Thought Leadership
Die europäische Standardisierungsorganisation ETSI hat 17 Norm-Entwürfe zur Umsetzung des Cyber Resilience Act veröffentlicht. Sie sollen Herstellern künftig den Weg zur Konformitätsvermutung ebnen.
Die European Telecommunications Standards Institute (ETSI) hat den Startschuss für das Genehmigungsverfahren von 17 branchenspezifischen Normen-Entwürfen gegeben, die im Rahmen des EU Cyber Resilience Act (CRA) entstanden sind. Die Dokumente aus der Reihe ETSI EN 304 xxx sollen als sogenannte harmonisierte Normen anerkannt werden. Hersteller könnten sich dann bei deren Einhaltung auf die „Konformitätsvermutung“ berufen und müssten Sicherheitsanforderungen nicht separat nachweisen.
ETSI zählt neben CEN und CENELEC zu den drei Organisationen, die von der EU als offizielle europäische Normungsgremien anerkannt sind. Der gemeinnützige und unabhängige Verband kümmert sich branchenübergreifend um die Standardisierung von Informations- und Kommunikationstechnik und bringt dafür weltweit Industrie, Forschungseinrichtungen, Behörden und weitere Interessengruppen an einen Tisch. Nach eigenen Angaben zählt ETSI mehr als 900 Mitgliedsorganisationen aus über 60 Staaten.
Prüfphase bis in den Herbst
Die finalen Entwürfe wurden im Sommer an 41 Mitgliedsorganisationen in Europa verschickt, darunter die nationalen Normungsgremien aller Staaten des Europäischen Wirtschaftsraums. Diese können nun im Rahmen einer öffentlichen Anhörung (Public Enquiry) Stellung nehmen. Je nach betroffenem Sektor läuft das Verfahren zwischen Mitte September und Mitte November 2026.
Mitspracherecht haben zudem die sogenannten Annex-III-Organisationen: der Verbraucherverband ANEC, die Umweltorganisation ECOS, der Gewerkschaftsdachverband ETUC sowie der Verband für kleine und mittlere Unternehmen SBS. Die Entwürfe selbst sind öffentlich einsehbar.
Worum es inhaltlich geht
Der Cyber Resilience Act verpflichtet Hersteller, Importeure und Vertreiber vernetzter Produkte mit digitalen Elementen dazu, grundlegende Cybersicherheitsanforderungen einzuhalten. Das betrifft die Entwicklung ebenso wie das Schwachstellenmanagement und den Support-Zeitraum. Betroffen sind unter anderem Passwortmanager, Antivirensoftware, smarte Lautsprecher, vernetztes Spielzeug und Wearables, also Produktkategorien, die laut CRA als besonders risikobehaftet gelten.
Die Verordnung selbst lege zwar fest, was erreicht werden müsse, sagt Sandra Feliciano, Vorsitzende des zuständigen technischen Ausschusses TC CYBER-EUSR, aber sie sage eben „nicht, wie“. Die Aufgabe der Normungsorganisationen sei es, die technischen Details zur Umsetzung der gesetzlichen Vorgaben auszuarbeiten.
Hilfe für KMU gefragt
Gerade kleinere und mittlere Unternehmen tun sich nach Einschätzung von ETSI weniger schwer damit, zu verstehen, dass der CRA für sie gilt. Schwieriger sei es, herauszufinden, wie sie die Vorgaben in der Praxis umsetzen sollen, welche Normen einschlägig sind und welche Förderprogramme oder Tools zur Verfügung stehen.
Um das zu erleichtern, haben die drei europäischen Normungsorganisationen CEN, CENELEC und ETSI gemeinsam die Veranstaltungsreihe CRA Standards Unlocked ins Leben gerufen. Bei den Workshops quer durch Europa sollen regulatorische Anforderungen in praxisnahe Hinweise übersetzt werden. Zudem wird über laufende Normungsprozesse sowie offene Konsultationen informiert.
Frist Ende 2027
Der Cyber Resilience Act gilt branchenübergreifend für praktisch alle Produkte mit digitalen Elementen. Hersteller, Importeure, Vertreiber, Dienstleister und Entwickler kommerziell verfügbarer Hard und Software müssen die Vorgaben bis Ende 2027 umsetzen. Die ETSI-Normen sollen dabei helfen, die Anforderungen EU-weit einheitlich zu implementieren, und Herstellern eine verlässliche Grundlage für den Compliance-Nachweis bieten.
(red)
