SubmittedText

Die Europäische Union hat Ende 2022 das Gesetz über Cyberresilienz (Cyber Resilience Act) verabschiedet, mit dem die Regeln für die Cybersicherheit verschärft werden, um eine höhere Sicherheit von Hardware- und Softwareprodukten zu gewährleisten. Das Gesetz wird vermutlich im ersten Quartal 2026 in Kraft treten.

Die Schweiz verschliesst sich bekanntlich europäischen Gesetzesentwicklungen nicht. Die OMAC (Organization for Machine Automation and Control), der mehrere grosse Schweizer Unternehmen angehören, hat beispielsweise eine Arbeitsgruppe damit beauftragt, einen praktischen Leitfaden zu erstellen, damit Führungskräfte, Informatikinnerinnen und Informatiker sowie Ingenieurinnen und Ingenieure verstehen, welche Massnahmen sie ergreifen müssen, um dem «Cyber Resilience Act» zu entsprechen. Diese Regeln werden sich wahrscheinlich auf die Schweizer Maschinenindustrie, eine Exportindustrie, auswirken.

Viele Exportindustrien sind von der EU-Gesetzgebung betroffen. Antizipiert der Bundesrat die Auswirkungen der Verabschiedung des «Cyber Resilience Act»? Ist der Bundesrat der Ansicht, dass die Bildungsgänge ausreichend auf die Herausforderungen dieser EU-Gesetzgebung vorbereitet sind, um dem Markt die erforderlichen Fachkräfte zur Verfügung zu stellen?

FederalCouncilResponseText

Der Bundesrat hat die Bedeutung der «Verordnung über horizontale Cyber-sicherheitsanforderungen für Produkte mit digitalen Elementen» – bekannt als «Cyber Resilience Act» – erkannt und beobachtet deren Entwicklung aufmerksam. Eine interdepartementale Koordinationsgruppe führt ein regelmässiges Monitoring zur EU-Digitalpolitik durch und beleuchtet deren mögliche Auswirkungen auf die Schweiz. Der jüngste Bericht der Arbeitsgruppe vom 15. März deckt auch den Cyber Resilience Act ab. Die von der EU-Kommission vorgeschlagene Verordnung hat die erste Lesung im Rat der EU durchlaufen und ist zur ersten Lesung im Europäischen Parlament vorgesehen. Sie verlangt von Herstellern von Produkten mit digitalen Komponenten, die Cybersicherheit bereits beim Herstellungsprozess sowie über den gesamten Lebenszyklus des Produktes zu gewährleisten. Sie macht deutlich, dass die EU-Kommission gewillt ist, die Grundsätze der Produktehaftung auf die Cybersicherheit zu übertragen.

Der Rechtsakt unterscheidet zwischen kritischen und nicht-kritischen Produkten. Die grosse Mehrheit der Produkte im Konsumgüterbereich gilt als nicht-kritisch. Für sie reicht zur Beurteilung der Sicherheit eine Selbsteinschätzung der Hersteller. Bei kritischen Produkten wird eine Bewertung durch Dritte verlangt. Zudem müssen Hersteller solcher Produkte die Bedrohungslage verfolgen, allfällige Schwachstellen melden und nötigenfalls Sicherheitsupdates zur Verfügung stellen. Als kritische Produkte werden beispielsweise Browser, Passwort-Manager, Firewalls für den industriellen Einsatz, Router, Chipkarten und Chipkartenleser genannt.

Da die EU der wichtigste Absatzmarkt für viele Industrien der Schweiz ist, wird der Rechtsakt Auswirkungen auf die Schweiz haben. Exporteure von als kritisch eingestuften Produkten müssen künftig nachweisen können, dass die verwendeten digitalen Komponenten die Sicherheitsnormen erfüllen, und Konformitätsbewertungen vorlegen können.

Der Cyber Resilience Act wird somit – wenn er vom EU-Parlament und vom EU-Rat beschlossen wird – zu einem erheblichen Aufwand bei den Unternehmen führen. Viele dieser Unternehmen sind jedoch bereits in stark regulierten Bereichen tätig und haben Erfahrung im Umgang mit rechtlichen Anforderungen verschiedener Märkte.

Da der Cyber Resilience Act als Grundlage den Delegierten Rechtsakt der Funkrichtlinie 2014/53/EU übernehmen wird, kennt die Industrie zudem mindestens im Bereich der Funkanlagen (z.B. WiFi, IoT (Funk-) Geräte) das System bereits.

Dem Bundesrat ist bewusst, dass in der Cybersicherheit ein Fachkräftemangel besteht. Da der Cyber Resilience Act noch nicht verabschiedet ist und die anwendbaren Normen noch nicht bekannt sind, muss die Entwicklung des Cyber Resilience Acts verfolgt werden, um sehen zu können, welche Kenntnisse für dessen Umsetzung benötigt werden. Insgesamt schätzt der Bundesrat aber das Bildungssystem der Schweiz für genügend flexibel ein, um auf zusätzlichen Ausbildungsbedarf reagieren zu können.