Physische Verbindung

Die physische Verbindung ist einer von drei Verbindungsbegriffen, die der Cyber Resilience Act (CRA) selbst definiert. Nach Artikel 3 Nummer 9 ist sie eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten, die mit physikalischen Mitteln hergestellt wird. Genannt werden elektrische, optische und mechanische Schnittstellen, Drähte und Funkwellen.

Funkwellen zählen als physische Verbindung

Der praktisch wichtigste Teil der Definition steht am Ende ihrer Aufzählung. WLAN, Bluetooth, NFC, Mobilfunk, Zigbee und LoRaWAN sind physische Verbindungen im Sinne des CRA, obwohl kein Kabel im Spiel ist.

Die Trennlinie zur logischen Verbindung verläuft also nicht zwischen Kabel und Funk, sondern zwischen dem Übertragungsmittel und der Software. Logisch ist eine Verbindung nach Artikel 3 Nummer 8, wenn sie als virtuelle Darstellung einer Datenverbindung über eine Softwareschnittstelle hergestellt wird. Bei einem vernetzten Gerät liegen in aller Regel beide Formen vor: die Funkstrecke als physische Verbindung, der Netzwerksocket darüber als logische. Entscheiden muss man sich nicht, weil eine Variante genügt.

Die Aufzählung ist nicht abschließend

Der Verordnungstext leitet die Beispiele mit „wie“ ein. Elektrische, optische und mechanische Schnittstellen, Drähte und Funkwellen sind damit Beispiele für physikalische Mittel und keine geschlossene Liste. Erfasst sind unter anderem:

• elektrisch: Ethernet, USB, serielle Schnittstellen, Feldbusse, Kontaktflächen und Steckverbinder
• optisch: Glasfaser, Infrarot und optische Koppler
• mechanisch: Kartenschächte, Dockingverbinder und Modulsockel

Ob eine Schnittstelle genormt, am Gehäuse herausgeführt oder überhaupt dokumentiert ist, spielt für die Definition keine Rolle.

Woran die Verbindung ansetzt

Die beiden Enden benennt Artikel 3 Nummer 9 anders, als Artikel 2 Absatz 1 es tut. Dort geht es um eine Datenverbindung mit einem Gerät oder Netz, hier um eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten. Ein elektronisches Informationssystem ist nach Artikel 3 Nummer 7 ein System einschließlich elektrischer oder elektronischer Ausrüstung, das digitale Daten verarbeiten, speichern oder übertragen kann. Eine Komponente ist nach Nummer 6 Software oder Hardware, die für die Integration in ein solches System bestimmt ist.

Die Definition verlangt außerdem nicht, dass über die Verbindung Daten fließen. Dieses Wort steht erst in Artikel 2 Absatz 1, der eine physische Datenverbindung fordert. Eine Leitung, die ausschließlich Energie führt, erfüllt zwar den Begriff der physischen Verbindung, trägt den Anwendungsbereich aber nicht. Wie die Prüfung insgesamt aufgebaut ist, erklärt die Datenverbindung.

Was der Begriff im Anwendungsbereich leistet

Artikel 2 Absatz 1 setzt voraus, dass Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netz einschließen. Die physische Verbindung ist eine von vier Kombinationen, und eine davon genügt.

Erwägungsgrund 9 beschreibt, worauf sich die Pflicht bezieht: sowohl auf Produkte, die physisch über Hardware-Schnittstellen verbunden werden können, als auch auf Produkte, die logisch verbunden werden. Maßgeblich bleibt der Wortlaut von Artikel 2 Absatz 1, und der stellt auf Zweckbestimmung und vernünftigerweise vorhersehbare Verwendung ab, nicht auf den Betriebszustand. Ein Gerät, das beim Kunden nie an ein Netz gelangt, fällt deshalb nicht schon dadurch aus dem Anwendungsbereich.

Was an den physischen Schnittstellen inhaltlich hängt

Der Begriff öffnet nicht nur den Anwendungsbereich, er wirkt in die Anforderungen hinein. Anhang I Teil I Nummer 2 gilt auf der Grundlage der Bewertung der Cybersicherheitsrisiken nach Artikel 13 Absatz 2 und nur, soweit zutreffend. Buchstabe j verlangt dann, Produkte so zu konzipieren, zu entwickeln und herzustellen, dass sie auch bei externen Schnittstellen möglichst geringe Angriffsflächen bieten. Buchstabe d verlangt Schutz vor unbefugtem Zugriff durch geeignete Kontrollmechanismen, mindestens durch Authentifizierungs-, Identitäts- oder Zugangsverwaltungssysteme, und die Meldung eines möglicherweise unbefugten Zugriffs.

Nach Artikel 13 Absatz 3 stützt sich die Risikobewertung auf Zweckbestimmung und vernünftigerweise vorhersehbare Verwendung, ausdrücklich einschließlich der Betriebsumgebung. Jede physisch vorhandene Schnittstelle gehört damit in die Betrachtung, unabhängig davon, ob sie im Betrieb genutzt wird.

Wenn die Schnittstelle selbst das Produkt ist

Anhang III Klasse I Nummer 10 führt physische und virtuelle Netzschnittstellen als eigene Produktkategorie. Ein Produkt, das die Kernfunktionen dieser Kategorie aufweist, gilt nach Artikel 7 Absatz 1 als wichtiges Produkt mit digitalen Elementen. Für die Klasse I greift dann Artikel 32 Absatz 2. Hat der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur zum Teil angewandt, oder gibt es sie nicht, muss das Produkt das EU-Baumusterprüfverfahren nach Modul B mit anschließendem Modul C oder eine umfassende Qualitätssicherung nach Modul H durchlaufen. Wer Netzwerkkarten, Busanschaltungen oder Funkmodule als eigenständiges Produkt in den Verkehr bringt, sollte das früh klären. Was sonst in diese Gruppe fällt, zeigen die Seiten zu den wichtigen und den kritischen Produkten.

Artikel 7 Absatz 1 stellt zugleich klar, dass die Integration eines solchen Produkts für sich genommen nicht dazu führt, dass das Produkt, in das es integriert ist, den Verfahren nach Artikel 32 Absätze 2 und 3 unterliegt. Wer ein fertiges Funkmodul einbaut, muss sein eigenes Produkt allein aus diesem Grund also nicht diesen Verfahren unterziehen.