Glossar zur Cyberresilienz-Verordnung

Eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie bereits ohne Zustimmung des Systemeigners ausgenutzt hat. Diese Kategorie löst die Meldung nach Artikel 14 aus.

„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“

Die Liste der wichtigen Produkte mit digitalen Elementen, von Passwort-Managern und Browsern über Betriebssysteme und Netzausrüstung bis zu Sicherheitsgeräten für das intelligente Zuhause, vernetztem Spielzeug und am Körper getragenen Gesundheitsgeräten. Für Klasse I bleibt die bedingte Selbstbewertung erhalten, für Klasse II ist eine Bewertung unter Beteiligung Dritter vorgeschrieben, sofern nicht die Ausnahme des Artikels 32 Absatz 5 greift: Freie und quelloffene Software, die in eine der beiden Klassen fällt, kann stattdessen die Verfahren nach Artikel 32 Absatz 1 nutzen, sofern ihre technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist.

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Passwort-Manager“

„Betriebssysteme“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Die Liste der kritischen Produkte mit digitalen Elementen: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways innerhalb intelligenter Messsysteme sowie Chipkarten oder ähnliche Geräte einschließlich Sicherheitselemente. Für diese Kategorien gilt das strengste Konformitätsbewertungsverfahren.

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente“

Die Kennzeichnung, mit der ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die dahinterstehenden Verfahren den grundlegenden Cybersicherheitsanforderungen genügen. Bei Software wird sie auf der EU-Konformitätserklärung oder der begleitenden Website angebracht und nicht auf dem Produkt selbst.

„eine Kennzeichnung, durch die ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen“

„gut sichtbar, lesbar und dauerhaft hervorgeht“

Eine technische Spezifikation, die die Kommission durch Durchführungsrechtsakte festlegt, als alternatives Mittel zur Erfüllung der grundlegenden Cybersicherheitsanforderungen dort, wo harmonisierte Normen sie nicht abdecken. Die vollständige Anwendung gemeinsamer Spezifikationen hält die Selbstbewertung für Klasse I offen.

„Die Kommission kann Durchführungsrechtsakte annehmen, durch die gemeinsame Spezifikationen zu technischen Anforderungen festgelegt werden, deren Befolgung es ermöglicht, die in Anhang I festgelegten grundlegenden Cybersicherheitsanforderungen an Produkte mit digitalen Elementen im Anwendungsbereich dieser Verordnung zu erfüllen.“

Das Verfahren, mit dem überprüft wird, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt werden. Der Hersteller führt es durch; seine Tiefe hängt von der Klasse des Produkts und dem anwendbaren Konformitätsbewertungsverfahren ab.

„das Verfahren, mit dem überprüft wird, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt werden“

„Der Hersteller führt eine Konformitätsbewertung des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren durch, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt sind.“

Ein Reaktionsteam für Sicherheitsvorfälle, das nach der Richtlinie (EU) 2022/2555 als Koordinator benannt wurde. Hersteller melden ihm aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig mit der ENISA.

„ein CSIRT, das gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 als Koordinator benannt wurde“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

Eine Person in der Lieferkette, die weder Hersteller noch Einführer ist und ein Produkt ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt. Händler schulden Prüfungen mit gebührender Sorgfalt und die Weitergabe von Meldungen.

„eine natürliche oder juristische Person in der Lieferkette, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, mit Ausnahme des Herstellers oder des Einführers“

„befolgen die Händler die Vorschriften dieser Verordnung mit der gebührenden Sorgfalt“

Der Oberbegriff für alle, die Pflichten aus der Verordnung tragen: den Hersteller, den Bevollmächtigten, den Einführer, den Händler sowie jede weitere Person, die Verpflichtungen im Zusammenhang mit der Herstellung von Produkten oder ihrer Bereitstellung auf dem Markt unterliegt.

„den Hersteller, den Bevollmächtigten, den Einführer, den Händler oder jede andere natürliche oder juristische Person, die Verpflichtungen im Zusammenhang mit der Herstellung von Produkten mit digitalen Elementen oder der Bereitstellung auf dem Markt von Produkten mit digitalen Elementen im Einklang mit dieser Verordnung unterliegt“

Die Agentur der Europäischen Union für Cybersicherheit. Die Verordnung bestimmt den Begriff ENISA nicht; sie setzt die Agentur als Empfängerin von Meldungen ein: Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig dem als Koordinator benannten CSIRT und der ENISA.

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

Das vom Hersteller ausgestellte Dokument, das besagt, dass die Erfüllung der geltenden grundlegenden Cybersicherheitsanforderungen nachgewiesen worden ist. Sein Musteraufbau steht in Anhang V.

„Die EU-Konformitätserklärung wird vom Hersteller gemäß Artikel 13 Absatz 12 ausgestellt und besagt, dass die Erfüllung der grundlegenden Cybersicherheitsanforderungen in Anhang I nachgewiesen worden ist.“

„EU-KONFORMITÄTSERKLÄRUNG“

Software, deren Quellcode offen geteilt und unter einer Lizenz bereitgestellt wird, die alle Rechte zum freien Zugang sowie zur Nutzung, Veränderung und Weiterverteilung einräumt. Wer zu solcher Software Quellcode beiträgt, ohne für sie verantwortlich zu sein, fällt nicht unter die Verordnung; wer sie im Rahmen einer Geschäftstätigkeit abgibt, schon.

„eine Software, deren Quellcode offen geteilt wird und die im Rahmen einer kostenlosen Open-Source-Lizenz zur Verfügung gestellt wird, die alle Rechte vorsieht, um sie frei zugänglich, nutzbar, veränderbar und weiterverteilbar zu machen“

„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“

Eine harmonisierte Norm im Sinne der Normungsverordnung (EU) Nr. 1025/2012: eine Norm, die die europäischen Normungsorganisationen auf Anforderung der Kommission angenommen haben. Die Verordnung verweist auf jene Begriffsbestimmung, statt sie zu wiederholen, und die vollständige Anwendung harmonisierter Normen hält die Selbstbewertung für Klasse I offen.

„eine harmonisierte Norm gemäß der Begriffsbestimmung in Artikel 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012“

Eine in der Union ansässige Person, die ein Produkt in den Verkehr bringt, das den Namen oder die Marke einer außerhalb der Union ansässigen Person trägt. Einführer prüfen die Konformität vor dem Inverkehrbringen und leiten Angaben zu Schwachstellen an den Hersteller weiter, bei erheblichem Risiko zusätzlich an die Behörden.

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person“

„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“

Die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Auch die unentgeltliche Abgabe innerhalb einer Geschäftstätigkeit zählt dazu.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Eine Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder sie konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Wer ein fremdes Produkt unter eigener Marke vertreibt, wird damit selbst zum Hersteller.

„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“

„Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt.“

Eine Marktüberwachungsbehörde im Sinne der Verordnung (EU) 2019/1020: die nationale Stelle, die in jedem Mitgliedstaat die Produktvorschriften durchsetzt. Einführer und Händler unterrichten diese Behörden unverzüglich über erhebliche Cybersicherheitsrisiken.

„eine Marktüberwachungsbehörde gemäß der Begriffsbestimmung in Artikel 3 Nummer 4 der Verordnung (EU) 2019/1020“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“

EU-Baumusterprüfung (Modul B) und anschließende Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul C). Dieses Paar unter Beteiligung Dritter gilt für Produkte der Klasse II und tritt bei Klasse I an die Stelle der Selbstbewertung, wenn Normen oder gemeinsame Spezifikationen nicht vollständig angewendet werden, sofern nicht die Ausnahme des Artikels 32 Absatz 5 greift: Freie und quelloffene Produkte des Anhangs III mit öffentlich zugänglicher technischer Dokumentation nach Artikel 31 nutzen stattdessen die Verfahren nach Artikel 32 Absatz 1.

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung: die Alternative zu Modul B+C überall dort, wo nach Artikel 32 Verfahren unter Beteiligung Dritter gelten.

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

Eine Konformitätsbewertungsstelle, die nach Artikel 43 und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde. Produkte der Klasse II des Anhangs III und Produkte des Anhangs IV weisen ihre Konformität in Verfahren unter Beteiligung einer solchen Stelle nach, sofern ein Produkt des Anhangs III nicht unter die Ausnahme des Artikels 32 Absatz 5 fällt: Freie und quelloffene Software mit öffentlich zugänglicher technischer Dokumentation nach Artikel 31 nutzt die Verfahren nach Artikel 32 Absatz 1 ganz ohne notifizierte Stelle. Für Anhang IV bleibt das Verfahren unabhängig von der Lizenz bestehen.

„eine Konformitätsbewertungsstelle, die nach Artikel 43 dieser Verordnung und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde“

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Eine juristische Person, die nicht Hersteller ist, die Entwicklung bestimmter freier und quelloffener Produkte für kommerzielle Tätigkeiten systematisch und nachhaltig unterstützt und deren Brauchbarkeit sicherstellt. Verwalter müssen eine überprüfbare Cybersicherheitsstrategie führen und dokumentieren.

„eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt“

„Verwalter quelloffener Software entwickeln und dokumentieren auf überprüfbare Weise eine Cybersicherheitsstrategie, um die Entwicklung eines sicheren Produkts mit digitalen Elementen sowie einen wirksamen Umgang mit Schwachstellen durch die Entwickler dieses Produkts zu fördern.“

Die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt. Ein einmaliger Auslöser je Produkt; spätere Abgaben und Aktualisierungen beruhen auf anderen Pflichten.

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

Ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich getrennt in den Verkehr gebrachter Software- oder Hardwarekomponenten. Dies ist der zentrale Regelungsgegenstand der Verordnung.

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

Entfernt stattfindende Datenverarbeitung, deren Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie gehört zur Begriffsbestimmung des Produkts selbst.

„entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“

Eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts enthalten sind. Anhang I verlangt sie in einem gängigen maschinenlesbaren Format, aus dem zumindest die obersten Abhängigkeiten hervorgehen.

„eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind“

„Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“

Ein Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts, der die Schwelle des Artikels 14 Absatz 5 erreicht, etwa weil er die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen; weitere Buchstaben erfassen das Einbringen böswilligen Codes. Schwerwiegende Sicherheitsvorfälle sind nach Artikel 14 zu melden.

„gilt ein Sicherheitsvorfall, der Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen hat, als schwerwiegend, wenn a) er sich negativ auf die Fähigkeit eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen“

Ein Cybersicherheitsrisiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall mit schwerwiegenden negativen Auswirkungen führt. Es ist der Auslöser, an dem Einführer und Händler die Marktüberwachungsbehörden einschalten.

„ein Cybersicherheitsrisiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führen wird, der schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte“

Eine Änderung des Produkts nach dessen Inverkehrbringen, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen auswirkt oder den bestimmungsgemäßen Zweck ändert, für den das Produkt geprüft wurde. Sie eröffnet die Pflichten erneut, auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden.

„eine Änderung des Produkts mit digitalen Elementen nach dessen Inverkehrbringen, die sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks, für den das Produkt geprüft wurde, führt“

„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“

Der Zeitraum, in dem ein Hersteller sicherstellen muss, dass Schwachstellen des Produkts wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden: mindestens fünf Jahre oder die voraussichtliche Nutzungsdauer, wenn das Produkt kürzer im Betrieb sein wird.

„den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„beträgt der Unterstützungszeitraum mindestens fünf Jahre“

„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“

Die Dokumentation, die belegt, wie das Produkt und die Verfahren des Herstellers den grundlegenden Cybersicherheitsanforderungen genügen. Sie wird vor dem Inverkehrbringen erstellt und zumindest während des Unterstützungszeitraums laufend aktualisiert. Ihr Inhalt steht in Anhang VII; Anhang V ist demgegenüber das Muster der EU-Konformitätserklärung.

„Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts mit digitalen Elementen erstellt und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend aktualisiert.“

„INHALT DER TECHNISCHEN DOKUMENTATION“