Logische Verbindung

Eine logische Verbindung ist nach Artikel 3 Nummer 8 des Cyber Resilience Acts (CRA) eine virtuelle Darstellung einer Datenverbindung, die über eine Softwareschnittstelle hergestellt wird. Der Begriff beschreibt eine Verbindung auf der Ebene der Software und nicht auf der des Übertragungswegs. Ob darunter ein Kabel liegt, eine Funkstrecke oder gar kein physisches Medium, spielt für ihn keine Rolle.

Er ist einer von drei Verbindungsbegriffen, die der CRA selbst definiert und die Artikel 2 Absatz 1 für den Anwendungsbereich zusammenführt: logisch in Nummer 8, physisch in Nummer 9, indirekt in Nummer 10. Wie dieser Test insgesamt funktioniert, erklärt die Datenverbindung. Hier geht es um die Variante, die bei reiner Software den Ausschlag gibt.

Was der Wortlaut verlangt

In der Definition stecken zwei Merkmale. Es muss eine Datenverbindung geben, und sie muss über eine Softwareschnittstelle hergestellt werden. Die eigentliche Aussage trägt der Ausdruck „virtuelle Darstellung“: Beschrieben wird nicht der Übertragungsweg selbst, sondern seine Abbildung in der Software. Deshalb können über eine einzige Leitung viele logische Verbindungen laufen, und deshalb kann eine logische Verbindung auch dort bestehen, wo kein eigener Übertragungsweg vorhanden ist.

Das Wort „Daten“ steht bereits in der Definition selbst. Bei der physischen Verbindung ist das anders: Artikel 3 Nummer 9 beschreibt nur die physikalischen Mittel, mit denen eine Verbindung hergestellt wird, und spricht von Daten nicht. Erst Artikel 2 Absatz 1 verlangt für beide Arten eine Datenverbindung. Eine logische Verbindung ohne Datenaustausch gibt es begrifflich also nicht.

Nummer 9 benennt außerdem, was verbunden wird: elektronische Informationssysteme oder Komponenten. Nummer 8 benennt nichts dergleichen. Wohin die logische Verbindung führen muss, ergibt sich erst aus Artikel 2 Absatz 1, und dort heißt es „mit einem Gerät oder Netz“.

Was als Softwareschnittstelle gilt

Den Ausdruck „Softwareschnittstelle“ definiert der CRA nicht. Erwägungsgrund 9 liefert aber Beispiele und macht die Reichweite deutlich: Netzwerksockets, Pipes, Dateien und Anwendungsprogrammierschnittstellen, dazu ausdrücklich „andere Arten von Software-Schnittstellen“. Die Aufzählung ist damit offen.

Zwei Einträge verdienen besondere Aufmerksamkeit, weil sie ohne jedes Netz auskommen. Eine Pipe verbindet zwei Prozesse auf demselben Rechner. Eine Datei verbindet sie sogar zeitversetzt: Ein Programm schreibt, ein anderes liest später. Wer den Begriff auf Netzwerkfähigkeit verengt, liest ihn erheblich zu eng.

Warum das bei Software den Ausschlag gibt

Erwägungsgrund 9 stellt den Zusammenhang selbst her. Die Pflicht, Produkte nach den grundlegenden Cybersicherheitsanforderungen zu konzipieren und zu entwickeln, soll sowohl für Produkte gelten, die sich physisch über Hardware-Schnittstellen verbinden lassen, als auch für solche, die logisch verbunden werden.

Für ein Produkt ohne eigene Hardware ist die logische Verbindung deshalb der einzige Weg in den Anwendungsbereich, und er ist breit angelegt. Eine Anwendung, die eine Datei einliest, eine Bibliothek mit öffentlicher Schnittstelle, ein Dienst, der einen Port öffnet: alle drei erfüllen das Merkmal. Für ein Softwareprodukt das Gegenteil zu begründen, gelingt selten.

Was von der Verbindungsart abhängt

Für die Pflichten des Herstellers hängt daran nichts. Artikel 2 Absatz 1 verlangt eine direkte oder indirekte, logische oder physische Datenverbindung, und eine einzige Variante genügt. Ist das Produkt erfasst, gelten die Anforderungen aus Anhang I unabhängig davon, welche Variante zutrifft. Auch das Konformitätsbewertungsverfahren richtet sich nach Artikel 32 und der Produktkategorie, nicht nach der Art der Verbindung.

„Logisch“ und „indirekt“ liegen zudem auf verschiedenen Achsen. Die indirekte Verbindung sagt etwas darüber, ob eine Verbindung unmittelbar oder über ein größeres System zustande kommt. Eine logische Verbindung kann beides sein. Wer die vier Kombinationen sauber auseinanderhält, spart sich unnötige Abgrenzungsdebatten.

Wo der Begriff in der Verordnung auftaucht

Genau dreimal: in der Definition in Artikel 3 Nummer 8, in der Anwendungsvoraussetzung in Artikel 2 Absatz 1 und in Erwägungsgrund 9. Eine eigene Pflicht knüpft der CRA an logische Verbindungen an keiner Stelle.

Mittelbar tauchen sie in den Unterlagen trotzdem auf. Anhang VII Nummer 2 Buchstabe a verlangt für die technische Dokumentation erforderliche Informationen über Konzeption und Entwicklung, gegebenenfalls mit einer Beschreibung der Systemarchitektur, aus der hervorgeht, wie Softwarekomponenten aufeinander aufbauen, miteinander zusammenwirken und sich in die Gesamtverarbeitung integrieren. Genau das ist die Beschreibung der logischen Verbindungen eines Produkts. Anhang I Teil I Nummer 2 Buchstabe j verlangt zusätzlich, die Angriffsflächen möglichst gering zu halten, ausdrücklich auch bei externen Schnittstellen.

Praktisch lohnt sich deshalb eine schlichte Liste der Schnittstellen, über die das Produkt Daten aufnimmt und abgibt. Sie beantwortet die Eintrittsfrage nach Artikel 2 Absatz 1 und dient anschließend als Grundlage für Risikobewertung und Architekturbeschreibung.

Eine häufige Verwechslung

Anhang III Klasse I Nummer 10 führt „physische und virtuelle Netzschnittstellen“ unter den wichtigen Produkten auf. Das ist eine Produktkategorie nach Artikel 7, keine Aussage über Verbindungsarten. Für ein wichtiges Produkt der Klasse I schränkt Artikel 32 Absatz 2 die Wahl des Konformitätsbewertungsverfahrens ein, sobald harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur zum Teil angewandt wurden oder nicht vorhanden sind. Aus einer logischen Verbindung folgt nichts dergleichen.