Vernetzte Geräte wie smarte Kaffeemaschinen, Computeruhren und intelligente Babyphones sollen künftig besser gegen Cyberangriffe geschützt werden. Der Rat der EU-Innenministerinnen und Innenminister hat in Luxemburg dazu den sogenannten Cyber Resilience Act (CRA) beschlossen. Die neuen Regelungen des CRA legen erstmals verbindliche Cybersicherheitsanforderungen für alle vernetzten Geräte fest, teilte das Bundesinnenministerium mit.
Bundesinnenministerin Nancy Faeser (SPD) sagte: «Vernetzte Produkte erleichtern unseren Alltag, können aber auch von Kriminellen ausgenutzt werden. Deshalb müssen sie sicher sein.» Sie betonte, dass man sich darauf verlassen können müsse, dass ein vernetztes Gerät, das man bei sich trägt oder zu Hause hat, kein Sicherheitsrisiko darstellt. Mit dem Cyber Resilience Act werde die Cybersicherheit in Europa auf ein neues Niveau gehoben.
Cybersicherheit auf einen Blick
Faeser hob hervor, dass sowohl Verbraucherinnen und Verbraucher als auch die Wirtschaft vom CRA profitieren werden. «In Zukunft können sie anhand des vertrauten CE-Kennzeichens auf einen Blick erkennen, dass ein vernetztes Gerät wesentliche Cybersicherheitsanforderungen erfüllt. Das bewährte CE-Kennzeichen steht damit nun auch für Sicherheit gegen Cyberbedrohungen.»
Die neue Regelung verpflichtet Hersteller, Importeure und den Handel. «Sie müssen künftig sicherstellen, dass die von ihnen vertriebenen Produkte den Cybersicherheitsanforderungen genügen und mit einem CE-Kennzeichen versehen sind», teilte das Innenministerium mit. Zudem müssen Hersteller IT-Schwachstellen und Cybervorfälle an eine zentrale Meldestelle melden und regelmäßig Sicherheitsupdates anbieten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wertet die Verabschiedung des CRA als wichtigen Schritt, um die Cybersicherheit der vernetzten Hard- und Softwareprodukte signifikant zu erhöhen. BSI-Präsidentin Claudia Plattner sagte, künftig müssten Hersteller über den gesamten Lebenszyklus ihrer Produkte und Anwendungen die Verantwortung für deren Cybersicherheit übernehmen. Damit würden die Sicherheit digitaler Produkte und das Vertrauen in die Digitalisierung erheblich gestärkt. «Davon profitieren alle Anwenderinnen und Anwender und letztlich auch die Hersteller, denn ihre Produkte werden qualitativ hochwertiger und sicherer.»
Drei Jahre Übergangszeit
Für den Cyber Resilience Act ist ein Übergangszeitraum von drei Jahren vorgesehen. Spätestens ab November 2027 müssen alle auf dem Markt vertriebenen Produkte die neuen Cybersicherheitsanforderungen erfüllen und dies mit einem CE-Kennzeichen dokumentieren.
Die Digitalbranche begrüßte die Regelung. Sie sei ein zentraler Baustein für die Stärkung der Cybersicherheit in der EU, da Produkte mit digitalen Elementen nun einheitliche Sicherheitsstandards erhalten, sagte Susanne Dehmel, Mitglied der Geschäftsleitung im Branchenverband Bitkom. Die 36-monatige Übergangsfrist sei aber angesichts der großen Herausforderungen nicht viel Zeit. «Daher ist es wichtig, dass die Politik die Unternehmen bei der Umsetzung aktiv unterstützt.» Die Unternehmen müssten Klarheit darüber haben, welche Kriterien sie erfüllen müssen.
Redaktionshinweis: In einer früheren Version des Artikels hieß es: (Der Rat der EU-Innenministerinnen und Innenminister hat in Brüssel dazu den sogenannten Cyber Resilience Act (CRA) beschlossen.). Das Treffen war in Luxemburg und nicht in Brüssel.
