Vergleich
Cyberresilienz-Verordnung und DSGVO: Was gilt für Ihr Produkt?
Kurz gesagt: Beide Verordnungen regeln Verschiedenes und können dasselbe Unternehmen gleichzeitig betreffen. Die Cyberresilienz-Verordnung regelt die Cybersicherheit des Produkts selbst; die Datenschutz-Grundverordnung regelt, wie Sie personenbezogene Daten verarbeiten. Aus dem Anwendungsbereich der einen folgt nichts für den der anderen.
Regelungsgegenstand der beiden Verordnungen
Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen: ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, auf dem Markt bereitgestellt, dessen bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung zu einem Gerät oder Netz einschließt. Ihre Pflichten, etwa die Behandlung von Schwachstellen, sichere Voreinstellungen, eine Software-Stückliste und ein erklärter Unterstützungszeitraum, hängen am Produkt und an dem Hersteller, Einführer oder Händler, der es liefert, nicht daran, welche personenbezogenen Daten das Produkt nebenbei verarbeitet.
„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
„Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“
Die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, regelt etwas anderes: wie eine Organisation personenbezogene Daten von Menschen in der Union erhebt, speichert, weitergibt und sonst verarbeitet, gleich ob diese Verarbeitung über ein Produkt mit digitalen Elementen, eine Tabelle oder ein Telefongespräch läuft. Sie legt Grundsätze fest, etwa das Erfordernis einer Rechtsgrundlage für die Verarbeitung, die Datenminimierung und die Datensicherheit, und sie gibt den nationalen Aufsichtsbehörden die Befugnis zu ermitteln und Geldbußen zu verhängen. Vollständiger Wortlaut: Verordnung (EU) 2016/679, ABl. L 119 vom 4.5.2016 (DSGVO).
Überschneidungen und Vorrang
Die Cyberresilienz-Verordnung nennt andere Rechtsakte der Union, deren Produktvorschriften ihr für bestimmte Produktkategorien vorgehen (Art. 2 Abs. 2 bis 4): Medizinprodukte, In-vitro-Diagnostika, luftfahrtzertifizierte Ausrüstung, Schiffsausrüstung und die Typgenehmigung von Kraftfahrzeugen.
„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“
Die Datenschutz-Grundverordnung steht nicht auf dieser Liste, und nichts in der Verordnung ordnet das Datenschutzrecht der Cyberresilienz-Verordnung unter oder umgekehrt. Praktisch heißt das: Fällt Ihr Produkt in den Anwendungsbereich der Cyberresilienz-Verordnung und verarbeitet es außerdem personenbezogene Daten, gelten beide Regelwerke vollständig, gleichzeitig und für dasselbe Produkt. Die Compliance-Maschine von Cybiq fragt beim Anwendungsbereich nicht nach der Datenschutz-Grundverordnung, denn diese ist keine Bereichsausnahme: Sie nimmt ein Produkt weder aus der Cyberresilienz-Verordnung heraus noch wird sie von ihr verdrängt.
Die Sicherheitspflicht der Cyberresilienz-Verordnung tritt neben die der Datenschutz-Grundverordnung, nicht an deren Stelle: Hersteller müssen dafür sorgen, dass Schwachstellen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden, was eine Produktsicherheitsprüfung ist, keine datenschutzrechtliche.
„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“
Die beiden Regelwerke setzen sogar unterschiedliche Obergrenzen für Geldbußen: Nach Art. 64 Abs. 2 der Cyberresilienz-Verordnung können für Verstöße gegen Anhang I und die Art. 13 und 14 Geldbußen von bis zu 15 000 000 EUR oder, bei Unternehmen, bis zu 2,5 % des gesamten weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist.
„werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“
Was das in der Praxis bedeutet
- Erhebt Ihr Produkt personenbezogene Daten (Konten, Telemetrie, Gesundheitswerte aus einem am Körper getragenen Gerät), brauchen Sie dafür eine Rechtsgrundlage und eine Datenschutzinformation nach der Datenschutz-Grundverordnung, zusätzlich zu Ihren Pflichten aus der Cyberresilienz-Verordnung und getrennt von ihnen.
- Die Pflicht zur Behandlung von Schwachstellen aus der Cyberresilienz-Verordnung und die Pflicht zur Sicherheit der Verarbeitung aus der Datenschutz-Grundverordnung stellen eine verwandte Frage, nämlich ob etwas sicher ist, über zwei verschiedene rechtliche Prüfungen, die zwei verschiedene Behörden durchsetzen; die eine zu erfüllen belegt nicht, dass Sie die andere erfüllen.
- Eine Verletzung des Schutzes personenbezogener Daten kann Meldepflichten gegenüber einer Aufsichtsbehörde auslösen, teils auch gegenüber den Betroffenen, auf einer Zeitschiene, die von den Meldepflichten nach Artikel 14 der Cyberresilienz-Verordnung unabhängig ist.
- Geldbußen nach Art. 83 Abs. 5 DSGVO können bis zu 20 000 000 EUR oder, bei Unternehmen, bis zu 4 % des gesamten weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Die oben zitierten Obergrenzen der Cyberresilienz-Verordnung stehen damit in keinem Zusammenhang und werden gesondert durchgesetzt.
- Zwei verschiedene Behörden überwachen das: Ihre Marktüberwachungsbehörde für die Cyberresilienz-Verordnung, Ihre nationale Aufsichtsbehörde für den Datenschutz. Eine Freigabe der einen sagt nichts über die andere.
Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihr Produkt die Datenschutz-Grundverordnung oder ein anderes Regelwerk einhält, wird hier nicht bewertet. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Rechtsberatung.