Vier Empfehlungen zur Verbesserung des Cyber Resilience Act
Die EU-Gesetzgeber bereiten sich auf die nächste Runde der Trilogverhandlungen zum EU Cyber Resilience Act (CRA) vor, der das wichtige Ziel hat, die Cybersicherheit im gesamten europäischen Binnenmarkt zu verbessern. Während die politischen Entscheidungsträger die wichtigsten Merkmale der neuen Verordnung diskutieren, einschließlich des Anwendungsbereichs und der Definitionen, der Klassifizierung kritischer Produkte und der Berichtspflichten der Hersteller, fordern wir sie auf, sicherzustellen, dass der daraus resultierende neue Rahmen für die Hardware- und Softwaresicherheit in der Praxis machbar ist und keine abschreckenden Auswirkungen auf die Innovation durch übermäßige Verpflichtungen für Unternehmen hat.
ITI und andere Interessengruppen aus verschiedenen Branchen haben wiederholt Bedenken über Elemente der Verordnung geäußert, die die Fähigkeit zur effektiven Verbesserung der Cybersicherheit untergraben könnten. Diese Bedenken bleiben bestehen, Trotz unserer EmpfehlungenWir ermutigen die Mitgesetzgeber, die Rückmeldungen der Industrie sorgfältiger zu berücksichtigen, um sicherzustellen, dass die CRA in der Praxis anwendbar und relevant ist. Da die politischen Entscheidungsträger auf die nächsten Triloge blicken, bieten wir die folgenden wichtigen Empfehlungen an:
1. Beschränken Sie den Anwendungsbereich der Ratingagentur und legen Sie klare Definitionen fest. Der vom Parlament und vom Rat diskutierte Text ist nach wie vor unverhältnismäßig breit. Es ist von entscheidender Bedeutung, dass Mitgesetzgeber den Anwendungsbereich einschränken und wichtige Definitionen klarstellen, wie sie in "kommerzielle Aktivitäten" im Kontext von Open-Source-Software sowie im Trilogpapier von ITI beschrieben werden, einschließlich der Begriffe "Remote-Datenverarbeitungslösungen", "kommerzielle Aktivitäten" im Kontext von Open-Source-Software sowie "erhebliche Änderungen". Die Beibehaltung eines breiten Anwendungsbereichs im endgültigen Text und der Versuch, ihn durch nicht zwingende Rechtsinstrumente, wie z. B. Leitlinien, zu klären, wird für eine so große Vielfalt von Produkten mit digitalen Elementen keine ausreichende Rechtssicherheit bieten.
2. Festlegung eines verhältnismäßigen, risikobasierten Ansatzes zur Bestimmung des Risikoniveaus eines Produkts mit digitalen ElementenDie politischen Entscheidungsträger müssen bei der Bestimmung des Risikograds eines Produkts mit digitalen Elementen einen verhältnismäßigeren, risikobasierten Ansatz verfolgen und den Herstellern mehr Sicherheit bieten, um festzustellen, ob es sich um ein kritisches Produkt handelt. Während im ursprünglichen Vorschlag der Kommission jedes Produkt in mehreren großen Kategorien als kritisch eingestuft wurde, haben die Mitgesetzgeber nun die Möglichkeit, einen differenzierteren Ansatz zu verfolgen. Wir empfehlen, den risikobasierten Ansatz des Rates mit einigen wichtigen Änderungsanträgen zu nutzen. Hier.
Wir begrüßen auch die Beibehaltung der vom Europäischen Parlament vorgeschlagenen Bestimmung zur Einsetzung einer Expertengruppe für Cyber-Resilienz, da es wichtig ist, dass verschiedene Interessengruppen und Experten bei der Erstellung und Aktualisierung der Liste kritischer Produkte sowie bei der Umsetzung und Annahme europäischer Cybersicherheitszertifizierungssysteme angemessen konsultiert werden.
3. Vermeiden Sie die Meldung von aktiv ausgenutzten Schwachstellen. – Wir haben sehr große Bedenken in Bezug auf Bestimmungen, die eine Berichterstattung über aktiv genutzte Schwachstellen erfordern würden. Eine solche Berichterstattung wäre unbeabsichtigt Schaffen mehr ernstes Sicherheitsrisiko indem ein breites Spektrum sensibler Informationen in den Anwendungsbereich gebracht wird, anstatt Schaden zu mindern.
Ebenso ist es von entscheidender Bedeutung, dass die Berichtspflichten mit der NIS-2-Richtlinie in Einklang gebracht werden, um die Berichtspflichten zu straffen und einen unkontrollierbaren Meldeaufwand für Hersteller und zuständige Behörden zu vermeiden. Dies bedeutet, dass die Berichterstattung unter den CSIRTs unter einer einzigen verteilten Berichtsplattform erfolgen sollte und die Meldung von Sicherheitsvorfällen nur „signifikante Vorfälle betreffen sollte, wie im Text des Europäischen Parlaments dargelegt.
4. Überschneidungen und Überschneidungen mit anderen anwendbaren Rechtsvorschriften vermeiden und einen ausreichenden Übergangszeitraum vorsehen. Neben der NIS 2-Richtlinie muss die Ratingagentur auch Überschneidungen mit anderen geltenden Rechtsvorschriften vermeiden, insbesondere mit der Delegierten Verordnung (EU) 2022/30 (RED Delegated Act). In diesem Zusammenhang begrüßen wir den Vorschlag des Europäischen Parlaments, den delegierten Rechtsakt RED mit Inkrafttreten der CRA aufzuheben. Wir empfehlen dringend, diesen Zusatz im endgültigen Text der CRA beizubehalten. Schließlich fordern wir angesichts des äußerst breiten Anwendungsbereichs der Agentur die Mitgesetzgeber auf, die Verlängerung des Übergangszeitraums auf mindestens 48 Monate in Betracht zu ziehen, um sicherzustellen, dass die Unternehmen die Anforderungen erfüllen können.
Authors
Courtney Lang
Guido Lobrano
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
