Begriff des Cyber Resilience Act: Hard- oder Software, deren Zweck eine Datenverbindung zu einem Gerät oder Netz einschließt. Dazu zählen vernetzte Steuerungen, Gateways und Servicesoftware.
„Produkt mit digitalen Elementen“ ist der zentrale Begriff des Cyber Resilience Act (Verordnung (EU) 2024/2847). Nach Art. 3 Nr. 1 ist es ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, einschließlich Komponenten, die getrennt in Verkehr gebracht werden. Der Anwendungsbereich (Art. 2 Abs. 1) umfasst Produkte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. In der Anlagentechnik sind das vernetzte Steuerungen, Gateways, Fernwartungsmodule und Servicesoftware, dazu Cloud-Anteile, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte.
Die Pflichten treffen in erster Linie die Hersteller: Cybersicherheitsanforderungen schon bei der Entwicklung, ein geordneter Umgang mit Schwachstellen während des Unterstützungszeitraums, Dokumentation und die Meldung aktiv ausgenutzter Schwachstellen. Die Meldepflichten gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die Anforderungen nur erfüllen, wenn sie danach wesentlich verändert werden (Art. 69 Abs. 2). Die Meldepflicht aus Art. 14 gilt aber auch für sie (Art. 69 Abs. 3). Ersatzteile, die identische Komponenten ersetzen, sind ausgenommen (Art. 2 Abs. 6), ebenso Produkte, die unter die Medizinprodukteverordnungen (EU) 2017/745 und 2017/746 fallen (Art. 2 Abs. 2).
Für Betreiber folgt daraus kein eigener Pflichtenkatalog, aber ein Einkaufs- und Vertragsthema. Wer Anlagen beschafft oder Wartungsverträge schließt, sollte wissen, welche Komponenten vernetzt sind, wie lange der Hersteller Sicherheitsupdates liefert und wie Schwachstellen gemeldet werden. Wer eine vernetzte Komponente wesentlich verändert und sie dann auf dem Markt bereitstellt, gilt nach Art. 22 als Hersteller. Zusammen mit NIS2 und Data Act ist ein Überblick über die vernetzten Komponenten je Anlage die Grundlage dafür, Fernzugriffe zu regeln und Updates nachzuweisen.
Worauf es ankommt
- Erfassen Sie je Anlage die vernetzten Komponenten: Steuerung, Gateway, Router, Fernwartungsmodul, Servicesoftware.
- Fragen Sie beim Kauf nach dem Unterstützungszeitraum und nach dem Meldeweg bei Schwachstellen.
- Lassen Sie sich eingespielte Updates im Servicebericht mit Versionsstand bestätigen.
- Regeln Sie im Vertrag, wer Updates einspielt und wer das Risiko trägt, wenn Updates ausbleiben.
Angenommen, eine Kälteanlage meldet ihre Betriebsdaten über ein Gateway an das Portal der Servicefirma. Der Betreiber trägt Gateway und Portal in sein Verzeichnis der vernetzten Komponenten ein und lässt sich vom Hersteller das Ende des Unterstützungszeitraums nennen. Mit der Servicefirma vereinbart er, dass Updates im Servicebericht mit Versionsnummer bestätigt werden.
Im Wortlaut
„„Produkt mit digitalen Elementen“ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
„Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“