Gilt die Cyberresilience Act auch für Ihr Unternehmen?
Die Cyberresilience Act ist eine Europäische Verordnung, die Cybersecurity-Anforderungen an Produkte mit digitalen Elementen stellt: Geräte und Software, die sich mit einem Netzwerk oder einem anderen Gerät verbinden können. Ob diese Verordnung Ihr Unternehmen betrifft, hängt vor allem von zwei Fragen ab: Verkaufen Sie ein solches Produkt, und in welcher Rolle tun Sie das — als Hersteller, Importeur, Distributor oder als Partei, die ein Produkt unter eigener Marke auf den Markt bringt.
Ein Webshop, der fertige Produkte ohne Eigenmarke weiterverkauft, nimmt meist die Rolle eines Distributors ein, mit anderen Verpflichtungen als ein Hersteller. Sobald Sie ein Produkt unter Ihrer eigenen Marke oder Ihrem eigenen Label herstellen lassen, können Sie rechtlich als Hersteller eingestuft werden, auch wenn Sie selbst nichts produzieren. Eine endgültige Antwort für Ihre spezifische Situation gibt dieser Text nicht — das ist Sache eines Juristen oder der für diese Verordnung zuständigen Überwachungsbehörde.
Was die Verordnung genau regeln soll
Die Cyberresilience Act konzentriert sich auf den Lebenszyklus eines Produkts: von Entwurf und Entwicklung bis zu Updates nach dem Verkauf. Die dahinterstehende Idee ist, dass Produkte mit digitalen Elementen häufig Sicherheitslücken enthalten, die erst nach dem Verkauf offenbar werden, und dass dem etwas entgegengesetzt werden muss: Sicherheit, die bereits bei der Planung berücksichtigt wurde, und ein Weg, um Sicherheitslücken später noch zu beheben. Dies betrifft also nicht nur die Technik eines Produkts, sondern auch, wie lange und auf welche Weise Sie nach dem Verkauf für Meldungen und Updates erreichbar bleiben.
Wann dies für Ihr Unternehmen relevant sein kann
Der Kern der Verordnung liegt bei Produkten, die Software enthalten oder sich mit dem Internet, einem Netzwerk oder einem anderen Gerät verbinden können. Denken Sie an intelligente Beleuchtung, Sicherheitskameras, Router, Sensoren für Gebäudeverwaltung oder Geräte, die über eine App gesteuert werden. Ein Installationsbetrieb, der solche Geräte verkauft und einbaut, ein Webshop, der Smart-Home-Produkte unter eigener Marke führt, oder ein Büro, das IoT-Geräte an Kunden weiterleitet, kann in den Anwendungsbereich fallen. Ein Unternehmen, das ausschließlich Dienstleistungen erbringt, ohne selbst ein solches Produkt auf den Markt zu bringen, muss sich normalerweise keine Fragen zu dieser Verordnung stellen — es gilt aber weiterhin, dass dies je nach Situation unterschiedlich ist.
Wenn Sie Produkte unter Ihrer eigenen Marke verkaufen
Dies ist genau der Punkt, an dem viele KMU-Unternehmen entgegen ihren Erwartungen doch betroffen sind. Ein Webshop, der einen Hersteller in Asien für die Produktion engagiert und das Produkt unter einem eigenen Markennamen verkauft, wird für die geltende Regelung oft als Hersteller behandelt, nicht als Wiederverkäufer. Das ist die gleiche Verschiebung, die sich bei Produktsicherheit und Verpackung zeigt: Die Rolle, die Sie einnehmen, bestimmt, welche Verpflichtungen bei Ihnen liegen, und diese Rolle ist nicht immer diejenige, die Sie selbst wählen würden. Ob das für die Cyberresilience Act auf Ihr spezifisches Produkt zutrifft, steht in der offiziellen Fassung und bei der zuständigen Überwachungsbehörde.
Warum dies selten isoliert steht
Ein Unternehmen, das unter diese Verordnung fällt, fällt oft auch unter andere Regelungen: Produktsicherheit im allgemeinen Sinne, möglicherweise Barrierefreiheitsanforderungen, falls das Produkt eine Benutzeroberfläche hat, und personenbezogene Daten, sobald das Gerät Daten erfasst oder weiterleitet. Das ist genau der Grund, warum es sinnvoll ist, einmal übersichtlich festzuhalten, welche Regelungen für Ihr Unternehmen gelten, anstatt bei jeder Frage von vorne anzufangen. reglia ist dabei die Schnittstelle über die Plattformen, die jeweils fachlich ein Gebiet behandeln; Sie können via einen Überblick über die angeschlossenen Plattformen einsehen um zu sehen, welche Plattform sich mit welchem Thema befasst.
Was reglia selbst mit den Daten tut, die Sie dafür eingeben, lesen Sie auf der Seite über wie reglia funktioniert. Sobald Sie einmal ein Unternehmensdossier ausgefüllt haben, müssen Sie das für jede Plattform nicht erneut tun, und Sie behalten selbst den Überblick, welche Plattform welche Daten nutzt.
Sind Sie unsicher, ob ein Produkt, das Sie verkaufen, unter die Cyberresilience Act fällt, ist das eine Frage, die zu einem Juristen oder zu der für diese zuständigen Aufsichtsbehörde gehört. Auf der Seite mit häufig gestellte Fragen finden Sie weitere Erklärungen darüber, was reglia für Sie beantwortet und was nicht.
Möchten Sie wissen, welche Plattformen es gibt und welches Thema damit abgedeckt wird, schauen Sie gerne weiter bei das Erstellen eines kostenlosen Kontos um zu sehen, was für Ihr Unternehmen verfügbar ist.