Seriennummer oder ein anderes Kennzeichen tragen. Erst wenn das nicht möglich ist, darf die Angabe auf die Verpackung oder die Begleitunterlagen ausweichen.
• CE-Kennzeichnung: Artikel 30 Absatz 1 verlangt die CE-Kennzeichnung gut sichtbar, leserlich und dauerhaft auf dem Produkt selbst. Lässt die Art des Produkts das nicht zu oder rechtfertigt sie es nicht, wird sie auf der Verpackung und auf der beigefügten EU-Konformitätserklärung angebracht. Bei Produkten in Form von Software wird sie entweder auf der EU-Konformitätserklärung oder auf der begleitenden Website angebracht. Absatz 2 lässt aufgrund der Art des Produkts eine Höhe unter 5 mm zu, sofern das Zeichen sichtbar und lesbar bleibt.
• Technische Dokumentation: Anhang VII Nummer 1 Buchstabe c verlangt Fotografien oder Abbildungen, aus denen äußere Merkmale, Kennzeichnungen und innerer Aufbau hervorgehen, und zwar nur bei Hardwareprodukten.
• Versionspflege: Die Erleichterung des Artikels 13 Absatz 10, die Pflege auf die zuletzt in den Verkehr gebrachte Version zu beschränken, ist allein für Softwareprodukte geschrieben.

Erwägungsgrund 40 zieht daraus die Folgerung für den Alltag. Ist ein Hardwareprodukt wie ein Smartphone mit der neuesten Version des ursprünglich mitgelieferten Betriebssystems nicht kompatibel, soll der Hersteller während des Unterstützungszeitraums zumindest für die letzte kompatible Version des Betriebssystems weiter Sicherheitsaktualisierungen bereitstellen.

Lange Lebensdauer, früh entschieden

Artikel 13 Absatz 8 setzt für den Unterstützungszeitraum eine Untergrenze von fünf Jahren, es sei denn, das Produkt wird voraussichtlich kürzer betrieben. Erwägungsgrund 60 nennt Hauptplatinen und Mikroprozessoren als Beispiele für Komponenten, die üblicherweise länger genutzt werden, und erwartet für sie entsprechend längere Zeiträume. Industrielle Steuerungssysteme führt er gesondert an.

Bei Hardware entscheidet sich die Erfüllbarkeit dieser Pflicht in der Schaltungsentwicklung. Anhang I Teil I Nummer 2 Buchstabe c verlangt auf Grundlage der Bewertung der Cybersicherheitsrisiken und soweit zutreffend, dass Schwachstellen durch Sicherheitsaktualisierungen behoben werden können. Ein Gerät ohne Aktualisierungspfad, ohne beschreibbaren Speicher oder mit knapp bemessenem Flash erfüllt das über einen langen Unterstützungszeitraum nicht, und nach dem Serienanlauf lässt sich daran nichts mehr ändern.

Hardware in den Produktlisten

Anhang III und Anhang IV zählen Kategorien auf, deren Konformitätsbewertung Artikel 32 besonderen Regeln unterwirft, und Hardware ist dort stark vertreten. Klasse I des Anhangs III nennt unter anderem physische und virtuelle Netzschnittstellen, Router, Modems für die Internetanbindung und Switches sowie Mikroprozessoren, Mikrocontroller, ASIC und FPGA mit sicherheitsrelevanten Funktionen. Klasse II führt manipulationssichere Mikroprozessoren und Mikrocontroller. Bei den kritischen Produkten des Anhangs IV steht an erster Stelle der Eintrag „Hardwaregeräte mit Sicherheitsboxen“.

Die Einordnung bestimmt das Verfahren nach Artikel 32. Für Produkte mit den Kernfunktionen einer Kategorie des Anhangs IV kann die Kommission nach Artikel 8 Absatz 1 durch delegierten Rechtsakt ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel“ vorschreiben. Solange sie keinen solchen delegierten Rechtsakt erlassen hat, gelten nach Artikel 32 Absatz 4 die Verfahren des Artikels 32 Absatz 3, also die Verfahren der Klasse II.