Anwendungsbereich
Gilt die Cyberresilienz-Verordnung für SaaS?
Die kurze Antwort, die im Netz kursiert („SaaS ist ausgenommen“), trifft zur Hälfte zu und bleibt auf gefährliche Weise unvollständig. Die Verordnung erfasst Produkte mit digitalen Elementen, und deren Begriffsbestimmung wiegt schwerer als der Name, unter dem Sie Ihr Angebot vermarkten.
„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
Der Regelfall: reine Dienste bleiben außen vor
Gelangt nichts auf die Systeme Ihrer Kundinnen und Kunden, läuft Ihr Code also vollständig auf Ihrer eigenen Infrastruktur und greifen die Nutzer allein über den Browser darauf zu, so stellen Sie in aller Regel kein Produkt mit digitalen Elementen bereit. Der Dienst bleibt ein Dienst und wird nicht zu einem Produkt auf dem Markt.
Die Ausnahmen, die Sie zurückholen
- Software beim Kunden. Eine mobile Anwendung, ein Agent auf dem Arbeitsplatzrechner, eine Erweiterung für den Browser oder ein Konnektor im Netz des Kunden ist installierbare Software. Sie kann für sich genommen in den Anwendungsbereich fallen; das Backend kann dann als ihre Datenfernverarbeitungslösung mit erfasst sein.
- Bündel mit Hardware. Verkaufen Sie Ihre Plattform zusammen mit einem Gateway, einem Sensor oder einem Gerät, ist die Hardware für sich ein Produkt mit digitalen Elementen, und die Plattform kann ihre Datenfernverarbeitungslösung sein.
- Installationen beim Kunden. An dem Tag, an dem Sie eine vom Kunden selbst betriebene Instanz ausliefern, bringen Sie Software in den Verkehr.
Die Frage für die Bestandsaufnahme
Nicht „sind wir SaaS?“, sondern „was betreibt der Kunde tatsächlich selbst?“ Nehmen Sie jedes Erzeugnis auf, das Ihre Infrastruktur verlässt: Anwendungen, Agenten, Programmbibliotheken, die auf Kundenseite ausgeführt werden, Konnektoren, selbst Hilfsprogramme für die Einrichtung. Jedes davon braucht eine eigene Prüfung des Anwendungsbereichs, und jedes kann anders eingestuft werden als das Hauptprodukt, nach Anhang III oder Anhang IV.
Wer quelloffene Software veröffentlicht, gerät in eine verwandte Falle: Wird quelloffener Code monetarisiert, etwa über kostenpflichtige Editionen, kann die Software als im Rahmen einer Geschäftstätigkeit bereitgestellt gelten und in den Anwendungsbereich fallen (Erwägungsgründe 15 und 18).
Die ganze Frage des Anwendungsbereichs über Software, Hardware, Ausnahmen und Rollen hinweg steht in Gilt die Cyberresilienz-Verordnung für mein Produkt?
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.