Cyber-Regulierung: CRA und NIS

Rechtliche Unterschiede

Der grundlegende Unterschied ist das Scope: CRA gilt für Produkte mit digitalen Elementen, NIS-2 für Organisationen welche kritische Infrastruktur betreiben und deren Dienstleistungen. CRA ist daher eher eine technische Vorschrift, NIS-2 eher eine organisatorische.

Die gesetzliche Durchsetzung ist auch verschieden, während der CRA direkt in der ganzen EU anwendbar ist, wird/wurde NIS-2 von allen Mitgliedsstaaten in nationales Recht umgesetzt.

Unterschiede in der Implementation für Produktentwicklung

Grundsätzlich können Geräte für Märkte, welche nach NIS-2 reguliert sind, ähnlich oder gleich entwickelt werden wie für den CRA. Dies vor allem angesichts der immer noch fehlenden harmonisierten Normen.

Die CRA fokussiert auf die Sicherheit des Produkts selbst, um das Risiko von Cyberangriffen zu minimieren. Die DSGVO (Datenschutzgrundverordnung) fokussiert auf den Schutz der personenbezogenen Daten, die durch diese Produkte verarbeitet werden.

Ein durch den CRA gesichertes Produkt ist ein starker technischer Hebel, um die Anforderungen der DSGVO zu erfüllen. 

ETSI EN 303 645 ist ein technischer Standard, welcher den Cyber-Security Anteil der RED (Radio Equipment Directive, auch Funkanlagen-Richtlinie für Geräte mit Funkschnittstellen) und/oder auch den CSA (Cybersecurity Act) in klare technische und prozedurale Anforderungen umsetzen soll, dasselbe könnte die Norm auch für den CRA.

Da aber ETSI EN 303 645 zu keiner der Verordnungen harmonisiert ist, lässt sich aus der Erfüllung des Standards keine Konformitätsvermutung ableiten.

Was ist eine «Konformitätsvermutung»?

Die EU Kommission kann Normen im «Official Journal» als zu gewissen Verordnungen «harmonisiert» ausweisen. Wenn nun ein Produkt die Anforderungen der (harmonisierten) Norm erfüllt, geht die Aufsichtsbehörde davon aus, dass auch die entsprechenden gesetzlichen Anforderungen («essential requirments») des entsprechenden Verordnung erfüllt sind, dies ist die Konformitätsvermutung. Dadurch erleichtern klare Normen die CE-Kennzeichnung erheblich.