Sicherheitsaktualisierung

Eine Sicherheitsaktualisierung ist die Korrektur, mit der ein Hersteller eine Schwachstelle in einem bereits ausgelieferten Produkt schließt. Der Cyber Resilience Act (CRA) verwendet den Begriff durchgehend, definiert ihn in Artikel 3 aber nicht. Verbindlich ist deshalb keine Begriffsbestimmung, sondern das Bündel von Pflichten, das sich an die Aktualisierung knüpft.

Der tragende Satz steht in Anhang I Teil II Nummer 2: Hersteller müssen Schwachstellen ihrer Produkte unverzüglich behandeln und beheben, unter anderem durch Bereitstellung von Sicherheitsaktualisierungen. Die Pflicht beginnt mit dem Inverkehrbringen und läuft über den gesamten Unterstützungszeitraum, der nach Artikel 13 Absatz 8 mindestens fünf Jahre beträgt, es sei denn, das Produkt ist voraussichtlich kürzer im Betrieb.

Drei Anforderungen, die zusammengehören

Anhang I Teil II verteilt das Thema auf drei Nummern, die sich erst zusammen erschließen:

• Nummer 2: Schwachstellen unverzüglich beheben, unter anderem durch Sicherheitsaktualisierungen
• Nummer 7: Mechanismen für die sichere Verbreitung von Aktualisierungen, damit Schwachstellen rechtzeitig und bei Sicherheitsaktualisierungen gegebenenfalls automatisch behoben oder eingedämmt werden
• Nummer 8: verfügbare Sicherheitsaktualisierungen unverzüglich und kostenlos verbreiten, zusammen mit Hinweisen zu möglichen Maßnahmen

Nummer 8 wird in Vertragsverhandlungen am häufigsten übersehen. Kostenlos heißt kostenlos: Ein Wartungsvertrag darf Sicherheitsaktualisierungen nicht zur bezahlten Leistung machen. Die einzige Abweichung betrifft maßgeschneiderte Produkte, bei denen Hersteller und gewerblicher Nutzer etwas anderes vereinbart haben.

Getrennt von Funktionsaktualisierungen

Nummer 2 enthält einen zweiten Halbsatz, der nicht das Beheben, sondern das Ausliefern betrifft: Soweit technisch machbar, müssen neue Sicherheitsaktualisierungen getrennt von Funktionsaktualisierungen bereitgestellt werden. Erwägungsgrund 57 nennt den Grund. Nutzer sollen nicht gezwungen sein, neue Funktionen zu installieren, nur um an den aktuellen Sicherheitsstand zu gelangen.

Für die Release-Planung ist das die folgenreichste Einzelvorgabe des Anhangs. Wer Sicherheitskorrekturen ausschließlich im nächsten Feature-Release ausliefert, erfüllt sie nicht. Gebraucht wird ein Wartungszweig je unterstützter Version oder ein Auslieferungsweg, über den eine Korrektur ohne den übrigen Funktionsstand ankommt. Der Vorbehalt „soweit technisch machbar“ steht im Text, der CRA sagt aber nicht, wann er greift. Wer sich darauf beruft, sollte die Begründung in der technischen Dokumentation festhalten, die nach Anhang VII ohnehin die gewählten technischen Lösungen für die sichere Verbreitung von Aktualisierungen beschreiben muss.

Automatische Installation und Opt-out

Anhang I Teil I Nummer 2 Buchstabe c macht die Aktualisierbarkeit zur Produkteigenschaft. Schwachstellen müssen sich durch Sicherheitsaktualisierungen beheben lassen, gegebenenfalls auch durch automatische Aktualisierungen, die als Standardeinstellung innerhalb eines angemessenen Zeitrahmens installiert werden. Drei Elemente gehören dann zwingend dazu: ein klarer und benutzerfreundlicher Opt-out-Mechanismus, die Benachrichtigung der Nutzer über verfügbare Aktualisierungen und die Möglichkeit, sie vorübergehend zu verschieben.

Das Wort „gegebenenfalls“ trägt Gewicht. Erwägungsgrund 56 nennt zwei Gruppen, für die die Anforderungen an automatische Aktualisierungen nicht gelten: Produkte, die in erster Linie als Komponente in andere Produkte integriert werden sollen, und Produkte, bei denen Nutzer sie vernünftigerweise nicht erwarten, etwa in professionellen IKT-Netzen und insbesondere in kritischen und industriellen Umgebungen, in denen eine automatische Aktualisierung den Betrieb stören könnte. Unberührt bleibt in beiden Fällen die Pflicht, Nutzer über Schwachstellen zu informieren und Sicherheitsaktualisierungen unverzüglich verfügbar zu machen.

Wo die automatische Installation die Voreinstellung ist, verlangt Anhang II Nummer 8 Buchstabe e zusätzlich eine Anleitung, wie sich genau diese Voreinstellung abschalten lässt.

Zwei Fristen, die nicht dasselbe meinen

Artikel 13 Absatz 8 und Absatz 9 werden regelmäßig verwechselt, obwohl sie verschiedene Fragen beantworten:

• Der Unterstützungszeitraum bestimmt, wie lange überhaupt neue Sicherheitsaktualisierungen entstehen müssen.
• Absatz 9 bestimmt, wie lange eine einmal bereitgestellte Aktualisierung abrufbar bleiben muss: nach ihrer Bereitstellung mindestens zehn Jahre oder für die verbleibende Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.

Praktisch bedeutet das: Ein Patch, der im letzten Jahr eines fünfjährigen Unterstützungszeitraums erscheint, muss noch zehn Jahre danach herunterladbar sein. Wer Download-Verzeichnisse mit dem Ende der Unterstützung abräumt, verstößt gegen Absatz 9, obwohl der Unterstützungszeitraum abgelaufen ist.

Nach der Bereitstellung

Mit dem Ausliefern ist die Sache nicht erledigt. Anhang I Teil II Nummer 4 verlangt, nach Bereitstellung einer Sicherheitsaktualisierung Informationen über die beseitigten Schwachstellen zu teilen und zu veröffentlichen: eine Beschreibung, Angaben zur Identifikation des betroffenen Produkts, die Auswirkungen, den Schweregrad und verständliche Hinweise zur Behebung. Halten Hersteller in hinreichend begründeten Fällen die Risiken der Veröffentlichung für größer als deren Vorteile in Bezug auf die Sicherheit, dürfen sie sie aufschieben, bis Nutzer den Patch anwenden konnten.

Vorab muss außerdem erkennbar sein, worauf Nutzer sich einstellen können. Anhang II Nummer 7 verlangt die Angabe der Art der vom Hersteller angebotenen technischen Sicherheitsunterstützung und des Enddatums des Unterstützungszeitraums, in dem Nutzer die Behebung von Schwachstellen und den Erhalt von Sicherheitsaktualisierungen erwarten dürfen.

Vor dem Inverkehrbringen

Die Pflicht beginnt nicht erst im Feld. Nach Anhang I Teil I Nummer 2 Buchstabe a darf ein Produkt, soweit diese Anforderung nach der Bewertung der Cybersicherheitsrisiken zutrifft, nicht mit bekannten ausnutzbaren Schwachstellen auf dem Markt bereitgestellt werden, und Erwägungsgrund 38 erläutert dazu, dass jedes einzelne Exemplar beim Inverkehrbringen alle verfügbaren Sicherheits-Patches oder Aktualisierungen zur Behebung relevanter Sicherheitsprobleme erhalten haben sollte. Ein Gerät, das mit einem Firmware-Stand ausgeliefert wird, für den längst Korrekturen vorliegen, erfüllt die grundlegenden Cybersicherheitsanforderungen nicht.