15.11.2023 •

Cyber Resilience Act: TÜV-Verband fordert ambitionierteres Regelwerk

EU-Parlament und Mitgliedsstaaten verhandeln über zukünftige Anforderungen an die Cybersicherheit vernetzter Produkte. TÜV-Verband sieht Nachbesserungsbedarf bei der Risikoklassifizierung: Einbindung unabhängiger Prüfstellen sollte für alle Hochrisikoprodukte verpflichtend werden. Zeitnahe Anwendung der Vorschriften sicherstellen.

Cyber Resilience Act: TÜV-Verband fordert ambitionierteres Regelwerk
Quelle: TÜV Verband

Berlin, 02. November 2023 – Der TÜV-Verband begrüßt das Ziel, mit dem Cyber Resilience Act (CRA) verpflichtende Vorgaben für die Cybersicherheit vernetzter Produkte in der EU einzuführen, fordert aber Nachbesserungen am aktuellen Gesetzentwurf. 

„Wir brauchen einen ambitionierten und robusten Regulierungsrahmen für Cybersicherheit, um Verbraucher:innen, Wirtschaft und Staaten effektiv vor Cyberangriffen zu schützen. Leider bleibt die Position des EU-Parlaments und auch der EU-Mitgliedsstaaten erheblich hinter unseren Erwartungen zurück“, sagt Johannes Kröhnert, Referent für Europapolitik beim TÜV-Verband und Leiter des Brüsseler Büros

Kritisch bewertet der TÜV-Verband, dass die Liste der sicherheitskritischen Produkte von den EU-Mitgliedsstaaten massiv gekürzt wurde.

„Das ist angesichts der hohen Gefährdungslage und des zu erfüllenden Schutzauftrages des Gesetzgebers nicht nachvollziehbar und unangemessen“, betont Kröhnert. So sind zum Beispiel im Gesetzesentwurf zahlreiche besonders gefahrträchtige Verbraucherprodukte nicht als kritische Produkte erfasst. „Vernetzte Verbraucherprodukte mit digitalen Funktionen wie intelligente Alarmsysteme, Smart-Home-Geräte oder intelligentes Spielzeug bergen ein hohes Risikopotenzial und können leicht zum Einfallstor für Cyberangriffe werden“, sagt Kröhnert. 

Es sei daher wichtig, auch solche Produkte mit aufzunehmen.

VERPFLICHTENDE UNABHÄNGIGE ÜBERPRÜFUNG BEI SICHERHEITSKRITISCHEN PRODUKTEN

Nachbesserungsbedarf besteht aus Sicht des TÜV-Verbands auch bei den verpflichtenden Überprüfungsmechanismen.

„Viele sicherheitskritische Produkte sollen auf Grundlage einer reinen Herstellerselbsterklärung auf den Markt gebracht werden dürfen“, sagt Kröhnert

 Der TÜV-Verband hält diesen Ansatz für falsch, da er nicht das notwendige Cybersicherheitsniveau vernetzter Produkte gewährleisten kann. Kröhnert:

„Vorrangiges Ziel des EU-Gesetzgebers muss es sein, dass nur nachweislich cybersichere Produkte auf den Markt kommen und somit das Vertrauen der Menschen in vernetzte Produkte gestärkt wird. Dafür bedarf es neben ambitionierten Sicherheitsanforderungen vor allem verlässlicher Überprüfungsmechanismen.“

Eine konsequente Einbindung unabhängiger Prüfstellen insbesondere bei kritischen Produkten sei zwingend erforderlich, um das notwendige Vertrauen in die Sicherheit digitaler Technologien zu schaffen.

ZEITNAHE ANWENDUNG DER VORSCHRIFTEN SICHERSTELLEN

Sowohl das EU-Parlament als auch die Mitgliedsstaaten haben das von der Kommission angedachte Anwendungsdatum nach Inkrafttreten der Verordnung von 24 auf 36 Monate verlängert. Kröhnert:

„Damit wären die Cybersicherheitsanforderungen des Cyber Resilience Acts voraussichtlich erst im Jahr 2027 verpflichtend einzuhalten. Angesichts der enorm hohen Anzahl von Cybersicherheitsvorfällen und den damit einhergehenden Schäden ist eine so lange Übergangszeit nicht gerechtfertigt.“ 

Stattdessen gelte es, den CRA so schnell wie möglich zur Anwendung zu bringen und damit die Bürger:innen wirksam zu schützen.

Mit dem CRA werden erstmals grundlegende Anforderungen für die Cybersicherheit von allen Produkten mit digitalen Elementen festgelegt. Dazu gehören sowohl physische Produkte als auch Software. Die Anforderungen umfassen unter anderem die Berücksichtigung der Cybersicherheit über den gesamten Produktlebenszyklus, die Dokumentation aller Cybersicherheitsrisiken, die Meldung und Behebung aktiv ausnutzbarer Schwachstellen sowie eine Updatepflicht der Hersteller. Aktuell finden die Verhandlungen zwischen den EU-Institutionen statt an mit dem Ziel, bis Ende des laufenden Jahres eine Einigung zu erzielen.


Mehr Infos sind abrufbar im Positionspapier zu den Cyber Resilience Act Trilogverhandlungen.


Mehr zu den Themen:

Verwandte Artikel

Cybersicherheitslage erfordert strategische Neuaufstellung

Cybersicherheitslage erfordert strategische Neuaufstellung

Die Cybersicherheitslage in Deutschland ist weiter angespannt. Das geht aus dem aktuellen Bericht zur Lage der IT-Sicherheit in Deutschland hervor, den Bundesinnenministerin Nancy Faeser und Claudia Plattner, Präsidentin des Bundesamts für...

Cybersecurity und Fachkräftemangel größte Herausforderung bei Energiewende

Cybersecurity und Fachkräftemangel größte Herausforderung bei Energiewende

Während die Informatik aufgrund "hipper Themen" wie Künstliche Intelligenz oder Big Data immer größeren Zulauf erhält, sinken die Zahlen in der Elektrotechnik und im Maschinenbau.

Genetec Privacy Protector erneut mit dem renommierten Europäischen Datenschutzsiegel (EuroPriSe) zertifiziert

Genetec Privacy Protector erneut mit dem renommierten Europäischen Datenschutzsiegel (EuroPriSe) zertifiziert

Der KiwiVision™ Privacy Protector erhält als einzige Lösung das EuroPriSe Siegel für den effektiven Schutz persönlicher Identitäten in Videoüberwachungsaufnahmen.

:

Photo

Nationales IT-Lagezentrum

Seit Februar 2024 ist das Nationale IT-Lagezentrum des BSI in seinen neuen Räumlichkeiten in Betrieb. Die Arbeitsplätze im Lagezentrum wurden verdoppelt und die neueste Medientechnik verbaut, um im…

Photo

UP KRITIS

Unsere moderne Gesellschaft ist auf die Versorgung mit Strom, Wasser, Lebensmitteln und weiteren essenziellen Gütern und Dienstleistungen angewiesen. Diese werden durch Betreiber Kritischer…