Internationale Norm

Eine internationale Norm ist im Cyber Resilience Act (CRA) keine eigenständige Begriffsbestimmung, sondern ein Verweis. Artikel 3 Nummer 34 übernimmt den Begriff aus Artikel 2 Absatz 1 Buchstabe a der Verordnung (EU) Nr. 1025/2012 über die europäische Normung.

Dort steht ein einziger Halbsatz: eine Norm, die von einer internationalen Normungsorganisation angenommen wurde. Den Rahmen liefert der Einleitungssatz derselben Nummer. Eine Norm ist danach eine von einer anerkannten Normungsorganisation angenommene technische Spezifikation zur wiederholten oder ständigen Anwendung, deren Einhaltung nicht zwingend ist.

Drei Organisationen, und keine weitere

Wer als internationale Normungsorganisation gilt, ist in Artikel 2 Nummer 9 derselben Verordnung abschließend aufgezählt: die Internationale Normenorganisation (ISO), die Internationale Elektrotechnische Kommission (IEC) und die Internationale Fernmeldeunion (ITU). Es gibt keine Kriterien, an denen sich weitere Gremien messen lassen könnten, sondern nur diese Liste.

Das hat eine unbequeme Folge für die Praxis. Verbreitete Spezifikationen von Industriekonsortien und Branchenverbänden sind im Sinne des CRA keine internationalen Normen, so anerkannt sie fachlich sein mögen. Anwenden dürfen Sie sie trotzdem, nur führt der Begriff sie nicht.

Aus derselben Nummer 1 des Artikels 2 stammen auch die beiden Nachbarbegriffe, die der CRA in Artikel 3 Nummer 35 und Nummer 36 übernimmt: die europäische Norm als Norm einer europäischen Normungsorganisation und die harmonisierte Norm als europäische Norm, die auf einen Auftrag der Kommission zur Durchführung von Harmonisierungsrechtsvorschriften der Union hin entstanden ist. Unterschieden werden alle drei allein danach, wer sie annimmt und auf wessen Veranlassung.

Keine Konformitätsvermutung

Artikel 27 knüpft die Konformitätsvermutung an drei Grundlagen: an harmonisierte Normen, deren Fundstelle im Amtsblatt veröffentlicht ist (Absatz 1), an die gemeinsamen Spezifikationen der Kommission (Absatz 5) und an europäische Schemata für die Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881 (Absatz 8).

Internationale Normen stehen in keiner dieser drei Gruppen. Ihre Anwendung erspart also nichts an Darlegung: Für jede einschlägige Anforderung aus Anhang I bleibt es dabei, dass der Hersteller zeigen muss, wie sie erfüllt ist.

Wo der CRA sie dennoch heranzieht

An mehreren Stellen räumt die Verordnung internationalen Normen eine Rolle ein, ohne dass daran eine Konformitätsvermutung hinge:

• Nach Artikel 27 Absatz 1 bemüht sich die Kommission, bei der Ausarbeitung von Normungsanträgen bestehende europäische und internationale Cybersicherheitsnormen zu berücksichtigen, die in Kraft sind oder gerade entwickelt werden.
• Nach Artikel 13 Absatz 24 kann die Kommission Format und Elemente der Software-Stückliste durch Durchführungsrechtsakt festlegen, und zwar unter Berücksichtigung europäischer oder internationaler Normen und bewährter Verfahren.
• Die Erwägungsgründe halten fest, dass internationale Normen, die mit dem durch die grundlegenden Cybersicherheitsanforderungen angestrebten Schutzniveau im Einklang stehen, ebenfalls berücksichtigt werden sollen. Zweck ist ausdrücklich auch, Kleinstunternehmen, kleinen und mittleren Unternehmen sowie weltweit tätigen Unternehmen die Konformität zu erleichtern.

Ein weiterer Erwägungsgrund erwartet vom Hersteller, nach der Bewertung der Cybersicherheitsrisiken geeignete harmonisierte Normen, gemeinsame Spezifikationen oder europäische oder internationale Normen angemessen anzuwenden. Erwägungsgründe binden nicht unmittelbar, aber sie zeigen die zugedachte Rolle: Arbeitsgrundlage und Vorlage, nicht Nachweismittel mit eigener Rechtswirkung.

Ihr Platz in der technischen Dokumentation

Anhang VII Nummer 5 verlangt eine Aufstellung der ganz oder teilweise angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, der gemeinsamen Spezifikationen und der Zertifizierungsschemata. Wurde keines dieser Regelwerke angewandt, treten an ihre Stelle Beschreibungen der Lösungen, mit denen die Anforderungen aus Anhang I Teile I und II erfüllt werden, samt einer Aufstellung sonstiger angewandter einschlägiger technischer Spezifikationen.

Genau dort hat die internationale Norm ihren Platz in der technischen Dokumentation. Der Unterschied wird an dieser Stelle greifbar: Bei einer harmonisierten Norm genügt der Verweis auf die Fundstelle. Bei einer internationalen Norm bleibt die Beschreibung der gewählten Lösung die eigentliche Arbeit, und die Norm stützt sie.

Folgen für die Wahl des Verfahrens

Bei einem wichtigen Produkt mit digitalen Elementen der Klasse I nach Anhang III wird die Frage teuer. Artikel 32 Absatz 2 schreibt eines der Verfahren mit notifizierter Stelle vor, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur teilweise angewandt hat oder wenn es sie nicht gibt. Zur Wahl stehen dann das EU-Baumusterprüfverfahren nach Modul B mit anschließendem Modul C oder die umfassende Qualitätssicherung nach Modul H. Eine noch so gut passende internationale Norm ändert daran nichts.

Bei Produkten, die weder in Anhang III noch in Anhang IV aufgeführt sind, bleibt nach Artikel 32 Absatz 1 die interne Kontrolle nach Modul A offen. Dort ist eine internationale Norm ein tragfähiger Anker, weil die Bewertung ohnehin beim Hersteller liegt und es allein darauf ankommt, sie nachvollziehbar zu dokumentieren.