Cybersicherheits-Risikobewertung vor dem Inverkehrbringen durchführen

Vor dem Verkauf eines Produkts ist eine schriftliche Bewertung seiner Sicherheitsrisiken erforderlich. Diese ist keine reine Formsache – die Ergebnisse müssen die Konzeption und Entwicklung des Produkts beeinflussen. Zu dokumentieren sind die betrachteten Bedrohungen, die festgestellten Risiken und die ergriffenen Maßnahmen.

Rechtstext

Artikel 13(2) der Verordnung (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen, unter Berücksichtigung der grundlegenden Cybersicherheitsanforderungen gemäß Anhang I Teil I eine Bewertung der mit dem Produkt verbundenen Cybersicherheitsrisiken durchzuführen.

Diese Bewertung ist in den Phasen Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung des Produkts zu berücksichtigen, um Cybersicherheitsrisiken zu minimieren, Sicherheitsvorfälle zu verhindern und deren Auswirkungen zu begrenzen.

Wesentliche Anforderungen

Risikobewertung vor der Markteinführung – abzuschließen vor dem Inverkehrbringen des Produkts
Risikobasierte Produktgestaltung – die Ergebnisse müssen in Produktdesignentscheidungen einfließen
Vollständiger Lebenszyklusumfang – umfasst Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung
Dokumentation – die Risikobewertung ist Bestandteil der nach Anhang VII erforderlichen technischen Dokumentation
Verhältnismäßigkeit – der Umfang der Bewertung muss den Risiken angemessen sein

Bezug zu anderen Pflichten

Diese Pflicht ist die Grundlage für die meisten weiteren Pflichten aus Art. 13. Die Risikobewertung bestimmt:

Welche Anforderungen aus Anhang I Teil I gelten und wie sie anzuwenden sind
Die geeignete Konformitätsbewertungsroute (Modul A, B+C oder H)
Den erklärten Unterstützungszeitraum (OBL-ART13-08)
Welche Schwachstellen vor der Distribution zu beheben sind (OBL-ART13-05)

Nachweise, die Sie möglicherweise benötigen

Dokument zur Cybersicherheits-Risikobewertung (STRIDE, TARA oder vergleichbare Methodik)
Bedrohungsmodell mit Angriffsoberflächenanalyse
Risikobewältigungsentscheidungen verknüpft mit Designentscheidungen
Aufzeichnungen, die belegen, dass die Bewertung bei Produktänderungen aktualisiert wurde