ITI, Industriegruppen bieten Empfehlungen zur Verbesserung des EU Cyber Resiliency Act an
BRÜSSEL – Heute führte der globale Technologie-Handelsverband ITI, der Information Technology Industry Council, die Industriepartner Developers Alliance, BSA|The Software Alliance und die Computer & Communications Industry Associations (CCIA) auf eine Reihe von Empfehlungen (öffnet in einem neuen Tab)die Ziele des EU-Gesetzes über Cyber-Resilienz (CRA) voranzubringen und gleichzeitig die Bedenken des aktuellen Vorschlags zu berücksichtigen. In den Empfehlungen ermutigen die Gruppen die politischen Entscheidungsträger, den Anwendungsbereich der CRA zu klären und einzuschränken, Überschneidungen mit anderen geltenden Rechtsvorschriften zu vermeiden und sicherzustellen, dass die CRA mit internationalen Standards und bestehenden Best Practices der Branche sowie verschiedenen Geschäftsmodellen vereinbar ist.
"Da die Mitgesetzgeber der EU Fortschritte bei der Festlegung ihrer Positionen zum Cyber Resilience Act machen, möchten unsere Verbände konkrete Empfehlungen vorlegen, um die Bemühungen der EU zur Verbesserung der Cybersicherheit und Widerstandsfähigkeit zu unterstützen und gleichzeitig die verbleibenden Kritikpunkte des aktuellen Vorschlags zu berücksichtigen." Die Gruppen schrieben. „Während sowohl das Europäische Parlament als auch der Rat einige bedeutende Verbesserungen vorgenommen haben, müssen noch viele problematische Aspekte angegangen werden. Wir fordern daher die Mitgesetzgeber auf, bei der Fertigstellung ihrer Positionen nicht der Geschwindigkeit Vorrang vor der Qualität einzuräumen, um unbeabsichtigte Ergebnisse zu vermeiden.
Die Gruppen ermutigen die EU-Gesetzgeber, angemessene und praktikable Ansätze für Folgendes bereitzustellen:
- Der Anwendungsbereich der Ratingagentur sollte klarer und enger gefasst werden. Insbesondere sollte jede Bezugnahme auf „Remote Data Processing Solutions vom Anwendungsbereich ausgenommen werden.
- Es muss ein verhältnismäßigerer, risikobasierterer Ansatz zur Bestimmung des Risikograds eines Produkts mit digitalen Elementen in Artikel 6 und mehr Sicherheit für die Hersteller geben, um festzustellen, ob es sich um ein kritisches Produkt handelt.
- Nur gepatchte Schwachstellen, die aktiv ausgenutzt wurden und ein erhebliches Cybersicherheitsrisiko darstellen, sollten im Rahmen der CRA gemeldet werden.
- Im Allgemeinen ist es von entscheidender Bedeutung, dass die Berichtspflichten, einschließlich des Berichtszeitplans und der zuständigen Behörde, sowohl in Artikel 11 Absätze 1 und 2 als auch in Artikel 11 Absatz 2 mit der NIS-2-Richtlinie in Einklang stehen. Darüber hinaus sollten nur „signifikante Vorfälle gemeldet werden.
- Weitere Arbeiten sind erforderlich, um unverhältnismäßige oder unmögliche Verpflichtungen sowie Verpflichtungen zu vermeiden, die in der Praxis die Cybersicherheitsrisiken erhöhen würden, wie die Verpflichtung zur „Lieferung eines Produkts ohne bekannte verwertbare Schwachstellen in Anhang I Abschnitt I, die Möglichkeit für die Kommission, das Format und die Elemente der Software Bill of Materials (SBOM) vorzuschreiben, und die Ausweitung des DSGVO-Prinzips der Datenminimierung auf nicht personenbezogene Daten in Anhang I.
Lesen Sie die vollständigen Empfehlungen Hier (öffnet in einem neuen Tab).
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
