Cybersicherheit in der Industrie Der Cyber Resilience Act: Wer muss noch nachsitzen?

Anbieter zum Thema

Bürklin GmbH & Co. KG

CSA Group Bayern GmbH

Precoplat Präzisions-Leiterplatten-Technik GmbH

Bereits im September 2022 legte die EU-Kommission einen Entwurf für den sogenannten Cyber Resilience Act (CRA) vor, der zwar für mehr Cybersicherheit und Resilienz zu sorgen soll, in dem Vertreter der Industrie allerdings viele Probleme sehen, etwa eine Gefährdung für Open Source Software und eine gewisse Unverhältnismäßigkeit.

Der Cyber Resilience Act kommt, so viel ist sicher. Nur wann, das ist bislang unklar. Experten gehen davon aus, dass es 2024 oder 2025 so weit sein könnte. Dann werden, gemessen an dem aktuellen Entwurf des Cyber Resilience Acts (CRA), alle Produkte und Maschinen mit digitalen Elementen, die miteinander oder mit dem Internet verbunden werden können, strengeren Sicherheitsregeln unterworfen.

Die Europäische Kommission schlägt mit dem im September 2022 vorgelegten CRA vor, bei den genannten Produkten in den Phasen Design, Entwicklung und Produktion sowie während des Inverkehrbringens und während der Nutzung risikoangemessene Cybersecurity-Maßnahmen zu etablieren.

Immer mehr Ransomware-Angriffe

An und für sich ist das eine feine Sache. Wie oft haben etablierte Nachrichtenmagazine bereits über erfolgreiche Cyberangriffe auf unter anderem wichtige Infrastrukturen berichtet, bei denen Daten, Tools und Systeme plötzlich durch Ransomware gesperrt werden und nicht mehr verfügbar sind, wenn kein Lösegeld gezahlt wird? Viel zu oft.

Wie das Bundesministerium für Sicherheit in der Informationstechnik (BSI) mitteilt, nehmen solche Vorfälle nicht ab, sondern zu.

Laut den Berichten der EU-Kommission wird alle elf Sekunden ein Angriff mittels Ransomware durchgeführt. Im Jahr 2021 haben Ransomware-Angriffe weltweit Kosten in Höhe von etwa 20 Milliarden Euro verursacht. Weltweit wurden die generellen Kosten von Cyberattacken im Jahr 2021 auf 5,5 Billionen Euro geschätzt. Cybersicherheit ist also ein Thema, das uns alle angeht.

Doch versucht die EU-Kommission mit einer einzigen Klappe alle Fliegen zu schlagen? Speziell Entwickler von Open Source Software, aber auch Mitglieder der Deutschen Industrie- und Handelskammer (DIHK) sehen den bisher vorgelegten Entwurf kritisch und hoffen mit ihrer Kritik eine Änderung zu bewirken. Insbesondere bei den Formulierungen in dem als Verordnung angelegten CRA muss aufgepasst werden.

Was ist mit Open Source Software?

Am 8. August 2023 veröffentlichte die Open Source Business Alliance (OSBA) des Bundesverband für digitale Souveränität e.V. eine Stellungnahme, in der die Ziele des Cyber Resilience Acts ausdrücklich befürwortet werden. Allerdings scheint der CRA in den Augen der Mitglieder der OSBA vornehmlich mit Blick auf proprietäre Software geschrieben worden zu sein. „Daher sind auch die zu erfüllenden Anforderungen in Hinblick auf die Entwicklungs- und Vertriebsmodelle proprietärer Software formuliert. Die Entwicklungs- und Vertriebsmodelle von Open Source Software unterscheiden sich jedoch durch den offenen und kooperativen Ansatz sowie durch die Freiheiten, welche die Softwarelizenzen gewähren, zum Teil erheblich von den Entwicklungs- und Vertriebsmodellen proprietärer Software“, so die OSBA.

Zwar soll es im CRA Ausnahmen für Open Source geben, allerdings nur dann, wenn die Software nicht für kommerzielle Aktivitäten eingesetzt wird – und die Definition von „kommerziell“ ist in den Augen der OSBA ungenügend. „Hier ist eine klare Abgrenzung schwierig und es ergibt sich ein zu großer Graubereich mit Interpretationsspielraum und dadurch eine Rechtsunsicherheit. Open-Source-Lösungen werden teilweise im Rahmen einer rein kommerziellen Aktivität (durch bezahlte Angestellte einer Firma mit kommerziellem Interesse), im Rahmen von Wissenschaft und Lehre, durch die öffentliche Verwaltung und teilweise auch durch tausende Freiwillige in ihrer Freizeit, ohne eigenes kommerzielles Interesse entwickelt und gepflegt.“ Der OSBA befürchtet mit Blick auf Open Source eine Überregulierung, einen zu großen Interpretationsspielraum sowie eine rechtliche Unsicherheit für vor allem kleine OS-Projekte.

Verschiedenen Studien zufolge beinhalten 78 bis 96 Prozent aller Softwareprodukte Open-Source-Komponenten, und Open Source spielt in der Gesamtwirtschaft und Wettbewerbsfähigkeit europäischer Unternehmen eine signifikante Rolle. Selbst Projekte der Bundesregierung setzen auf Open Source. In Wissenschaft, in Startups und in kleinen und mittelständischen Unternehmen ist Open Source Software eine oft und gerne genutzte Lösung, und die OSBA sieht einen drohenden Schaden für die Wirtschaft sowie für die digitale Souveränität. Was die EU-Kommission und die Bundesregierung gegen die Unklarheiten im ersten CRA-Entwurf tun könnten, etwa einige sinnvollere Formulierungen des Europäischen Rates zu übernehmen, schlägt die OSBA ebenfalls vor.

Der Blick der Deutschen Industrie- und Handelskammer

Die Mitglieder der Deutschen Industrie- und Handelskammer (DIHK) haben natürlich obendrein im Blick, dass nicht nur vernetzbare Produkte in den Handel gelangen, sondern auch in Unternehmen für die Produktion beziehungsweise als Vorprodukte bezogen werden. Damit sind diese Produkte Teil der Lieferkette. Der Cyber Resilience Act kann damit einen empfindlichen Einfluss auf Lieferketten nehmen. Der ursprüngliche Entwurf des CRA sieht unter anderem umfangreiche Dokumentations- und Informationssorgfaltspflichten vor.

Die DIHK hat dafür ein ansehnliches Beispiel, wie umfangreich die notwendigen Pflichten ausfallen können: „Ein Industrieunternehmen verbaut Chips als Bestandteile seines Produkts. Das Unternehmen muss sich darauf verlassen können, dass diese sicher konzipiert sind und benötigt für eine gewisse Zeit Sicherheitsupdates vom Hersteller, um die Sicherheit entlang der Lieferkette zu gewährleisten. Nach dem CRA müsste der Hersteller nachweisen, dass er bei Entwicklung und Produktion EU-harmonisierte Cybersicherheitsnormen eingehalten hat. Das wird über eine sogenannte Software-Stückliste dokumentiert. Er muss auch Schwachstellen dokumentieren, von denen er Kenntnis erlangt hat. Vor Inverkehrbringen des Chips muss er ein Konformitätsbewertungsverfahren durchführen, erst dann darf die CE-Kennzeichnung angebracht werden. Das Industrieunternehmen muss auch für seinen Teil der Lieferkette all dies tun. Beide Unternehmen müssen auch nach Inverkehrbringen von Chip und Industrieprodukt Updates bereitstellen sowie Melde- und Informationspflichten erfüllen.“

Die Handelskammer mahnt in ihrem Text an, dass der Cyber Resilience Act seinen Zweck zur Erhöhung der Cybersicherheit nur erhöhen kann, wenn er praktikable und angemessene Vorgaben macht, um sein Ziel zu erreichen. Das Problem, das an der Stelle gesehen wird, ist, dass Unternehmen sich an europäischen Normen für die Einführung neuer Produktionsschritte halten müssen, die zu dem Zeitpunkt erst noch erarbeitet werden müssen. Eine Übergangsfrist für EU-Verordnungen liegt meistens bei ein bis zwei Jahren. Die DIHK bittet jetzt bereits um eine Verlängerung der Fristen, denn vor allem Fachkräfteengpässe müssen überwunden werden.

Cyber Resilience Act – und jetzt?

Wie bereits angedeutet, rechnen Experten damit, dass der CRA im Jahr 2024 oder 2025 als Verordnung in Kraft tritt. In der Timeline des CRA steht vermerkt, dass das Europäische Parlament und der Europarat die Vorschläge diskutieren. Der Rat an im Sommer 2023 bereits einige Anpassungen vorgeschlagen. Anschließend, sobald der CRA angenommen wird, haben die Mitgliedsstaaten zwei Jahre Zeit, die neuen Anforderungen zu übernehmen. Eine Ausnahme gibt es für die Pflicht, Schwachpunkte und deren Ausnutzung (sprich: Cyberangriffe auf ein Unternehmen) zu melden, denn diese Pflicht tritt bereits ein Jahr nach Annahme des Cyber Resilience Acts in Kraft. Im Anschluss will die Kommission den CRA regelmäßig überprüfen und über seine Auswirkungen berichten.

Wer sich auf Grundlage des bislang vorgelegten Entwurfs über kommende Pflichten, Fristen und möglicherweise geforderte Bußgelder informieren möchte, kann das unter anderem am 28. November 2023 in Frankfurt am Main im House of Logistics and Mobility auf der IT-Sicherheitskonferenz Cybics machen. Der Fokus des Konferenzprogramms liegt auf der Cybersicherheit von IoT/ICS/OT-Produkten aus regulatorischer Sicht. Auf der Webseite der Cybics erfahren Sie mehr. Ein Factsheet zum Cyber Resilience Act und weitere Details lassen sich auf der offiziellen Webseite der EU-Kommission einsehen. (sb)

(ID:49780854)