Cyber Resilience Act: Welches Konformitätsbewertungsverfahren ist das richtige?

Der Cyber Resilience Act (CRA) verändert die Spielregeln für Hersteller von Software und anderen Produkten mit digitalen Elementen grundlegend. Wer ein vom CRA erfasstes Produkt auf den europäischen Markt bringen möchte, muss nicht nur die grundlegenden Cybersicherheitsanforderungen erfüllen. Der Hersteller muss deren Einhaltung auch in einem Konformitätsbewertungsverfahren nachweisen.

Art. 32 CRA sieht dafür unterschiedliche Wege vor. Welcher davon gewählt werden kann oder sogar zwingend vorgeschrieben ist, hängt insbesondere von der Einstufung des Produkts ab. Dabei unterscheidet der CRA im Wesentlichen zwischen der allgemeinen Produktkategorie, wichtigen Produkten der Klasse I und II sowie kritischen Produkten mit digitalen Elementen.

1. Interne Kontrolle nach Modul A: Konformitätsbewertung in Eigenverantwortung

Der einfachste Weg ist das interne Kontrollverfahren auf Grundlage von Modul A gemäß Anhang VIII CRA. Art. 32 Abs. 1 lit. a CRA nennt dieses ausdrücklich als Konformitätsbewertungsverfahren.

Vereinfacht gesprochen handelt es sich um eine Selbstbewertung durch den Hersteller. Für Produkte der allgemeinen bzw. „Default“-Kategorie kann dieses Verfahren grundsätzlich herangezogen werden. Der von der Europäischen Kommission erstellte Entwurf einer CRA-Leitlinie bezeichnet Modul A ausdrücklich als „self-assessment“.

Das bedeutet allerdings keineswegs, dass der Hersteller lediglich ein Formular unterschreiben muss. Die Konformitätsbewertung betrifft das Produkt und die vom Hersteller festgelegten Verfahren und soll nachweisen, dass die grundlegenden Cybersicherheitsanforderungen des Anhangs I eingehalten werden.

In der Praxis ist daher eine belastbare technische Dokumentation entscheidend. Dazu gehören insbesondere die Cybersicherheitsrisikobewertung, Informationen über Entwicklung und Herstellung sowie die Verfahren zur Behandlung von Schwachstellen. Auch die Software Bill of Materials (SBOM) ist Bestandteil der technischen Dokumentation.

Praxisbeispiel: Ein Hersteller entwickelt eine gewöhnliche B2B-Software, die weder unter die Kategorien wichtiger Produkte nach Anhang III noch kritischer Produkte nach Anhang IV fällt. Hier kann grundsätzlich Modul A der naheliegende Weg für die Konformitätsbewertung sein. Die konkrete Klassifizierung muss allerdings stets anhand des jeweiligen Produkts geprüft werden.

2. EU-Baumusterprüfung nach Modul B kombiniert mit Modul C

Als zweiten Weg sieht Art. 32 CRA die EU-Baumusterprüfung nach Modul B mit anschließender Konformität mit dem EU-Baumuster auf Grundlage der internen Fertigungskontrolle nach Modul C vor.

Hier kommt eine notifizierte Stelle ins Spiel.

Bei der EU-Baumusterprüfung beurteilt sie die Eignung der technischen Konzeption und Entwicklung des Produkts. Dazu werden insbesondere die technische Dokumentation, zusätzliche Nachweise und Muster relevanter Produktbestandteile geprüft. Der Antrag wird vom Hersteller bei einer einzigen notifizierten Stelle seiner Wahl gestellt.

Nach Abschluss der Baumusterprüfung folgt Modul C. Der Hersteller muss dabei sicherstellen und erklären, dass seine Produkte dem in der EU-Baumusterprüfbescheinigung beschriebenen Baumuster entsprechen und die einschlägigen grundlegenden Cybersicherheitsanforderungen erfüllen.

Dieses Verfahren wird besonders bei den wichtigen Produkten mit digitalen Elementen relevant.

Bei Produkten der Klasse I hängt die Möglichkeit einer Selbstbewertung insbesondere davon ab, ob einschlägige harmonisierte Normen, gemeinsame Spezifikationen oder entsprechende europäische Cybersicherheitszertifizierungssysteme angewendet wurden. Werden diese nicht oder nur teilweise angewendet oder sind sie nicht vorhanden, verlangt Art. 32 Abs. 2 CRA grundsätzlich Modul B + C oder Modul H.

Bei Klasse-II-Produkten gehört Modul A dagegen grundsätzlich nicht mehr zu den in Art. 32 Abs. 3 vorgesehenen Verfahren. Zur Auswahl stehen insbesondere Modul B + C, Modul H oder, soweit verfügbar und anwendbar, ein entsprechendes europäisches Cybersicherheitszertifizierungssystem mindestens auf der vorgesehenen Vertrauenswürdigkeitsstufe.

3. Umfassende Qualitätssicherung nach Modul H

Die dritte Variante ist die Konformitätsbewertung auf Grundlage einer umfassenden Qualitätssicherung nach Modul H. Auch sie wird ausdrücklich in Art. 32 Abs. 1 CRA genannt und steht bei den strengeren Konformitätsbewertungsverfahren als Alternative zu Modul B + C zur Verfügung.

Während Modul B + C stärker über die Prüfung eines Baumusters und dessen anschließende Konformität strukturiert ist, setzt Modul H auf die umfassende Qualitätssicherung des Herstellers.

Diese Variante kann deshalb insbesondere für Hersteller interessant sein, die Cybersicherheit nicht bloß für ein einzelnes Produkt nachweisen möchten, sondern bereits über entsprechend institutionalisierte Entwicklungs-, Qualitätssicherungs- und Vulnerability-Management-Prozesse verfügen.

Der Hintergrund ist typisch für die Systematik des CRA: Konformität ist kein punktuelles Ereignis kurz vor dem Release. Die vom CRA vorgesehenen Konformitätsbewertungsverfahren sollen produkt- und verfahrensbezogene Anforderungen über den Lebenszyklus berücksichtigen, einschließlich Planung, Konzeption, Entwicklung bzw. Herstellung, Tests und Wartung.

Gerade für Hersteller größerer Produktfamilien kann eine prozessorientierte Betrachtung interessant sein. Nach dem aktuellen Entwurf der Leitlinie der Europäischen Kommission können unter bestimmten Voraussetzungen eine gemeinsame Risikobewertung, technische Dokumentation und Konformitätsbewertung für ähnliche Varianten einer Produktfamilie verwendet werden, sofern insbesondere Architektur, sicherheitsrelevantes Design, Zweckbestimmung und Cybersicherheitsrisiken entsprechend übereinstimmen.

4. Europäische Cybersicherheitszertifizierung und die Bedeutung der Produktklasse

Schließlich kennt Art. 32 CRA noch einen vierten Weg: ein europäisches Schema für die Cybersicherheitszertifizierung, sofern ein solches verfügbar und anwendbar ist und die gesetzlichen Voraussetzungen erfüllt werden.

Damit wird spätestens deutlich: Die erste Frage sollte für Hersteller nicht lauten: „Welches Modul möchten wir verwenden?“, sondern:

In welche CRA-Kategorie fällt unser Produkt?

Denn davon hängt der weitere Weg maßgeblich ab.

Für wichtige Produkte der Klasse II sieht Art. 32 Abs. 3 CRA Modul B + C, Modul H oder ein verfügbares und anwendbares europäisches Cybersicherheitszertifizierungssystem mindestens auf der dort vorgesehenen Vertrauenswürdigkeitsstufe vor. Für kritische Produkte nach Anhang IV sieht Art. 32 Abs. 4 zunächst ein europäisches Cybersicherheitszertifizierungssystem gemäß Art. 8 Abs. 1 vor; sind dessen Voraussetzungen nicht erfüllt, kommen die in Art. 32 Abs. 3 genannten Verfahren zum Einsatz.

Für Hersteller ergibt sich daraus eine Art Konformitäts-Treppe: Je nach Einordnung des Produkts steigt die Intensität der erforderlichen Konformitätsbewertung. Der CRA verfolgt damit einen risikoorientierten Ansatz. Schon die Erwägungsgründe erläutern beispielsweise, dass wichtige Produkte der Klasse II wegen potenziell größerer negativer Auswirkungen einem strengeren Konformitätsbewertungsverfahren unterliegen sollen.

Für die CRA-Compliance sind daher drei Fragen frühzeitig zu beantworten:

1. Fällt das Produkt überhaupt in den Anwendungsbereich des CRA?
2. Handelt es sich um ein gewöhnliches, wichtiges oder kritisches Produkt mit digitalen Elementen und gegebenenfalls um Klasse I oder II?
3. Welches Konformitätsbewertungsverfahren lässt Art. 32 CRA für diese Einstufung zu?

Diese Prüfung sollte möglichst früh im Produktentwicklungsprozess erfolgen. Denn spätestens bei einem Verfahren unter Beteiligung einer notifizierten Stelle wird aus einer vermeintlich formalen Rechtsfrage ein Thema, das unmittelbar in Produktentwicklung, technische Dokumentation und interne Prozesse hineinwirkt.

Der entscheidende Punkt lautet daher: CRA-Konformität beginnt nicht mit der CE-Kennzeichnung. Sie beginnt bei der Architektur und Entwicklung des Produkts.

Diese Darstellung bietet einen allgemeinen Überblick und ersetzt keine individuelle Rechtsberatung.

‍