Cyber Resilience Act der EU : Abwehr von Online-Kriminalität in der Baubranche

Der europäische Rechtsrahmen für Produktsicherheit und Verbraucherschutz sowie Fairness im Binnenmarkt baut auf dem Prinzip der Kohärenz auf und umfasst eine bemerkenswerte Anzahl von Verordnungen und Richtlinien, welche häufig aufeinander verweisen und dieselben Grundlagen zur Umsetzung nutzen. 

Die zur Abwehr von Online-Kriminalität und Cyber-Angriffen erarbeiteten Regeln beziehen deshalb neben dem CRA auch die bereits von der Bauproduktenverordnung bekannten Vorschriften für Produktkonformität, CE-Kennzeichnung und Marktüberwachung sowie den AI-Act mit ein.

Vom CRA sind nicht nur Softwareprodukte betroffen, sondern alle – auch physischen - Produkte, welche digitale Elemente (also z.b. Software) enthalten, unabhängig vom Ursprung des Codes. Dies gilt vor allem dann, wenn diese Produkte in irgendeiner Weise vernetzt oder am Internet teilnehmen sobald sie Datenverbindungen mit einem anderen Gerät oder Netz aufbauen können.  

Übertragen auf die Bau- und Immobilienwirtschaft betrifft das also bei weitem nicht nur das allgegenwärtige BIM, sondern eine Vielzahl von Produkten insbesondere im Bereich der Haustechnik, welche softwaregestützt arbeiten und / oder in irgendeiner Weise mit anderen Systemen kommunizieren.  

Bemerkenswert viele Produkte im Bauwesen fallen dabei unter die höchsten Risikokategorien, etwa elektronische Schließsysteme oder die nur bedingt beliebten Smart Meter – Marc Elsbergs„Blackout“ lässt grüßen. 

Wie gewohnt, arbeitet die EU auch beim Cyber-Resilience Act mit einem risikobasierten Ansatz und legt dazu Risikoklassen für „Produkte mit Digitalen Elementen“ fest. Die Einstufung eines Produktes in einer dieser Risikoklassen definiert die zu erfüllenden Sicherheits- und Akkreditierungsmaßnahmen.  

Unabhängig von der Risikoklasse ist die Konformität jedoch mit einer technischen Dokumentation, Konformitätserklärung und Konformitätskennzeichnung („CE-Kennzeichen“) nachzuweisen.  
 

Bereits die „grundlegenden Cybersecurity-Anforderungen“ welche alle Produkte mit digitalen Elementen zu erfüllen haben sollen ein angemessenes Cyber-Sicherheitsniveau gewährleisten.  

Einfache Produkte bewegen sich im „Modul A“ der Verfahren zur Konformitätsprüfung nach Verordnung (EG) 765/2008  für Akkreditierung und Marktüberwachung was eine interne Fertigungskontrolle als Konformitätsbewertungsverfahren zulässt. 
 
Bei einfachen Produkten mit digitalen Elementen kann also mit Eigendeklaration und interner Qualitätssicherung gearbeitet werden, was den Gesamtaufwand für seriöse Unternehmen gegenüber früher nicht wesentlich erhöhen sollte.

Darunter fallen alle Produkte und Softwarekomponenten die auf die Netzwerksicherheit selbst Einfluss nehmen können, zum Beispiel Netzwerkkomponenten, Virenschutz, Passwortmanager, Smart-Home Komponenten, Spielzeug mit Internet-Connectivity, Alarmanlagen und auch Identitätsmanagementsysteme (jedoch nicht ein einfacher passwortgestützter Zugangsschutz zu einer Website) 
 
Diese Produkte benötigen Konformitätsnachweise bestehend aus einem EU-Baumuster-Prüfverfahren, durchgeführt von einer notifizierten Stelle auf Basis von „Modul B“ und einer internen Fertigungskontrolle zur Überwachung der Konformität mit der Baumusterprüfung nach „Modul C“.

Hierzu gehören konkret sicherheitsrelevante Komponenten wie Serverbetriebssystme, Mikroprozessoren, Sicherheitshardware, Virtualisierungssoftware, Firewalls und Intrusion-Prevention-Systeme  
 
Die Konformitätsnachweise dieser Produkte benötigen zusätzlich zu den Anforderungen der Klasse I ein zertifiziertes und fremdüberwachtes Qualitätsmanagementsystem.

Dazu gehören Chipkarten-Systeme, Hardware von Sicherheitssystemen und unter anderem auch die Gateways der bereits genannten Smart-Meter 

 Diese Produkte benötigen nach Artikel 8 CRA und möglicher Delegierter Rechtsakte nach Artikel 61 ein europäisches Cybersicherheits-Zertifikat nach Verordnung (EU) 2019/881  über die ENISA und Zertifizierung der Cybersicherheit. Sollte Artikel 8 nicht zutreffen, sind die Anforderungen der Klasse II zu erfüllen.