Modul H nach dem CRA: BSI TR-03183-H baut die umfassende Qualitätssicherung auf ISO/IEC 27001 auf

Zwei Wege, eine notifizierte Stelle einzubinden

Für Produkte, die eine Konformitätsbewertung durch Dritte brauchen, bietet der Cyber Resilience Act Verfahren, die auf Verschiedenes schauen. Bei Modul B+C prüft eine notifizierte Stelle den Produkttyp (EU-Baumusterprüfung), und der Hersteller stellt die Konformität mit diesem Baumuster sicher. Bei Modul H (Anhang VIII, umfassende Qualitätssicherung) genehmigt und auditiert die notifizierte Stelle das Qualitätssicherungssystem des Herstellers für Entwurf, Entwicklung, Endabnahme und Prüfung sowie die Schwachstellenbehandlung im Unterstützungszeitraum.

Was die TR-03183-H leistet

Die BSI-Richtlinie beschreibt einen Weg, die Konformität über Modul H mit einem Informationssicherheitsmanagementsystem nach ISO/IEC 27001 nachzuweisen. Sie ist keine neue Managementsystemnorm. Sie:

• verfeinert und ergänzt die Anforderungen der ISO/IEC 27001 (die Abschnitte 4 bis 10 gelten unverändert, wo sie nichts sagt), etwa zu interessierten Parteien – dem Hersteller und den von den Cyberrisiken des Produkts betroffenen Dritten –, Geltungsbereich, Risikobeurteilung und -behandlung, Planung von Änderungen und dokumentierter Information;
• gibt CRA-spezifische Hinweise zu Maßnahmen der ISO/IEC 27002 wie Bedrohungsintelligenz, technischen Schwachstellen, dem sicheren Entwicklungslebenszyklus, Sicherheitstests und Änderungsmanagement;
• ergänzt Elemente der ISO 9001 zum Qualitätsmanagement, wo Modul H sie braucht, denn ein QMS allein rechnet nicht damit, ein Produkt nach dem Inverkehrbringen zu ändern, und ein ISMS allein deckt die Qualitätssicherung des Produkts nicht ab.

Das ISMS umfasst beide Geschäftsleistungen: das Inverkehrbringen von Produkten mit digitalen Elementen und die Bereitstellung der zugehörigen Datenfernverarbeitung. Updates und andere Maßnahmen aus der Schwachstellenbehandlung gelten als Änderungen und laufen durch den Prozess für Entwurf, Entwicklung und Herstellung.

Normen im Qualitätssicherungssystem

Die Richtlinie nennt harmonisierte Normen und gemeinsame Spezifikationen mit Konformitätsvermutung „Konformitätsspezifikationen“. Mit ihnen werden die grundlegenden Anforderungen ausgelegt, umgesetzt und bewertet; eine Abweichung braucht eine Begründung aus Risiken, Zweckbestimmung, Einsatzbedingungen und erwarteter Nutzungsdauer. Fehlt eine solche Spezifikation, gelten Branchennormen und bewährte Praxis. Die TR-03183-1 ist ausdrücklich keine Konformitätsspezifikation; sie kann als Leitfaden ohne Konformitätsanspruch dienen.

Vorteile und Risiken

Weil das Zertifikat das Qualitätssicherungssystem abdeckt, kann eine Genehmigung eine ganze Produktkategorie und häufige Updates abdecken, ohne jedes Mal eine neue Baumusterprüfung; die Zertifizierung läuft typischerweise in Dreijahreszyklen mit jährlichen Überwachungsaudits. Das Risiko ist die Kehrseite: Geht das Zertifikat verloren, steht die Konformität alles darunter Hergestellten in Frage, und ohne gültiges Zertifikat hergestellte Produkte können sie in der Regel nicht zurückerlangen. Änderungen am Qualitätssicherungssystem müssen der notifizierten Stelle gemeldet werden und können eine Neubewertung auslösen.

Unter dem CRA kein reines Prozesszertifikat

Nach dem CRA umfasst Modul H die Prüfung der technischen Unterlagen für ein Modell jeder Produktkategorie und ein Auditteam mit mindestens einer im Produktbereich erfahrenen Person. Modul B+C wiederum ist mit regelmäßigen Audits der Anforderungen an die Schwachstellenbehandlung verbunden. Die Richtlinie folgert, dass sich beide unter dem CRA weniger unterscheiden als in anderen EU-Rechtsakten. Die Wahl eines Moduls ersetzt nie die Erfüllung der grundlegenden Anforderungen.