Wenn Ihr Unternehmen Produkte mit digitalen Elementen liefert – denken Sie an ein intelligentes Thermostat, Software, die zu einer Maschine gehört, oder eine App, die mit einem Gerät kommuniziert –, verlangt der Cyberresilience Act eine Dokumentation, die zeigt, wie die Cybersicherheit dieses Produkts gewährleistet ist. Im Großen und Ganzen geht es um eine Risikobewertung des Produkts, technische Dokumentation über dessen Funktionsweise und Sicherheit, einen Überblick über die verwendeten Softwarekomponenten, ein Verfahren für die Behandlung von Sicherheitslücken und eine Konformitätserklärung. Die genaue Gliederung und Bezeichnung stehen im offiziellen Text der Verordnung; konsultieren Sie diesen oder Ihre Aufsichtsbehörde für die genaue Ausfüllung für Ihr Produkt.
Was diese Dokumentation von beispielsweise einer Produktsicherheitsdokumentation oder einer Verpackungsdokumentation unterscheidet, ist, dass sie nicht bei der Lieferung fertig ist. Eine Produktsicherheitsdokumentation beschreibt ein Produkt so, wie es das Werk verlässt. Die Cybersicherheitsdokumentation muss auch zeigen, was nach dieser Lieferung geschieht: wie Sie Sicherheitslücken aufdecken, wie schnell Sie ein Update bereitstellen, und wie Sie das dokumentieren. Das ist das Detail, das bei diesem Thema am meisten eine Rolle spielt und wo Unternehmen, die an einmalige Dokumentationen gewöhnt sind, am leichtesten stolpern.
Was typischerweise in der Dokumentation enthalten ist
Bei den meisten Produkten mit digitalen Elementen läuft eine Cybersicherheitsdokumentation auf eine Kombination der folgenden Bestandteile hinaus. Eine Risikoanalyse, die beschreibt, welche Cyberrisiken zum Produkt gehören und wie diese abgedeckt werden. Ein technischer Überblick über die Architektur, einschließlich welche Software und welche Komponenten von Dritten darin enthalten sind – oft als Software Bill of Materials bezeichnet, eine Liste aller Softwarekomponenten im Produkt. Eine Beschreibung des Verfahrens, mit dem Sie Sicherheitslücken entdecken, bewerten und beheben. Und eine Erklärung, in der Sie angeben, dass das Produkt die geltenden Anforderungen erfüllt.
Ob Ihr Produkt genau diese Unterlagen benötigt und in welcher Form, hängt vom Produkttyp und der Kategorie ab, in die es fällt. Das ist eine inhaltliche Frage, die außerhalb dessen liegt, was reglia tut; dafür sind der Text der Verordnung oder ein Rechtsanwalt der richtige Anknüpfungspunkt. Eine erste Orientierung über welche Verpflichtungen bei Ihrem Unternehmenstyp anfallen können, finden Sie bei die Übersicht der angeschlossenen Plattformen.
Warum der Update-Prozess besondere Aufmerksamkeit verdient
Viele der anderen Dokumentationen, die zu einem Unternehmen gehören, sind im Wesentlichen eine Momentaufnahme: Sie füllen sie aus, Sie bewahren sie auf, und Sie aktualisieren sie, wenn sich etwas Wesentliches ändert. Die Cybersicherheitsdokumentation verlangt etwas anderes: einen laufenden Prozess, den Sie auch nachweisen können. Wer meldet eine Sicherheitslücke, in welcher Frist wird diese bewertet, und wie kommt ein Update zum Benutzer? Das ist nicht etwas, das Sie einmal aufschreiben und dann liegen lassen – es ist ein Teil der Dokumentation, der sich so lange weiterentwickelt, wie das Produkt in Gebrauch ist.
In der Praxis bedeutet dies, dass die Dokumentation zwei Arten von Informationen enthält: feste Unterlagen, die sich ändern, wenn sich das Produkt selbst ändert, und ein laufendes Logbuch, das mit jedem Update oder jeder Meldung anwächst. Unternehmen, die diese Unterscheidung nicht treffen, laufen Gefahr, dass die Dokumentation auf dem Papier vollständig ist, aber in der Praxis nicht zeigt, wie die Sicherheit nach der Lieferung gewährleistet wurde. Ob und wie dies für Ihr Produkt zutrifft, beurteilen Sie am besten zusammen mit einem Rechtsanwalt oder der zuständigen Behörde.
Eine Dokumentation, aber nicht Ihre einzige Verpflichtung
Ein Produkt mit digitalen Elementen, das Sie an Verbraucher verkaufen, berührt in der Praxis oft mehr als nur den Cyberresilience Act. Dieselben Produktdaten — Spezifikationen, Bestimmungsland, verantwortliche Person in Ihrem Unternehmen — tauchen auch bei der Produktsicherheit, bei Verpackungen und manchmal bei personenbezogenen Daten auf. reglia füllt diese Vorschriften selbst nicht aus, sondern stellt sicher, dass Sie ein Unternehmens- und Produktdossier einmal ausfüllen und dass die Plattformen, die sich inhaltlich damit befassen, dieses Dossier auslesen, anstatt dass Sie es vier Mal neu eingeben. Wie das genau funktioniert und was reglia mit diesen Daten tut und nicht tut, lesen Sie unter der Erklärung zur Funktionsweise von reglia.
Wer wissen möchte, wie Daten dabei gesichert werden und wer Zugriff darauf hat, findet das unter der Seite zu Sicherheit und Datenschutz. Ein Account zu erstellen ist kostenlos und verpflichtet Sie zu nichts; was Sie anschließend bei einer Plattform nutzen, zahlen Sie dort zum Tarif, den diese Plattform anwendet.
Neugierig, welche Plattformen bei reglia angebunden sind und welcher Teil Ihres Unternehmens von jeder betroffen ist? Schauen Sie sich den häufig gestellten Fragen zu reglia an oder werfen Sie einen Blick auf die Übersicht der verfügbaren Lösungen.