// HEISE ONLINE — LINUX & OPEN SOURCE
Hilfestellung: BSI gibt technische Richtlinie zum Cyber Resilience Act frei
Die „Allgemeinen Anforderungen“ sollen Orientierung für Hersteller vernetzter Produkte schaffen. Auf Anfrage erhalten Unternehmen weitere Handreichungen.
Das Bundesamt für Sicherheit in der Informationstechnik (BIS) will die vielfältigen Interpretationsmöglichkeiten des Cyber Resilience Act (CRA) entwirren, den Hersteller spätestens ab dem 11. Dezember 2027 umsetzen müssen. Dazu stellt die Behörde die Version 1.0 seiner technischen Richtlinie TR-03183 bereit. Ergänzend zu anderen Interpretations- und Orientierungshilfen des BIS soll damit für Hersteller klar sein, was ihre Produkte leisten müssen, um mit dem Cyber Resilience Act konform zu sein. Das betrifft alle „Produkte mit digitalen Elementen“, vom vernetzten Kühlschrank bis zum Kuscheltier mit KI-Chatbot.
Allerdings gilt eine wichtige Einschränkung: Europäische Standards sollen die deutschen Hinweise künftig ersetzen. Wie schon bei anderen EU-Vorhaben, bei denen die konkrete Ausarbeitung etwas länger dauert, geht Deutschlands IT-Sicherheitsbehörde mit einer eigenen Initiative voran. Die ist zwar rechtlich unverbindlich, wurde aber monatelang mit Fachleuten diskutiert. Sie dürfte dem Ergebnis der EU-Diskussionen daher nicht diametral entgegenstehen.
In der technischen Richtlinie führt das BSI unter anderem aus, wie eine Risikoeinschätzung der Hersteller ausgestaltet sein kann, um Risiken auf ein „akzeptables Niveau“ zu senken. Das BSI empfiehlt Herstellern einen risikobasierten Ansatz, um herauszufinden, welche Maßnahmen für sie die jeweils angemessenen sind. Denn es geht in der CRA nicht um Universalabsicherung, sondern um das Erreichen eines angemessenen Schutzniveaus und die stetige Überprüfung.
Eine BSI-Sprecherin erläutert die Zielsetzung: „Für Verbraucherinnen und Verbraucher wird der CRA die Cybersicherheit von Produkten, die ab Dezember 2027 in Europa in Verkehr gebracht werden, substantiell erhöhen. Mit der TR können interessierte Hersteller einem strukturierten Prozess folgen, wie ein Produkt für Kunden/Verbraucherinnen und Verbraucher angemessen abgesichert werden kann.“ Die TR-03183 ziele auf Unternehmen, „die noch keine stabilen Cybersicherheitsprozesse haben und demnächst unter den CRA fallen“ – also Unbedarfte auf dem Feld der Produkt- und Cybersicherheit.
Ebenfalls hinterlegt wurde nun auf Github eine erste Auswahl an Sicherheitsmaßnahmen im OSCAL-Format. Das ursprünglich von der US-Sicherheitsbehörde NIST entwickelte Format soll maschinenlesbar die Übersetzung abstrakter Anforderungen wie Normen unter anderem in konkrete Abhängigkeiten, Maßnahmen, Profile und Assessments gewährleisten. Allerdings stehen die OSCAL-Daten erst nach Voranmeldung offen. Die BSI-Sprecherin: „Das BSI schaltet das Repository auf Anfrage frei. Hierfür können sich Interessierte mit dem Github-Account bei der angegebenen E-Mail-Adresse melden.“ Besondere Vorbedingungen seien für die Freischaltung nicht zu erfüllen, so das Bundesamt.
Noch ist die Diskussion um die richtige Implementation des CRA nicht abgeschlossen, mit der heutigen 1.0 der TR-03183 gibt es aber zumindest deutliche Hilfestellungen. Sehr viel konkreter ist ein hart im EU-Recht hinterlegtes Datum: Bereits ab dem 11. September 2026 greifen Meldepflichten für ausgenutzte Sicherheitslücken und kritische Vorfälle für CRA-regulierte Produkte. Die sollen dann über die nationalen Cybersicherheitsinstitutionen bei einer gemeinsamen Meldeplattform der EU-Netzwerksicherheitsagentur ENISA zusammenlaufen. Diese Pflicht betrifft zum einen die Anbieter von Produkten mit digitalen Elementen, zum anderen aber auch die neu eingeführten Open-Source-Software Stewards, die für OSS-Projekte einige der Aufgaben im Rahmen des CRA übernehmen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Sy