Cyber­se­cu­ri­ty Com­pli­ance: vier euro­päi­sche Eck­pfei­ler für Hersteller

Die Funk­an­la­gen­richt­li­nie über­ar­bei­tet, die NIS-2-Richtlinie neu geschaf­fen. Der Cyber Secu­ri­ty Act und die Maschi­nen­ver­ord­nung sind geplant. Wir stel­len die­se vier wich­tigs­ten Schrit­te hin zu einem EU-weit ein­heit­li­chen Cyber­si­cher­heits­ni­veau für Her­stel­ler vor.

Smart­me­ter und Indus­tri­al IoT: alles Funkanlagen

Die Funk­an­la­gen­richt­li­nie (2014/53/EU), mit dem Funk­an­la­gen­ge­setz 2017 in deut­sches Recht umge­setzt, ent­hält grund­le­gen­de Anfor­de­run­gen für die Bereit­stel­lung von Funk­an­la­gen auf dem euro­päi­schen Bin­nen­markt. Mit einer dele­gier­ten Ver­ord­nung v. 29.10.2021 erwei­tert die Euro­päi­sche Kom­mis­si­on Anwen­dungs­be­reich und Geset­zes­zweck. Funk­an­la­gen, die direkt oder indi­rekt (über ande­re Gerä­te) mit dem Inter­net kom­mu­ni­zie­ren, müs­sen Cyber­si­cher­heit und Daten­schutz sicher­stel­len. Eine aus­führ­li­che Über­sicht zum Anwen­dungs­be­reich fin­den Sie hier.

NIS-2-Richtlinie

Die Anfang 2023 in Kraft getre­te­ne NIS-2-Richtlinie ent­hält eine Viel­zahl von neu­en Ver­pflich­tun­gen zur Erhö­hung des Cyber­si­cher­heits­ni­veaus in Unter­neh­men, die nach Anhang I eine „hohe Kri­ti­k­ali­tät“ auf­wei­sen oder nach Anhang II sons­ti­gen kri­ti­schen Sek­to­ren zuge­hö­rig sind. Unter­neh­men sind betrof­fen, soweit mehr als 50 Mit­ar­bei­ter beschäf­tigt oder ein Umsatz von 10 Mio. EUR über­schrit­ten wer­den und sie ihre Diens­te in der EU erbrin­gen. Wer ver­pflich­tet ist, muss ein detail­lier­tes Risi­ko­ma­nage­ment­sys­tem zur Cyber­si­cher­heit ein­rich­ten. Nach Wil­len des Richt­li­ni­en­ge­bers wer­den dabei bevor­zugt zer­ti­fi­zier­te Sys­te­me und genorm­te Pro­zes­se zur Anwen­dung kom­men. Eine Umset­zung in deut­sches Recht steht bevor. Nach dem Grund­satz der Min­dest­har­mo­ni­sie­rung darf der Gesetz­ge­ber stren­ge­re Anfor­de­run­gen fest­le­gen. Aus­führ­li­che Infor­ma­tio­nen fin­den Sie hier.

Cyber Resi­li­ence Act: neue Ver­pflich­tun­gen für digi­ta­le Produkte

Mit Vor­schlag vom 15.09.2022 stell­te die EU-Kommission ihren Ent­wurf für einen Cyber Resi­li­ence Act vor. Dar­in fin­den sich Anfor­de­run­gen für die Ent­wick­lung, das Design, die Pro­duk­ti­on und die Bereit­stel­lung von digi­ta­len Pro­duk­ten. Cyber­si­cher­heit muss wäh­rend des gesam­ten Pro­dukt­le­bens­zy­klus gewähr­leis­tet wer­den. Das Regel­werk ist kom­plex und rekur­riert neben sei­ner eige­nen Defi­ni­ti­on von kri­ti­schen Pro­duk­ten unter ande­rem auf Hoch­ri­si­ko­sys­te­me im Sin­ne der geplan­ten KI-Verordnung. Adres­sa­ten sind die Her­stel­ler, Händ­ler, Impor­teu­re und ihre auto­ri­sier­ten Ver­tre­ter. Eine Vor­stel­lung von den zukünf­ti­gen Anfor­de­run­gen bie­ten Anhang I und II; kri­ti­sche Pro­dukt­grup­pen (bis­lang 38) sind in Anhang III gelis­tet. Detail­lier­te Infor­ma­tio­nen fin­den sich in unse­rem frei zugäng­li­chen Bei­trag zum CRA in der Zeit­schrift Kom­mu­ni­ka­ti­on & Recht.

Maschi­nen­ver­ord­nung

Der Vor­schlag über eine Maschi­nen­ver­ord­nung, die die bis­he­ri­ge Richt­li­nie erset­zen soll, wur­de Ende 2022 ver­öf­fent­licht. Erst­mals wird es für zuläs­sig erklärt, Betriebs­an­lei­tun­gen allein digi­tal zur Ver­fü­gung zu stel­len. Der neue Anwen­dungs­be­reich erstreckt sich auch auf mit Soft­ware betrie­be­ne Maschi­nen und ver­langt Risi­ko­be­ur­tei­lungs­ver­fah­ren. Inter­net­fä­hi­ge Maschi­nen müs­sen beson­ders gegen Ver­fäl­schun­gen gesi­chert wer­den. Aus­führ­lich behan­delt wer­den die Neue­run­gen in unse­rem White­pa­per aus dem Sep­tem­ber letz­ten Jahres.

Fazit

Die NIS-2-Richtlinie muss zunächst in natio­na­les Recht trans­fe­riert wer­den. Die Ver­än­de­run­gen der Funk­an­la­gen­richt­li­nie gel­ten als dele­gier­te Ver­ord­nung unmit­tel­bar ab dem 01.08.2024. Wann der Cyber Secu­ri­ty Act oder die Maschi­nen­ver­ord­nung ver­ab­schie­det wer­den, ist noch unklar. Erkenn­bar ist jedoch die ein­deu­ti­ge Ten­denz des euro­päi­schen Gesetz­ge­bers, die Digi­ta­li­sie­rung vor­an­zu­trei­ben, ohne dabei die Netz­sta­bi­li­tät, den Verbraucher- oder Daten­schutz zu beein­träch­ti­gen. Her­stel­ler soll­ten schon heu­te die not­wen­di­gen Maß­nah­men ergrei­fen, um nicht ins Hin­ter­tref­fen zu gera­ten. Wei­te­re Infor­ma­tio­nen dazu fin­den Sie auch in unse­ren One­pagern zu Inci­dent Respon­se (.pdf) sowie zu Cyber­se­cu­ri­ty und Data Pro­tec­tion by Design (.pdf)