Cyber Resilience Act

Seiteninhalt

VERORDNUNG (EU) 2024/2847 über Cybersicherheitsanforderungen

Zum Volltext der Verordnung (EU) 2024/2847 über Cybersicherheitsanforderungen siehe:

VERORDNUNG (EU) 2024/2847 DES EUROPÄISCHEN PARLAMENTS UND DES RATES
vom 23. Oktober 2024
über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung)

Die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen (Cyber Resilience Act) muss ggf. bei Maschinen / Maschinenanlagen zusätzlich zur EG-Maschinenrichtlinie bzw. ab dem 20. Januar 2027 der EU-Maschinenverordnung angewendet werden.

Der Anwendungsbereich des Cyber Resilience Acts ergibt sich aus:

"Artikel 2
Anwendungsbereich

(1) Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

(2) Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:

a) […]

(6) Diese Verordnung gilt nicht für Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten in Produkten mit digitalen Elementen zu ersetzen, und die nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen."

Artikel 3 legt fest, was ein “Produkt mit digitalen Elementen” im Sinne der Verordnung ist:

"Artikel 3
Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1. „Produkt mit digitalen Elementen“ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden;

2. […]"

Hierunter fallen damit auch Maschinen und Anlagen, soweit sie ein „Produkt mit digitalen Elementen“ sind.

Das “Inkrafttreten und Geltungsbeginn” ist festgelegt in Artikel 71 der Verordnung.

Artikel 71
Inkrafttreten und Geltungsbeginn

(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

(2) Diese Verordnung gilt ab dem 11. Dezember 2027.

Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026."

Zeitpunkt der Veröffentlichung im Amtsblatt der Europäischen Union war der 20.11.2024.

Artikel 14 regelt die “Meldepflichten der Hersteller”.

Meldepflichten des Herstellers

Artikel 14 “Meldepflichten der Hersteller” ist bereits ab dem 11. September 2026 anzuwenden.

“(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform.

(2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der Hersteller Folgendes vor:

a) […]

(3) Ein Hersteller meldet jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diesen Sicherheitsvorfall über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform.

(4) Für die Zwecke der Mitteilung gemäß Absatz 3 legt der Hersteller Folgendes vor:

a) […]”

Umsetzung des Cyber Resilience Act im Unternehmen

Informationen der EU-Kommission zur Umsetzung finden sich hier:

Cyber Resilienz Act – Umsetzung

Leitlinien zur Unterstützung der rechtzeitigen Umsetzung des Cyberresilienzgesetzes

Gesetz zur Durchführung der Verordnung (EU) 2024/2847

Zur nationalen Durchführung der Verordnung (EU) 2024/2847 liegt mit Stand 1.8.2026 nur vor:

Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
(Cyberresilienz-Verordnung)
1.5.2026

Auszug aus dem Entwurf:

“Die Regelungen der Verordnung (EU) 2024/2847 gelten grundsätzlich unmittelbar und werden ab dem 11. Juni 2026 zeitlich gestaffelt wirksam, bis die Regelungen ab dem 11. Dezember 2027 vollends wirken.

Zur Durchführung der Verordnung (EU) 2024/2847 muss jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde einrichten. Im Übrigen sollen die Mitgliedstaaten Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure ergreifen, insbesondere für kleine und mittlere Unternehmen. Zudem bedürfen die Vorschriften über Sanktionen, die bei Verstößen gegen die Verordnung (EU) 2024/2847 zu verhängen sind, ergänzende Verfahrensregelungen.”

Der Bundesrat hat gegen den Vorschlag keine Einwende erhoben.

Die erste Lesung im Bundestag war am 11. Juni 2026. Danach wurde der Entwurf federführend an den Innenausschuss überwiesen. Es steht jetzt aus “Beschlussempfehlung und Bericht des Innenausschusses”. Erst danach kann es im Bundestag weiter gehen.

Achtung:
Eine Verzögerung des Gesetzes verschiebt die unionsrechtlichen Termine der Verordnung (EU) 2024/2847 nicht.

Risikobeurteilung vs. Bewertung der Cybersicherheitsrisiken

Der CRA verlangt in seinem Artikel 13 eine Bewertung der Cybersicherheitsrisiken (BC) inklusive einer Analyse der Cybersicherheitsrisiken. Diese kann allerdings nicht allein mit den Methoden der klassischen Risikobeurteilung (RB) inklusive einer Risikoanalyse abgehandelt werden.

Die klassische RB wurde im Rahmen der EU-MVO mit Anhang III 1.1.9 um Cybersecurity erweitert. Der Einfachheit halber wird dieser Teil in der Analyse nicht betrachtet, da er besser nach BC abgehandelt werden kann.

Beide Verfahren folgen grundsätzlich einer risikobasierten Logik:

Grenzen des Produktes ermitteln,
dabei bestimmungsgemäße Verwendung und vernünftigerweise vorhersehbare Fehlanwendung festlegen
Gefährdungen und Gefährdungssituationen ermitteln,
dadurch Risiken beziehungsweise Risikoszenarien identifizieren,
- Die RB fokussiert sich auf Risiken, die der Hersteller zum Zeitpunkt des Inverkehrbringens / der Inbetriebnahme erkennen und vernünftigerweise vorhersehen kann.
- Die BC erstreckt sich auf den gesamten Produktlebenszyklus und muss über den Unterstützungszeitraum aktuell gehalten werden.
Risiken analysieren,
- Die RB geht davon aus, dass sich Personen nicht (unnötig) böswillig verhalten.
  Das Risiko wird für einzelne Gefährdungen und Gefährdungssituationen eingeschätzt, unter Berücksichtigung der Schwere möglicher Verletzungen oder Gesundheitsschäden und der Wahrscheinlichkeit ihres Eintretens.
- Die BC geht davon aus, dass das Produkt von außen angegriffen wird. Das Produkt kann hierzu in Sicherheitszonen und Kommunikationsverbindungen gegliedert werden. Für die Einschätzung des Risikos können folgende Kriterien verwendet werden:
  - Zweckbestimmung und vorhersehbare Verwendung,
  - Einsatz- und Betriebsumgebung,
  - zu schützende Werte,
  - Bedrohungen und Schwachstellen,
  - mögliche Auswirkungen eines Sicherheitsvorfalls.
Risiken bewerten,
- Die RB schützt Personen und Haustiere und Sachen vor (körperlichem) Schaden. Hierzu muss das Risiko auf ein akzeptables Maß gemindert werden.
- Die BC schützt Daten vor Exposition und Veränderung und stellt deren Verfügbarkeit sicher. Nicht alle Kriterien müssen dabei immer gleich wichtig sein.
Maßnahmen festlegen,
- Die RB soll Gefährdungen ausschalten oder durch Anwendung von Schutzmaßnahmen die mit diesen Gefährdungen verbundenen Risiken mindern. Sie schützt vor bekannten Gefährdungen und reduziert deren Risiken (nach Stand der Technik) auf ein akzeptables Restrisiko.
- Die BC gibt die Anwendung von Regeln vor. Je höher das Risiko eingeschätzt wird, desto stärker muss die Wirksamkeit der Maßnahmen sein, um
  - die Wahrscheinlichkeit noch unentdeckter Schwachstellen zu reduzieren,
  - die Angriffsfläche zu begrenzen,
  - Schwachstellen systematisch zu erkennen,
  - neu bekannt gewordene Schwachstellen zu bewerten und zu beheben,
  - Auswirkungen erfolgreicher Angriffe zu begrenzen.
Wirksamkeit überprüfen.

FAQ zum Cyber Resilence Act