Das Bundesamt für Sicherheit in der Informationstechnik (BIS) will die vielfältigen Interpretationsmöglichkeiten des Cyber Resilience Act (CRA) entwirren, den Hersteller spätestens ab dem 11. Dezember 2027 umsetzen müssen. Dazu stellt die Behörde die Version 1.0 seiner technischen Richtlinie TR-03183 bereit. Ergänzend zu anderen Interpretations- und Orientierungshilfen des BIS soll damit für Hersteller klar sein, was ihre Produkte leisten müssen, um mit dem Cyber Resilience Act konform zu sein. Das betrifft alle „Produkte mit digitalen Elementen“, vom vernetzten Kühlschrank bis zum Kuscheltier mit KI-Chatbot.
Allerdings gilt eine wichtige Einschränkung: Europäische Standards sollen die deutschen Hinweise künftig ersetzen. Wie schon bei anderen EU-Vorhaben, bei denen die konkrete Ausarbeitung etwas länger dauert, geht Deutschlands IT-Sicherheitsbehörde mit einer eigenen Initiative voran. Die ist zwar rechtlich unverbindlich, wurde aber monatelang mit Fachleuten diskutiert. Sie dürfte dem Ergebnis der EU-Diskussionen daher nicht diametral entgegenstehen.
Akzeptables Niveau mit angemessenen Maßnahmen
In der technischen Richtlinie führt das BSI unter anderem aus, wie eine Risikoeinschätzung der Hersteller ausgestaltet sein kann, um Risiken auf ein „akzeptables Niveau“ zu senken. Das BSI empfiehlt Herstellern einen risikobasierten Ansatz, um herauszufinden, welche Maßnahmen für sie die jeweils angemessenen sind. Denn es geht in der CRA nicht um Universalabsicherung, sondern um das Erreichen eines angemessenen Schutzniveaus und die stetige Überprüfung.
