Indirekte Verbindung

Die indirekte Verbindung ist der Begriff, mit dem der Cyber Resilience Act (CRA) auch Produkte erfasst, die selbst an keinem Gerät und an keinem Netz hängen. Artikel 3 Nummer 10 beschreibt sie als eine Verbindung, die nicht direkt erfolgt, sondern als Teil eines größeren Systems, das seinerseits direkt mit dem Gerät oder Netz verbunden werden kann.

Für den Anwendungsbereich macht die Unterscheidung keinen Unterschied. Artikel 2 Absatz 1 stellt die direkte und die indirekte Verbindung nebeneinander, und beide öffnen ihn gleichermaßen. Welche Voraussetzungen daneben stehen, behandelt die Datenverbindung. Hier geht es um die eine Variante, die am häufigsten übersehen wird.

Zwei Bedingungen

Die Definition verlangt zweierlei, und beides muss zutreffen:

• Das Produkt ist Teil eines größeren Systems. Die Verbindung kommt über dieses System zustande, nicht über das Produkt selbst.
• Dieses größere System kann direkt mit dem Gerät oder Netz verbunden werden.

Der Halbsatz „die nicht direkt erfolgt“ ist keine dritte Bedingung, sondern grenzt nur ab. Wo eine direkte Verbindung ohnehin besteht, braucht es Nummer 10 nicht.

„Verbunden werden kann“ beschreibt keinen Zustand

Der entscheidende Ausdruck steht am Ende der Definition. Verlangt ist nicht, dass das größere System verbunden ist, sondern dass es verbunden werden kann. Die englische Fassung sagt „directly connectable“ und meint dasselbe.

Damit beantwortet die Installation beim Kunden die Frage nicht. Eine Anlage, die heute ohne Netzanschluss betrieben wird, deren Steuerung aber eine Schnittstelle dafür mitbringt, erfüllt die Bedingung. Hinzu kommt, dass Artikel 2 Absatz 1 ohnehin auf die Zweckbestimmung oder die vernünftigerweise vorhersehbare Verwendung abstellt und nicht auf den Einzelfall.

Indirekt ist keine eigene Verbindungsart

Artikel 2 Absatz 1 nennt die „direkte oder indirekte logische oder physische Datenverbindung“. Darin stecken zwei Begriffspaare mit verschiedenen Aufgaben. Direkt und indirekt beschreiben den Weg, den eine Verbindung nimmt. Ob sie über eine Softwareschnittstelle oder mit physikalischen Mitteln zustande kommt, entscheiden die logische Verbindung nach Nummer 8 und die physische Verbindung nach Nummer 9. Auch eine indirekte Verbindung ist auf jedem Teilstück das eine oder das andere.

Warum der CRA so weit greift

Erwägungsgrund 9 nennt den Grund. Alle Produkte mit digitalen Elementen, die in ein größeres elektronisches Informationssystem integriert oder mit ihm verbunden sind, können unter bestimmten Umständen als Angriffsvektor dienen. Selbst Hardware und Software, die als weniger kritisch gilt, kann eine erste Kompromittierung eines Geräts oder Netzes erleichtern und böswilligen Akteuren privilegierten Zugriff oder Bewegung über Systemgrenzen hinweg ermöglichen.

Daraus zieht der Erwägungsgrund eine ausdrückliche Folgerung. Weil sich Cyberbedrohungen über verschiedene Produkte hinweg ausbreiten können, ehe ein bestimmtes Ziel erreicht wird, etwa durch Verkettung mehrerer ausnutzbarer Schwachstellen, sollten Hersteller auch die Cybersicherheit jener Produkte sicherstellen, die nur indirekt mit anderen Geräten oder Netzen verbunden sind.

Was die Definition offenlässt

Zwei Fragen beantwortet Nummer 10 nicht. Die erste ist die Tiefe. Wie viele Zwischenstufen zwischen Produkt und Netz liegen dürfen, sagt die Verordnung an keiner Stelle. Verlangt ist nur, dass es ein größeres System gibt, das direkt verbunden werden kann.

Die zweite betrifft dieses System selbst, denn definiert ist es nicht. Definiert sind das elektronische Informationssystem in Nummer 7 als System einschließlich elektrischer oder elektronischer Ausrüstung, das digitale Daten verarbeiten, speichern oder übertragen kann, und der Endpunkt in Nummer 11 als Gerät, das an ein Netz angeschlossen ist und als Zugangspunkt zu diesem Netz dient. Erwägungsgrund 9 spricht vom größeren elektronischen Informationssystem, Nummer 10 nur vom größeren System. Ob dieser Unterschied gewollt ist, sagt der Text nicht.

Folgen für Komponenten

Eine Komponente ist nach Artikel 3 Nummer 6 Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist. Wird sie getrennt in den Verkehr gebracht, ist sie nach Nummer 1 selbst ein Produkt mit digitalen Elementen. Zusammen mit Nummer 10 heißt das: Ein Bauteil braucht keinen eigenen Netzzugang, um erfasst zu sein. Es genügt, dass das System, in das es gehört, einen haben kann.

Die Verantwortung wandert dabei nicht nach oben. Der Hersteller des größeren Systems lässt beim Einbau von Komponenten Dritter nach Artikel 13 Absatz 5 die gebotene Sorgfalt walten, doch diese Pflicht tritt neben die des Komponentenherstellers. Sie ersetzt sie nicht.