Cyber Resilience Act: Wann gilt ein Unternehmen als Hersteller?
Warum Auftraggeber, White-Label-Anbieter und Markeninhaber häufig selbst für die Cybersicherheit eines Produkts verantwortlich sind
„Noch nie gehört.“
Diese Antwort fiel kürzlich in einem Gespräch mit einem Neukunden, als wir den Cyber Resilience Act erwähnten. Das Problem: Das Unternehmen lässt mehrere digitale Produkte entwickeln und vermarktet sie unter dem eigenen Namen. Damit gilt es nach dem Cyber Resilience Act grundsätzlich als Hersteller dieser Produkte.
Diese Situation ist kein Einzelfall. Viele Unternehmen gehen davon aus, dass derjenige Hersteller ist, der die Hardware produziert, die Firmware programmiert oder die App entwickelt hat. Aus Sicht des Cyber Resilience Act ist jedoch häufig etwas anderes entscheidend:
Unter wessen Namen oder Marke wird das Produkt auf den europäischen Markt gebracht?
Wer ein Produkt mit digitalen Elementen unter dem eigenen Namen vermarktet, kann Hersteller im Sinne des Cyber Resilience Act sein – auch dann, wenn die technische Entwicklung vollständig an eine Agentur, einen Softwaredienstleister oder einen Fertigungspartner ausgelagert wurde.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847. Die offizielle deutsche Bezeichnung lautet Cyberresilienz-Verordnung.
Mit dem CRA führt die Europäische Union verbindliche Cybersicherheitsanforderungen für sogenannte Produkte mit digitalen Elementen ein. Die Verordnung betrifft sowohl Hardware als auch Software, die auf dem europäischen Markt bereitgestellt werden und direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können.
Das Ziel besteht darin, dass digitale Produkte nicht nur zum Zeitpunkt ihrer Markteinführung funktionieren, sondern während ihres gesamten vorgesehenen Lebenszyklus angemessen gegen Cyberangriffe geschützt werden. Hersteller sollen Sicherheitsrisiken bereits während der Planung und Entwicklung berücksichtigen, Schwachstellen überwachen, Sicherheitsupdates bereitstellen und bestimmte Vorfälle melden.
Der CRA ist damit nicht nur ein weiteres IT-Sicherheitsgesetz. Er ist eine Produktverordnung. Cybersicherheit wird dadurch zu einem Bestandteil der Produktkonformität – ähnlich wie andere Anforderungen, die bereits heute für die CE-Kennzeichnung relevant sind.
Welche Produkte fallen unter den CRA?
Der Cyber Resilience Act gilt grundsätzlich für Software- und Hardwareprodukte, deren vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Dazu können beispielsweise gehören:
- vernetzte Sensoren, Steuerungen und IoT-Geräte,
- Smart-Home-Produkte,
- Router, Gateways und andere Netzwerkkomponenten,
- Firmware und Embedded Software,
- Desktop- und Mobile-Apps,
- Betriebssysteme und Softwarekomponenten,
- Sicherheitssoftware,
- digital vernetzte Industrieprodukte.
Auch Hardware- oder Softwarekomponenten können eigenständige Produkte im Sinne des CRA sein, wenn sie separat auf dem europäischen Markt bereitgestellt werden.
Zu einem Produkt kann außerdem eine notwendige Datenfernverarbeitung gehören. Benötigt ein IoT-Gerät beispielsweise zwingend ein vom Hersteller verantwortetes Cloud-Backend, damit eine seiner Funktionen ausgeführt werden kann, kann auch diese Cloud-Komponente Teil des Produkts mit digitalen Elementen sein. Ein reiner Cloud- oder SaaS-Dienst fällt dagegen nicht automatisch unter den CRA.
Bestimmte Produktgruppen sind ausgenommen, weil für sie bereits besondere europäische Regelungen bestehen. Das betrifft unter anderem bestimmte Medizinprodukte, Kraftfahrzeuge, Luftfahrzeuge und Schiffsausrüstung sowie Produkte, die ausschließlich für Verteidigungs- oder nationale Sicherheitszwecke entwickelt wurden. Ob ein Produkt unter den CRA fällt, muss deshalb immer anhand des konkreten Produkts und seiner Zweckbestimmung geprüft werden.
Wann gilt ein Unternehmen als Hersteller?
Der CRA definiert einen Hersteller als eine natürliche oder juristische Person, die ein Produkt mit digitalen Elementen selbst entwickelt oder herstellt oder es konzipieren, entwickeln oder herstellen lässt und anschließend unter dem eigenen Namen oder der eigenen Marke vermarktet.
Dabei spielt es keine entscheidende Rolle, ob das Produkt verkauft, anderweitig monetarisiert oder kostenlos angeboten wird. Voraussetzung ist, dass es im Rahmen einer geschäftlichen Tätigkeit auf dem europäischen Markt bereitgestellt wird.
Entscheidend ist deshalb nicht allein, wer den Quellcode geschrieben, die Platine entwickelt oder das Gehäuse gefertigt hat. Entscheidend ist vor allem, wer das Produkt unter seinem Namen auf den Markt bringt.
