{"id":7922,"date":"2019-07-02T12:19:07","date_gmt":"2019-07-02T10:19:07","guid":{"rendered":"https:\/\/www.bho-legal.com\/?p=7922"},"modified":"2019-07-02T12:20:03","modified_gmt":"2019-07-02T10:20:03","slug":"cybersecurity-act-tritt-in-kraft-relevanz-fuer-hersteller-von-it-produkten-und-anbietern-von-it-dienstleistungen","status":"publish","type":"post","link":"https:\/\/www.bho-legal.com\/en\/cybersecurity-act-tritt-in-kraft-relevanz-fuer-hersteller-von-it-produkten-und-anbietern-von-it-dienstleistungen\/","title":{"rendered":"Cybersecurity Act tritt in Kraft \u2013 Relevanz f\u00fcr Hersteller von IT-Produkten und Anbietern von IT-Dienstleistungen"},"content":{"rendered":"

Am 27. Juni 2019 trat die EU-Verordnung 2019\/881 (sog. Cybersecurity Act) in Kraft. Die Regelung schafft einen europ\u00e4ischen Rahmen f\u00fcr eine m\u00f6gliche Zertifizierung der Cybersicherheit f\u00fcr Produkte, Dienstleistungen und Prozesse der Informations- und Kommunikationstechnologie (nachfolgend als \u201eIKT-Gegenst\u00e4nde\u201c zusammengefasst). Eine Pflicht zur Durchf\u00fchrung einer Cybersicherheitszertifizierung wird durch den Cybersecurity Act (noch) nicht begr\u00fcndet. Vielmehr wird ein Rechtsrahmen geschaffen, der eine europaweit einheitliche freiwillige Zertifizierung erm\u00f6glicht.<\/p>\n

Hintergrund des Cybersecurity Acts<\/strong><\/p>\n

Das Cybersecurity Act reiht sich in einen legislativen Ma\u00dfnahmenkatalog der EU ein, welcher seit 2013 schrittweise umgesetzt wird, um den Schutz vor IT-Angriffen zu erh\u00f6hen und die Bereitschaft zur Cyber Security innerhalb der EU zu verbessern. Die wichtigste Ma\u00dfnahme der Verordnung ist der Aufbau eines einheitlichen EU-Zertifizierungssystems, das so bisher nicht existiert und sich insbesondere an Hersteller und Anbieter von IKT-Gegenst\u00e4nden richtet.<\/p>\n

Zur Zertifizierung von IKT-Gegenst\u00e4nden werden heute in den L\u00e4ndern der EU bei der Mehrzahl der Zertifizierungen unterschiedliche Normen oder Zertifizierungsprogramme verlangt (z.B. das ISO 27001-Zertifikat). Dies hat zur Konsequenz, dass zum Beispiel Hersteller von Computerhardware f\u00fcr jedes Land, in dem sie eine Zertifizierung ben\u00f6tigen, jeweils einmal den Zertifizierungsprozess durchlaufen m\u00fcssen.<\/p>\n

Dieses kostspielige und zeitaufw\u00e4ndige Verfahren kann nunmehr durch den Cybersecurity Act umgangen werden. Die Verordnung gibt der EU-Kommission die Befugnis, Zertifizierungssysteme f\u00fcr Cybersicherheit zu verabschieden, die EU-weit gelten, sobald auf EU-Ebene eine Einigung \u00fcber die Sicherheitsstandards f\u00fcr jeden IKT-Gegenstand erzielt wurde. Mit der Zertifizierung soll sodann best\u00e4tigt und sichergestellt werden, dass IKT-Gegenst\u00e4nde europaweit einen einheitlichen Standard zur IT-Sicherheit aufweisen.<\/p>\n

Praktische Relevanz f\u00fcr Hersteller\/Anbieter von IKT-Gegenst\u00e4nden<\/strong><\/p>\n

Grunds\u00e4tzlich erfolgt die Zertifizierung von IKT-Gegenst\u00e4nden auf freiwilliger Basis. Ein Zertifizierungsschema kann allerdings verbindlich werden, wenn das EU-Recht dies erfordert. In diesem Zusammenhang plant die Europ\u00e4ische Kommission, bis zum 31.12.2023 eine Liste verbindlicher Zertifizierungsschemata vorzulegen.<\/p>\n

Vor diesem Hintergrund sollten Hersteller und Anbieter von IKT-Gegenst\u00e4nden m\u00f6glichst zeitnah Compliance-Mechanismen einf\u00fchren, die auf eine Beobachtung der aktuellen Entwicklungen zu Zertifizierungsschemata auf EU-Ebene gerichtet ist. Entsprechende Informationen zu den europ\u00e4ischen Schemata f\u00fcr die Cyber Security-Zertifizierung, die europ\u00e4ischen Cybersicherheitszertifikate und EU-Konformit\u00e4tserkl\u00e4rungen werden auf der Internetseite der Europ\u00e4ischen Agentur f\u00fcr Netz- und Informationssicherheit<\/a> (ENISA) eingestellt.<\/p>\n

Ungeachtet einer etwaigen obligatorischen Einf\u00fchrung von Zertifizierungsschemata sollten Unternehmen m\u00f6glichst fr\u00fch pr\u00fcfen, ob nicht bereits eine freiwillige Zertifizierung ihrer IKT-Gegenst\u00e4nde durchgef\u00fchrt werden sollte. Die freiwillige Zertifizierung kann beispielsweise im Zusammenhang mit \u00f6ffentlichen Auftr\u00e4gen von Relevanz sein, wenn die Lieferung von IKT-Gegenst\u00e4nden unter Einhaltung von EU-Sicherheitsstandards nach dem Cybersecurity Act ausgeschrieben wird.<\/p>\n

Auch aus vertragsrechtlicher Sicht sollte der Cybersecurity Act von nun an Ber\u00fccksichtigung finden. Werden bestehende Vertr\u00e4ge angepasst oder neu abgeschlossen, sollten \u2013 ein entsprechender Kontext vorausgesetzt \u2013 auch Regelungen f\u00fcr den Fall von IT-Sicherheitsvorf\u00e4llen oder Verpflichtungen auf bestimmte Sicherheitsstandards enthalten sein. So kann beispielsweise der Lieferant einer IKT-Komponente nicht nur auf bestimmte optische oder physische Leistungsmerkmale, sondern auch auf Sicherheitsstandards oder -Features verpflichtet werden.<\/p>\n

Fazit<\/strong><\/p>\n