Digitalisierung nicht nur technisch sehen!

Der ItSMF Deutschland e. V. begrüßt den von der EU-Kommission vorgestellten Entwurf des Cyber Resilience Act (CRA) im Grundsatz, fordert aber Nachschärfungen: 

 „Grundlegende verpflichtende Cybersicherheitsanforderungen für vernetzte Produkte sind längst überfällige und notwendige Schritte. Als Organisation, die Prozesse und Wertströme im Blick hat, ist dem itSMF die Bedeutung sicherer Hardware als technische Basis sehr bewusst. Wir begrüßen daher alle Anstrengungen, hier Transparenz und Verlässlichkeit zu erzeugen, wobei wir dies nur als einen Teil der Wahrheit sehen. Digitalisierung darf nicht nur technisch betrachtet werden, sondern es müssen zunehmend sowohl Prozesse als auch nicht technische Regelungen berücksichtigt werden.“ So der stellvertretende Vorsitzende des itSMF C. Huschens im Namen des Vorstandes. 

Der Vorstand des itSMF schließt sich der Forderung von Verbänden wie TÜV und Bitcom nach wirksamen Kontrollen an:  

„Der Cyber Resilience Act muss auch wirksame Instrumente schaffen, mit denen die Einhaltung dieser Vorgaben verlässlich überprüft werden kann. Eine reine Herstellererklärung (nach Anhang III, Klasse 1) ist aus Sicht des Service Managements auf keinen Fall ausreichend. Eine verlässliche und unabhängige Prüfung nach offen gelegten Kriterien liefert die Informationen, mit denen die Sicherheit des gesamten Prozesses sichergestellt werden kann. Die Bemühungen um langfristige Nutzung der Hardware muss mit einem verlängerten Zeitraum von mindestens 5 Jahren, besser 7 Jahren unterstützt werden, für den Sicherheitsupdates bereitgestellt werden müssen. 

Wir bewerten es als positiv, dass ein gesamter Lebenszyklus des Produktes im Blick der europaweiten Regelungen ist, allerdings sehen wir weiterhin die Verkürzung auf technische Aspekte sehr kritisch. Services werden nicht durch Technik allein erbracht, sondern im Zusammenspiel von Menschen, Prozessen und Organisationen. Hier ist eine offene Flanke für Cyberangriffe, die in der Politik und den beratenden Gremien zu wenig Beachtung findet.“ 

Mit dem Gesetzesentwurf werden sich nun die EU-Mitgliedsstaaten und das Europaparlament befassen. Der ItSMF Deutschland e. V. wird zusammen mit den europäischen Chaptern dieses Thema weiter auf EU-Ebene und in den Mitgliedsstaaten selbst verfolgen. Dabei gilt es auch, die Kohärenz mit bestehenden Rechtsvorschriften zu gewährleisten.