Regulierungsvorhaben der EU Erheblicher Umsetzungs­aufwand durch neue Unternehmensregeln der EU

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Regelungen wie NIS2, DORA sowie CRA verfolgen alle das Ziel, die IT-Security bzw. die Betriebsstabilität zu stärken. Bei näherer Betrachtung können sie manche Unternehmen vor große Herausforderungen stellen. Was müssen CISOs und IT-Security-Teams dabei beachten?

Die Gefahr der Hackerangriffe hat auf allen Ebenen erheblich zugenommen. Gestiegen sind auch die Bedrohungen hinsichtlich kritischer Infrastrukturen wie beispielsweise die der Finanzwirtschaft. Aus diesem Grunde verwundert es kaum, dass auf die Regelungen von NIS2 (Network and Information Security) und DORA (Digital Operational Resilience Act) nun der CRA (EU Cyber Resilience Act) folgen soll.

Abgrenzung nach Rechtsform und Begrifflichkeit

DORA und CRA gelten als Verordnungen, während NIS2 eine europäische Richtlinie darstellt. Vergleichbar mit der Einführung der DSGVO im Jahr 2018 sind DORA und CRA nach ihrem Inkrafttreten für alle EU-Mitgliedstaaten verbindlich. NIS2 hingegen gilt nicht unmittelbar in der EU, sondern muss zunächst von den einzelnen Mitgliedstaaten in nationales Recht umgesetzt werden.

Die Richtlinie NIS2 verweist auf die Vereinheitlichung der IT-Security innerhalb der EU, verbunden mit der Anforderung, die Sicherheit entlang der gesamten Lieferkette zu prüfen. DORA zielt im Wesentlichen auf die Stärkung der Betriebsstabilität der IT in den Finanz- und Versicherungsunternehmen ab. Ein besonderer Schwerpunkt kommt dabei dem Management der Risiken von IKT-Drittanbietern zu, für den DORA ebenfalls gelten soll.

Der CRA soll verbindliche Anforderungen der IT-Security für Produkte mit digitalen Elementen aufstellen, die sich über den gesamten Produktlebenszyklus erstrecken. Dies wird bisweilen erhebliche Veränderungen für alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen mit sich bringen.

Problemstellung des CRA

Im Grunde dreht sich alles um Produkte mit digitalen Elementen, die sowohl Software als auch Hardware erfassen, und auf denen ein Zugriff über ein Produkt oder ein Netzwerk möglich ist. Dazu zählen jedoch keine digitalen Dienste wie etwa Cloud-Services oder SaaS sowie Open-Source-Software, die außerhalb der Geschäftstätigkeit eines betreffenden Unternehmens existieren. Zu den Produkten mit digitalen Elementen gehören beispielsweise Sensoren, Kameras, Router, intelligente Lautsprecher, Festplatten, mobile Endgeräte und viele mehr.

Anforderungen an die IT-Security

Der CRA fordert die Unternehmen auf, mit der Einhaltung folgender Anforderungen ein Mindestmaß an IT-Security zu gewährleisten:

• Produkte mit bekannten Schwachstellen dürfen nicht am Markt angeboten werden.

• Standard-Konfigurationen (security by design) als Sicherheit.

• Minimierung der Angriffsflächen und Auswirkungen von Kompromittierungen.

• Vertraulichkeit durch Verschlüsselung, Schutz der Datenintegrität und Datenminimierung.

Lassen sich während des Lebenszyklus eines Produkts Schwachstellen der IT-Security feststellen, muss der Hersteller diese beheben und automatisch kostenlose Updates bereitstellen. Der Update-Zeitraum ist jedoch auf höchstens fünf Jahre limitiert. Des Weiteren sind die Hersteller dazu angehalten, Schwachstellen in ihren Produkten durch regelmäßige Tests zu identifizieren und unverzüglich zu beheben.

Melde- und Prüfpflichten

Hat sich bereits ein Vorfall ereignet, der Auswirkungen auf die Sicherheit der Produkte haben könnte, bzw. wurden Schwachstellen bereits kompromittiert, muss der Hersteller dies spätestens innerhalb von 24 Stunden nach Bekanntwerden an die ENISA, die zuständige Aufsichtsbehörde, melden.

Liegt gleichzeitig auch eine Sicherheitsverletzung im Sinne der DSGVO oder anderer Gesetze vor, können zusätzliche Meldungen an die zuständige Datenschutzbehörde oder das Bundesamt für Sicherheit in der Informationstechnik (BSI) erforderlich sein.

Die Hersteller müssen die Konformität gegenüber dem CRA entweder durch interne Prüfverfahren, eine EU-Typenprüfung oder durch eine Konformitätsbewertung auf Basis einer umfassenden Qualitätszusicherung sicherstellen (EU Declaration of Conformity).

Besondere Regelungen sind für kritische Produkte mit digitalen Elementen zu beachten, da potenzielle Schwachstellen dieser Produkte aufgrund ihrer IT-Security-Funktion oder ihrer Verwendung schwerwiegende Folgen haben können. Solche Produkte müssen dann ein och strengeres Verfahren durchlaufen, die sich nach gewissen Klassifizierungen richten.

Dazu gehören beispielsweise Browser, Antiviren-Programme, Firewalls, Netzwerkmanagement, Systeme, Router, Desktop- und Mobilgeräte, virtualisierte Betriebssysteme, Aussteller digitaler Zertifikate, Allzweck-Mikroprozessoren, Kartenlesegeräte, CPUs und Robotersensoren.

Anforderungen für Importeure und Händler

Neben den Herstellern gilt der CRA auch für Importeure und Händler von Produkten mit digitalen Elementen von Herstellern außerhalb der EU, wenn sie diese in der EU in den Umlauf bringen. Wobei mit Importeuren oder Händler Unternehmen gemeint sind, die Produkte in fremdem Namen am Markt anbieten. Erfolgt dies im eigenen Namen, gelten sie beispielsweise als Hersteller im Sinne des CRA.

Importeuren wird es auferlegt, sicherzustellen, dass der Hersteller ein entsprechendes Konformitätsverfahren im Sinne des CRA durchgeführt und die technische Dokumentation erstellt hat. Ferner müssen Importeure und Händler gleichsam gewährleisten, dass ihre Produkte die von dem CRA geforderte CE-Kennzeichnung tragen und alle erforderlichen Informationen sowie die Gebrauchsanweisung beiliegen. Der Importeur muss zudem seine Kontaktinformationen auf dem Produkt bzw. auf der Verpackung anbringen, und der Händler muss überprüfen, ob der Importeur dem nachgekommen ist.

Vorbereitende Maßnahmen

Geplant ist, dass die Verordnungen des CRA Anfang 2024 in Kraft treten sollen. Die betreffenden Unternehmen müssen die Vorschriften voraussichtlich 24 Monate nach dem Inkrafttreten anwenden. Es ist empfehlenswert, dass sich die Hersteller, Händler und Importeure aufgrund der oftmals langen Produktentwicklungszyklen (Security by Design) schon jetzt auf die geplanten Regeln vorbereiten. Zudem gilt es zu beachten, dass die Meldepflichten bei Sicherheitsverletzungen bereits 12 Monate nach dem Inkrafttreten eingehalten werden müssen.

Als vorbereitende Aktivitäten empfehlen sich folgende Maßnahmen:

• Aufmerksam bestehende Produkte im Hinblick auf IT-Security und Schwachstellen beobachten.

• Geplante Produkte sollten möglichst wenige IT-Security-Schwachstellen aufweisen.

• Dokumentation der IT-Security sowie Dokumentation von Schwachstellen und der verwendeten Bestandteile Dritter für jedes Produkt.

• Wahl einer Methode zur Konformitätsbewertung als auch für notwendige Vorbereitungen.

• Bereitstellung von Informationen und Handlungsempfehlungen zur IT-Security für jedes Produkt.

• Produktbeobachtung für den gesamten Lebenszyklus sowie notwendige Sicherheitsupdates bereitstellen.

(ID:49953849)