Mit dem Cyber Resilience Act geht die EU-Kommission die Aufgabe an, Produktanforderungen an Cybersicherheit zu vereinheitlichen und das Resilienzniveau in der EU anzuheben. „Auch wenn es unsere Unternehmen vor enorme Herausforderungen stellt, braucht der europäische Binnenmarkt ein solches harmonisiertes Level-Playing-Field in der Cybersicherheit“, sagt Wolfgang Weber, Vorsitzender der ZVEI-Geschäftsführung. Der Entwurf sei ein wichtiger Schritt.

Kritisch sieht der ZVEI allerdings die weitgefasste Definition bei sogenannten „critical products“ und „highly critical products“, zu denen auch Mikrocontroller, industrielle Automatisierungs- und Steuerungssysteme oder Teile des IIoT gezählt werden, auch wenn sie in keinem kritischen Kontext verwendet werden. „Wenn Unternehmen solche oder darauf aufbauende Produkte auf Basis dieser Einteilung nur erschwert auf den Markt bringen können, wird es zu großen Verzögerungen in der EU beim Einsatz digitaler Produkte und Komponenten kommen“, sagt Weber. Statt reine Hochrisikolisten zu führen, müsse deshalb das Konzept des vorgesehenen Verwendungszwecks im Vordergrund stehen. Zudem müssen Hersteller digitaler Produkte und Komponenten bei der Zuweisung der Kritikalität eingebunden werden, da sie potenzielle Sicherheitsrisiken am besten beurteilen und entsprechende Maßnahmen einleiten können.

Positiv bewertet der Verband der Elektro- und Digitalindustrie, dass der Regulierungsentwurf den Prinzipien des New Legislative Framework (NLF) folgt. Weber: „Diese Vorgehensweise knüpft unmittelbar an etablierte Prozesse in den Unternehmen an und stärkt die Rolle der europäischen Normung.“ Allerdings ist die vorgesehene Übergangsfrist von 24 Monaten zur Umsetzung solcher Maßnahmen zu kurz und muss verlängert werden. Die Europäische Kommission sollte deshalb längere Fristen setzen, damit harmonisierte Normen rechtzeitig gelistet und eine ausreichende Zahl an Drittstellen zur Konformitätsbewertung benannt werden kann.

Der ZVEI setzt sich seit Jahren aktiv für eine horizontale Regulierung ein. Vom Hersteller bis zum Anwender müssen alle Beteiligten im Wertschöpfungsnetzwerk zusammenarbeiten und ihren Teil erfüllen, um ein hohes Niveau an Cyberresilienz zu erreichen.