Neue Cybersicherheitsregeln – und jetzt wird es dringend [Kolumne von Ulf Seijmer]

Ulf Seijmer: Ein kurzer Blick in die Nachrichten genügt, um zu erkennen, dass Sicherheitsfragen immer wichtiger werden. Ich meine damit aber nicht das Festmachen von Ankern an den Bugen halbverrotteter Boote, deren Besitzer unklar sind, in der Ostsee – oder das Aufstellen von mehrsprachigen “Ankern verboten”-Schildern. Nein, ich spreche von etwas, das uns im Alltag viel näher ist: Elektronik, vernetzte Geräte und Hardware, die unser Leben mittlerweile durchdringen.

Die Sicherheitsvorkehrungen werden nun verstärkt. Ein neuer Standard soll eingeführt werden, um die Anforderungen zu verschärfen. Cybersicherheit. Ab August 2025 (eigentlich 2024, jetzt 2025) stehen Technologieunternehmen vor neuen Herausforderungen. Die aktualisierte EU-Funkanlagenrichtlinie (RED) führt strengere Regeln für Cybersicherheit ein – Regeln, die alles betreffen, von Smartwatches über Netzwerkgeräte bis hin zu IoT-Sensoren. Das Problem: Ohne diese Kennzeichnung erfüllt Ihr Produkt nicht die CE-Kennzeichnung. Sind Sie darauf nicht vorbereitet? Dann müssen Sie den Verkauf Ihres Produkts unter Umständen einstellen, bis Sie die CE-Kennzeichnung nachweisen können! Wie so oft bei neuen Vorschriften lauern die Tücken im Detail.

Schöne Versprechen und harte Anforderungen

Die Anforderungen an die Cybersicherheit sind eindeutig. Ab August 2025 müssen Funkgeräte, die personenbezogene Daten verarbeiten oder mit Netzwerken verbunden sind, folgende Anforderungen erfüllen: Schutz für die personenbezogenen Daten des Nutzers und Integrität. Sie möchten verhindern, dass die Geräte zu einer Bedrohung für Netzwerke oder Benutzer werden, indem Sie robuste Mechanismen zur Abwehr von Cybersicherheitsbedrohungen einsetzen.

Für diejenigen, die bei der Produktentwicklung nicht von Anfang an die Cybersicherheit im Blick hatten, mag es darum gehen, dass Hersteller daran arbeiten, Sicherheitslücken und bestehende Schwachstellen zu schließen. Langfristig geht es jedoch darum, Lösungen mit dem Ansatz ”Security by Design” zu entwickeln, bei dem Sicherheit vom Reißbrett bis zur Markteinführung berücksichtigt wird.

Es herrschte große Unsicherheit darüber, nach welchem Standard man sich zertifizieren lassen sollte, um die Anforderungen zu erfüllen. Die EU-Kommission hat die Angelegenheit ins Absurde verlängert. Die Unsicherheit darüber, was gilt, lässt sich mit dem Bau eines Hauses vergleichen, ohne genau zu wissen, welche Baunormen Anwendung finden werden. Soll man abwarten und Verzögerungen riskieren oder das Risiko eingehen und alles neu bauen müssen? Bis vor Kurzem waren die meisten Informationen verfügbar über Internet Und es deutete auf einen anderen Standard hin als den, der gerade erarbeitet wurde. Es ist also, als würde man ein Haus anhand von YouTube-Videos bauen, wobei man in der falschen Filterblase gefangen ist und völlig falsche Empfehlungen erhält. In dieser Lage befanden sich bisher viele Entwickler.

Um allen Hardware-Anwendern die Arbeit zu erleichtern, wurde viel Zeit für die Produktanpassung eingeräumt. Unklar blieb jedoch, worauf sich die Anpassung genau beziehen sollte. Ein angemessener Zeitrahmen? Weniger als sechs Monate. Innerhalb dieses Zeitraums müssen laut einer Mitteilung von PTS alle Produkte der betreffenden Kategorie gemäß der Norm EN 18031-1:2024 geprüft und zertifiziert werden. Das Ziel ist zwar hochgesteckt, doch der Zeitrahmen erscheint so realistisch wie der Bau von Stadthäusern auf dem Mond innerhalb von fünf Jahren (basierend auf Anleitungen von YouTube). Und hier kommt das eigentliche Problem ins Spiel: Zeit. Wenn Sie das Ganze ernsthaft angehen wollen und sich nicht sicher sind, sollten Sie ein akkreditiertes Labor hinzuziehen.

Was steht auf dem Spiel?

Die Folgen mangelnder Vorbereitung können teuer sein. Ohne die korrekte CE-Kennzeichnung dürfen Sie Ihre Produkte in der EU nicht verkaufen. Verstöße können zu Bußgeldern und rechtlichen Risiken führen, und ein unsicheres Produkt ist kein gutes Produkt – Kunden vergessen einen Sicherheitsvorfall leider nicht. Wenn Sie mit kritischen Daten arbeiten, wissen Sie das wahrscheinlich bereits. Viele Unternehmen im CCS sind hier bereits einen Schritt voraus. Cybersicherheit steht bei uns schon länger auf der Agenda.

So übernehmen Sie die Kontrolle – und zwar jetzt.

Warten Sie nicht. Analysieren Sie Ihre Produkte und ermitteln Sie, welche von der RED-Richtlinie betroffen sind und wie sicher sie aktuell sind. Sprechen Sie mit dem Hersteller oder erstellen Sie eigene Pläne. Die Beauftragung von Prüflaboren und Zertifizierungsstellen kann Ihnen bei der Produktprüfung und dem Verständnis der Anforderungen helfen – sofern überhaupt jemand Zeit für Ihr Produkt hat. Planen Sie außerdem für unvorhergesehene Ereignisse durch Risikoanalysen und präventive Maßnahmen.

Ich möchte aber auch betonen, dass es bei Cybersicherheitsanforderungen nicht nur um die Einhaltung von Vorschriften geht. Es geht nicht nur um … zeigen Ein Zertifikat im August zu erhalten, ohne die ständige und beschwerliche Reise, um die Kriminellen von der Dose fernzuhalten, die Sie Ihrem Kunden verkaufen. Und leider geht es hier nicht darum, ein paar Anker an den Bug ausländischer Schiffe zu schweißen, sondern um vermintes Gewässer mit viel Grundwasser, GPS-Störungen und ohne eine adäquate Seekarte.