EU-Kommission, EU-Parlament und der Rat der Europäischen Union haben sich vorläufig über den Cyber Resilience Act (CRA) geeinigt. Der TÜV-Verband begrüßt die Einigung, wünscht sich aber ein ambitionierteres Regelwerk: "Es ist richtig und wichtig, endlich verpflichtende Vorgaben für die Cybersicherheit vernetzter Produkte in der EU einzuführen", sagt Johannes Kröhnert, Leiter des Brüsseler Büros. "Vorrangiges Ziel des EU-Gesetzgebers muss es sein, dass nur nachweislich cybersichere Produkte auf den Markt kommen, um das Vertrauen der Menschen in vernetzte Produkte zu stärken. Dazu bedarf es aber auch robuster und verlässlicher Überprüfungsmechanismen. Hier hat der EU-Gesetzgeber eine große Chance verpasst."

Kritisch bewertet der TÜV-Verband, dass die EU-Mitgliedsstaaten und das EU-Parlament die Liste der kritischen Produkte, für die eine unabhängige Konformitätsbewertung erforderlich ist, massiv auf nur noch vier Produktkategorien gekürzt haben. So sollen zum Beispiel Betriebssysteme für Server, Desktops und Mobilgeräte, Router oder Chipkartenleser künftig mit einer reinen Herstellerselbsterklärung auf den Markt kommen. Das ist angesichts der hohen Gefährdungslage und des zu erfüllenden Schutzauftrages des Gesetzgebers nicht nachvollziehbar und unangemessen. Positiv sei hingegen, dass nun auch internetfähige Spielzeuge und persönliche Wearables in die Liste der kritischen Produkte aufgenommen wurden.

TÜV-Verband e. V.
www.tuev-verband.de