EU-CRA-Glossar: Begriffe des Cyber Resilience Act
Stand:
Was bedeuten die wichtigsten Begriffe des Cyber Resilience Act?
Der Cyber Resilience Act (CRA), amtlich Cyberresilienz-Verordnung (EU) 2024/2847, definiert seine Begriffe in Art. 3. Am häufigsten brauchen Hersteller die Begriffe Produkt mit digitalen Elementen, Hersteller, Inverkehrbringen, wesentliche Änderung, Unterstützungszeitraum und aktiv ausgenutzte Schwachstelle. Dieses Glossar erklärt sie kurz, mit Fundstelle und Link zur Vertiefung.
Zur Hauptseite: Cyber Resilience Act erklärt →Wie heißt der Cyber Resilience Act auf Deutsch?
- Cyber Resilience Act (EU CRA)
- Kurzname der EU-Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Auf dieser Website steht EU CRA als Abkürzung, damit sie nicht mit gleichnamigen Abkürzungen verwechselt wird.
- Verordnung (EU) 2024/2847Mehr dazu: Cyber Resilience Act erklärt →
- Cyberresilienz-Verordnung
- Auch: Cyber-Resilienz-Verordnung
- Amtlicher deutscher Kurztitel des Cyber Resilience Act, so steht er in der deutschen Fassung im Amtsblatt der EU. Die Schreibweise mit zwei Bindestrichen ist eine verbreitete Variante.
- Titel der Verordnung (EU) 2024/2847Mehr dazu: Cyber Resilience Act erklärt →
- Cyberresilienzgesetz
- Auch: Cyber-Resilienz-Gesetz
- Umgangssprachlicher Name für den Cyber Resilience Act. Genau genommen ist er kein Gesetz, sondern eine EU-Verordnung: Sie gilt in allen Mitgliedstaaten unmittelbar und muss nicht erst in nationales Recht umgesetzt werden.
- Art. 288 AEUVMehr dazu: Cyber Resilience Act erklärt →
- Verordnung (EU) 2024/2847
- Die amtliche Fundstelle des Cyber Resilience Act. Den vollständigen deutschen Text mit Artikeln, Erwägungsgründen und Anhängen führt die Wissensdatenbank.
- Amtsblatt der EU, Reihe LMehr dazu: Verordnungstext in der Wissensdatenbank →
Welche Begriffe entscheiden, ob ein Produkt betroffen ist?
- Produkt mit digitalen Elementen
- Ein Software- oder Hardwareprodukt samt seiner Datenfernverarbeitung, einschließlich Komponenten, die getrennt in Verkehr gebracht werden. Unter den EU CRA fällt es, wenn seine Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt (Art. 2 Abs. 1).
- Art. 3 Nr. 1 EU CRAMehr dazu: Anwendungsbereich des Cyber Resilience Act →
- Logische, physische und indirekte Verbindung
- Eine logische Verbindung entsteht über eine Softwareschnittstelle, eine physische über elektrische, optische oder mechanische Schnittstellen, Drähte oder Funk. Indirekt verbunden ist ein Produkt, das als Teil eines größeren Systems ans Netz kommt.
- Art. 3 Nr. 8 bis 10 EU CRAMehr dazu: Warum schon ein USB-Port das Offline-Gerät trifft →
- Datenfernverarbeitung
- Datenverarbeitung aus der Ferne, deren Software der Hersteller selbst oder in seinem Auftrag entwickelt hat und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie gehört zum Produkt.
- Art. 3 Nr. 2 EU CRAMehr dazu: Cyber Resilience Act und SaaS →
- Komponente
- Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist. Bringt ihr Hersteller sie getrennt in Verkehr, ist sie selbst ein Produkt mit digitalen Elementen.
- Art. 3 Nr. 6 EU CRAMehr dazu: Industriekomponenten und Zulieferer →
- Wichtige und kritische Produkte
- Produkte, deren Kernfunktion einer Kategorie aus Anhang III (wichtig, Klasse I oder II) oder Anhang IV (kritisch) entspricht. Für sie gelten strengere Konformitätsverfahren als für die Standardklasse.
- Art. 7 und 8, Anhang III und IV EU CRAMehr dazu: Anhang III: wichtige Produkte →
Wer ist wer in der Lieferkette?
- Hersteller
- Wer Produkte mit digitalen Elementen entwickelt oder herstellt, oder entwickeln oder herstellen lässt, und sie unter eigenem Namen oder eigener Marke vermarktet, auch unentgeltlich.
- Art. 3 Nr. 13 EU CRAMehr dazu: Warum Ihr Logo Sie zum Hersteller macht →
- Einführer
- Eine in der EU niedergelassene Person, die ein Produkt unter dem Namen oder der Marke eines Herstellers außerhalb der EU in der EU in Verkehr bringt. Sie stellt vorher sicher, dass der Hersteller Konformitätsbewertung, Dokumentation und CE-Kennzeichnung erledigt hat.
- Art. 3 Nr. 16 und Art. 19 EU CRA
- Händler
- Wer ein Produkt in der Lieferkette ohne Änderung seiner Eigenschaften auf dem EU-Markt bereitstellt, ohne Hersteller oder Einführer zu sein.
- Art. 3 Nr. 17 und Art. 20 EU CRA
- Bevollmächtigter
- Eine Person in der EU, die der Hersteller schriftlich beauftragen kann, bestimmte Aufgaben für ihn wahrzunehmen, etwa Unterlagen für die Marktüberwachung bereitzuhalten. Die Benennung ist freiwillig.
- Art. 3 Nr. 15 und Art. 18 EU CRAMehr dazu: Cyber Resilience Act für Hersteller aus der Schweiz →
- Verwalter quelloffener Software
- Auch: Open-Source-Steward
- Eine juristische Person, die die Entwicklung freier und quelloffener Software für kommerzielle Zwecke dauerhaft unterstützt, ohne selbst Hersteller zu sein. Für sie gelten leichtere Pflichten.
- Art. 3 Nr. 14 und Art. 24 EU CRA
Welche Begriffe gehören zu Konformität und CE-Kennzeichnung?
- Inverkehrbringen
- Die erstmalige Bereitstellung eines Produkts auf dem EU-Markt. Nach dem Blue Guide der EU (Abschnitt 2.3) zählt jedes einzelne Produkt, deshalb kann ein Gerät aus dem Lager später in Verkehr gebracht werden als baugleiche Geräte.
- Art. 3 Nr. 21 EU CRA; Blue Guide Abschn. 2.3Mehr dazu: Einzelstück-Prinzip und Lagerware →
- Wesentliche Änderung
- Eine Änderung nach dem Inverkehrbringen, die sich auf die Erfüllung der Anforderungen aus Anhang I Teil I auswirkt oder die Zweckbestimmung ändert. Sie kann ein Bestandsprodukt unter den EU CRA bringen.
- Art. 3 Nr. 30 und Art. 69 Abs. 2 EU CRAMehr dazu: Wann der EU CRA für Bestandsprodukte greift →
- Konformitätsbewertung
- Das Verfahren, mit dem nachgewiesen wird, dass ein Produkt die grundlegenden Anforderungen aus Anhang I erfüllt. Welches Verfahren gilt, hängt von der Produktklasse ab.
- Art. 3 Nr. 27 und Art. 32 EU CRAMehr dazu: Konformitätsbewertung Schritt für Schritt →
- Notifizierte Stelle
- Eine Konformitätsbewertungsstelle, die ein Mitgliedstaat für den EU CRA benannt hat. Sie bewertet Produkte, für die der Hersteller ein Drittverfahren wählt oder wählen muss, etwa wichtige Produkte ohne vollständig angewandte harmonisierte Norm.
- Art. 3 Nr. 29 EU CRA
- Harmonisierte Norm
- Eine europäische Norm, die auf Antrag der Kommission erarbeitet wurde. Ist ihre Fundstelle im Amtsblatt veröffentlicht, begründet sie eine Konformitätsvermutung für die abgedeckten Anforderungen.
- Art. 3 Nr. 36 und Art. 27 Abs. 1 EU CRAMehr dazu: Warum IEC 62443 noch keine Konformitätsvermutung bringt →
- CE-Kennzeichnung für Software
- Bei Software bringt der Hersteller die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung an oder auf der Website, die das Softwareprodukt begleitet. Der Abschnitt der Website muss für Verbraucher leicht und direkt erreichbar sein.
- Art. 30 Abs. 1 EU CRAMehr dazu: EU CRA und CE-Kennzeichnung im Vergleich →
- Unterstützungszeitraum
- Der Zeitraum, in dem der Hersteller Schwachstellen des Produkts wirksam behandeln muss. Er richtet sich nach der erwarteten Nutzungsdauer und beträgt in der Regel mindestens fünf Jahre.
- Art. 3 Nr. 20 und Art. 13 Abs. 8 EU CRA
Welche Begriffe gehören zu Schwachstellen und Meldungen?
- Software-Stückliste (SBOM)
- Ein formelles Verzeichnis der Softwarekomponenten eines Produkts und ihrer Abhängigkeiten. Der EU CRA verlangt sie in einem gängigen maschinenlesbaren Format, mindestens mit den obersten Abhängigkeiten.
- Art. 3 Nr. 39, Anhang I Teil II Nr. 1 EU CRAMehr dazu: SBOM erzeugen mit dem kunnus-scanner →
- Aktiv ausgenutzte Schwachstelle
- Eine Schwachstelle, für die verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Eigentümers ausgenutzt hat. Sie ist innerhalb von 24 Stunden nach Kenntnis zu melden.
- Art. 3 Nr. 42 und Art. 14 EU CRAMehr dazu: Meldepflichten nach Art. 14 →
- Schwerwiegender Sicherheitsvorfall
- Ein Sicherheitsvorfall, der die Sicherheit eines Produkts beeinträchtigt und den Schutz sensibler Daten oder wichtiger Funktionen gefährdet oder Schadcode einschleust. Er ist ebenfalls meldepflichtig.
- Art. 14 Abs. 3 und 5 EU CRA
- Als Koordinator benanntes CSIRT
- Das Computer-Notfallteam, das ein Mitgliedstaat als Empfänger der Meldungen nach dem EU CRA benannt hat. Meldungen gehen über die einheitliche Meldeplattform gleichzeitig an dieses CSIRT und an die ENISA.
- Art. 3 Nr. 51, Art. 14 und 16 EU CRA
Häufige Fragen zu den Begriffen
Ist das Cyberresilienzgesetz ein deutsches Gesetz?+
Nein. Mit Cyberresilienzgesetz ist meist der Cyber Resilience Act gemeint, die EU-Verordnung (EU) 2024/2847. Als Verordnung gilt sie in allen Mitgliedstaaten unmittelbar. Nationale Regeln ergänzen nur Punkte wie Marktüberwachung und Sanktionen.
Was sind Produkte mit digitalen Elementen?+
Produkte mit digitalen Elementen sind Software- und Hardwareprodukte samt ihrer Datenfernverarbeitung, einschließlich getrennt verkaufter Komponenten (Art. 3 Nr. 1 EU CRA). Unter den Cyber Resilience Act fallen sie, wenn ihre Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.
Braucht Software eine CE-Kennzeichnung?+
Software, die als Produkt mit digitalen Elementen in Verkehr gebracht wird, braucht ab der vollen Anwendung des EU CRA eine CE-Kennzeichnung. Sie steht nach Art. 30 Abs. 1 EU CRA auf der EU-Konformitätserklärung oder auf der Website, die das Softwareprodukt begleitet.
Was ist der Unterschied zwischen Inverkehrbringen und Bereitstellung?+
Inverkehrbringen ist die erstmalige Bereitstellung eines Produkts auf dem EU-Markt (Art. 3 Nr. 21 EU CRA). Bereitstellung ist jede Abgabe im Rahmen einer Geschäftstätigkeit, auch jede weitere durch Händler (Art. 3 Nr. 22). Viele Herstellerpflichten knüpfen an das Inverkehrbringen an.
Wo finde ich den Text der Verordnung (EU) 2024/2847 auf Deutsch?+
Der amtliche Text steht auf EUR-Lex. Die Wissensdatenbank von Kunnus führt alle Artikel, Erwägungsgründe und Anhänge des Cyber Resilience Act auf Deutsch, mit Querverweisen und der Auslegung aus der EU-Kommissions-Guidance.
Die Definitionen geben den Verordnungstext verkürzt wieder und ersetzen ihn nicht. Maßgeblich ist die im Amtsblatt der EU veröffentlichte Fassung.