Welche Risikobewertung verlangt der Cyber Resilience Act für vernetzte Produkte?

Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Für diese Produkte verlangt er vom Hersteller eine Bewertung der Cybersicherheitsrisiken.

Wofür: Der Hersteller berücksichtigt das Ergebnis der Bewertung in der Planungs-, Konzeptions-, Entwicklungs-, Herstellungs-, Liefer- und Wartungsphase, um Cybersicherheitsrisiken zu minimieren, Sicherheitsvorfälle zu verhindern und ihre Auswirkungen, auch auf Gesundheit und Sicherheit der Nutzer, so gering wie möglich zu halten.

Was sie mindestens enthält: eine Analyse der Cybersicherheitsrisiken auf der Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung, etwa der Betriebsumgebung oder der zu schützenden Anlagen, unter Berücksichtigung der voraussichtlichen Nutzungsdauer. Sie gibt an, ob und wie die Sicherheitsanforderungen nach Anhang I Teil I Nummer 2 anwendbar sind und umgesetzt werden, wie Anhang I Teil I Nummer 1 anzuwenden ist und welche Anforderungen an die Behandlung von Schwachstellen nach Anhang I Teil II gelten.

Wie lange: Die Bewertung wird während des Unterstützungszeitraums dokumentiert und gegebenenfalls aktualisiert.

Wo sie steht: Beim Inverkehrbringen nimmt der Hersteller die Bewertung in die technische Dokumentation nach Artikel 31 und Anhang VII auf. Sind bestimmte grundlegende Cybersicherheitsanforderungen nicht anwendbar, gehört eine klare Begründung in diese Dokumentation. Für Produkte nach Artikel 12, die auch anderen Unionsrechtsvorschriften unterliegen, kann die Bewertung Teil der dort geforderten Risikobewertungen sein.