Cyber Resilience Act - ZVEI-Empfehlungen für den Trilog

Am 15. September 2022 hatte die Europäischen Kommission den Entwurf des Cyber Resilience Acts (CRA) veröffentlicht. Der ZVEI hat sich seitdem intensiv in die informellen Diskussionen zwischen den Europäischen Gesetzgebern und weiteren Stakeholdern eingebracht und den prinzipiellen Gedanken des CRA als horizontale Produktregulierung im etablierten Rechtsrahmen zur Inverkehrbringung von Produkten unterstützt.

Das Ziel das allgemeine Resilienzniveau zu erhöhen, ist erstrebenswert, allerdings muss die realistische Umsetzbarkeit angesichts der enormen Breite betroffener Produkte und komplexer technischer Herausforderungen auch stets berücksichtigt werden.
Ende September 2023 haben nun die formalen Trilog-Verhandlungen begonnen. Auch für diese Verhandlungen hat der ZVEI umfangreiche Empfehlungen erarbeitet. Die wichtigsten Aspekte aus Sicht der Elektro- und Digitalindustrie sind dabei: 

• Die Klassifizierungslogik sogenannter „kritischer Produkte“ nach Artikel 6, welche die Auswahl der möglichen Konformitätsbewertungsverfahren einschränkt.
• Die Möglichkeit für Hersteller transparent den Zeitraum des geleisteten Security-Supports fest- und darlegen zu können.
• Die kohärente Etablierung des Cyber Resilience Acts als zentralen Referenzpunkt für die Cybersicherheit von Produkten.
• Rechtssicher erfüllbare Anforderungen zu Schwachstellen in Produkten.
• Realistische Übergangszeiten von mindestens 48 Monaten angesichts des sehr ambitionierten Regulierungsziels.

Der ZVEI hat mit diesem Papier nun Lösungsvorschläge erarbeitet, wie sich diese und weitere Problemstellungen auflösen lassen.

Download