Produkt mit digitalen Elementen

Kein anderer Begriff des Cyber Resilience Acts (CRA) hat so unmittelbare Folgen: Fällt ein Produkt darunter, gilt der gesamte Pflichtenkatalog von den grundlegenden Cybersicherheitsanforderungen über die Konformitätsbewertung bis zu den Meldepflichten. Fällt es nicht darunter, gilt nichts davon.

Die Definition ist bewusst weit gehalten. Sie umfasst Software und Hardware gleichermaßen und schließt zwei Dinge ausdrücklich mit ein, die man leicht übersieht: die zugehörige Datenfernverarbeitung und einzeln vermarktete Komponenten.

Die Datenverbindung ist das eigentliche Kriterium

Die Definition allein sagt noch nicht, wann die Verordnung greift. Das steht in Artikel 2 Absatz 1: Erfasst sind Produkte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

Zwei Formulierungen weiten das erheblich:

• „indirekt“ erfasst auch ein Gerät, das nur über einen Umweg an ein Netz gelangt, etwa per USB-Stick oder über eine Zwischenstation. Eine eigene Internetverbindung ist nicht nötig.
• „vernünftigerweise vorhersehbare Verwendung“ meint nicht nur, wofür das Produkt gedacht ist, sondern auch, wie es absehbar tatsächlich benutzt wird.

Praktisch bleiben damit nur Produkte außen vor, die vollständig isoliert arbeiten.

Datenfernverarbeitung gehört zum Produkt

Die Definition zieht Datenfernverarbeitungslösungen ausdrücklich in den Produktbegriff hinein. Gemeint ist die entfernte Verarbeitung, für die der Hersteller selbst oder jemand unter seiner Verantwortung die Software konzipiert und entwickelt hat und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte.

Daraus folgt die häufig missverstandene Abgrenzung zu Software as a Service: Ein reines SaaS-Angebot fällt grundsätzlich nicht unter den CRA. Sobald ein Backend jedoch dafür sorgt, dass ein Gerät oder eine Anwendung überhaupt funktioniert, ist es Teil des Produkts und wird mitreguliert.

Komponenten, die getrennt vermarktet werden

Wer eine Bibliothek, ein Modul oder eine Hardwarekomponente eigenständig auf den Markt bringt, bringt ein eigenes Produkt mit digitalen Elementen in Verkehr und trägt alle Pflichten, die daran hängen. Der Umstand, dass die Komponente nur in andere Produkte eingebaut wird und nie bei Endnutzern landet, ändert daran nichts.

Für Zulieferer ist das der entscheidende Satz der ganzen Definition. Er bedeutet auch, dass Hersteller in einer Lieferkette mehrfach vorkommen: Der Komponentenhersteller ist Hersteller seiner Komponente, der Gerätehersteller ist Hersteller des Geräts.

Was ausgenommen ist

Artikel 2 nimmt eine überschaubare Zahl von Produkten aus, überwiegend weil sie bereits eigenen, mindestens gleichwertigen Regeln unterliegen:

• Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746)
• Kraftfahrzeuge (Verordnung (EU) 2019/2144)
• nach der Verordnung (EU) 2018/1139 zertifizierte Produkte der zivilen Luftfahrt
• Schiffsausrüstung im Sinne der Richtlinie 2014/90/EU
• Ersatzteile, die identische Komponenten nach denselben Spezifikationen ersetzen
• Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung entwickelt oder geändert wurden, sowie Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind

Die Liste ist abschließend. „Wir sind Industrie und nicht Consumer“ oder „unser Produkt ist nur für den internen Gebrauch“ stehen nicht darauf.

Warum die Einordnung früh passieren sollte

Die Frage, ob ein Produkt unter den CRA fällt, entscheidet über Aufwand, Zeitplan und teilweise über die Produktarchitektur. Sie lässt sich nicht sinnvoll nachholen, wenn die Fristen näher rücken. Die Anforderungen an den Umgang mit Schwachstellen etwa setzen Prozesse voraus, die erst aufgebaut werden müssen.

Für Unternehmen mit mehreren Produkten empfiehlt sich eine dokumentierte Einordnung je Produkt, inklusive Begründung. Sie ist die Grundlage jeder späteren Diskussion mit Kunden, Prüfstellen und Behörden. Zugleich zwingt sie dazu, die Grenzfälle einmal bewusst zu entscheiden statt sie offenzulassen.