Ein Erklärungsversuch von Heinz Wraneschitz

Alle zwei Jahre besucht unser Autor die Heimat der IT-Sicherheit: „Home of IT-Security“ lautet nämlich der Untertitel der Fachmesse IT-SA in Nürnberg. Dort schaut er sich immer nach Themen um, die gerade in die Erneuerbare-Energiewirtschaft hineinspielen. Diesmal hat er eines gefunden, das zumindest in den DGS-News noch nie behandelt worden ist: der/die/das CRA.

CRO – ja, den Rapper mit der komischen Maske kennen in Deutschland jede Menge Musikfans seit Langem: ist ja auch ganz Easy. Aber CRA? Wie viele Normalmenschen haben von diesem EU-„Cyber Resilience Act“ jemals etwas gehört? Jedenfalls lautet die ausgeschriebene Langfassung des Kürzels CRA so. Oder wie es Wikipedia formuliert: die „Verordnung der Europäischen Union, mit der die Regeln zur Cybersicherheit von Produkten mit digitalen Elementen EU-weit vereinheitlicht werden“. Es geht der EU mit dieser Verordnung im Wesentlichen darum, Datenflüsse in falsche Hände – oder besser: in falsche Clouds – zu unterbinden. So sollen Manipulationen weniger leicht möglich sein.

Schade eigentlich, dass CRA nicht bereits in unser aller Munde und Hirnen ist. Denn es ist beileibe zu kurz gegriffen, was ein Softwarehersteller auf seiner Homepage verkündet. Ja, dieses Unternehmen und seine Mitbewerber müssen natürlich und sehr wohl einiges „bis Ende 2027 erledigt haben“. Aber genauso wichtig und hilfreich wäre, dass die eine oder der andere Normalo selbst auch mal beim Bundesamt für Sicherheit der Informationstechnik, kurz BSI, online vorbeischauen würde. Denn dort fände jede:r tatsächlich den Hinweis, der CRA betreffe „Verbraucherinnen und Verbraucher insofern, dass er für viele Produkte gilt, die wir im Alltag nutzen: Dazu zählen etwa Smartphones, Laptops und Smarthome-Geräte, z. B. Waschmaschinen mit App-Steuerung“. Sprich: Wir Verbraucher:innen sind alle irgendwie mit CRA genauso gemeint.

Hart- und Weichteile – alles ist CRA-betroffen

Jeder und jedem müsste demnach klar sein: Es geht nicht nur um Soft-, sondern ausdrücklich auch um Hardware. Und auch wenn das BSI Photovoltaikanlagen nicht eigens aufführt: Mit ein bisschen gutem Willen lassen sich die unter „Smarthome“ einordnen. Was bedeutet: Das PV-Kraftwerk auf dem Dach, ob mit oder ohne Batterie im Keller, ist vom CRA gemeint, aber eben auch das noch so kleine Balkonkraftwerk.

„Der CRA gilt auch für alle digitalen Komponenten, die mit dem Internet verbunden werden können“, ist am Messestand der TÜVIT, der zum TÜV Nord gehörenden TÜV Informationstechnik GmbH aus Essen zu erfahren. „Selbst der Ball im Fußball-DFB-Pokalfinale zählt dazu“, der ja – was womöglich nicht alle wissen – inzwischen einen Chip im Bauch hatte, welcher über digitale Kanäle dem Schiri signalisierte, ob er schon hinter der Torlinie war oder nicht.

Der Dienstleister TÜVIT beschäftigt sich nach eigenen Angaben seit über 30 Jahren mit der „Gestaltung von sicherer Informationstechnologie“. Deshalb weiß man dort von Ausnahmen; derer gibt es aber nur wenige, vor allem Medizin- und Verkehrsprodukte. PV-Wechselrichter dagegen, die meist über Router im Gebäude mit dem Internet verbunden sind, um Daten mit dem Hersteller auszutauschen, der wiederum den Nutzenden oder der Allgemeinheit schöne (?) Auswertebildchen liefert, sind vom CRA betroffen. Oder wie es der „Solarliebhaber“ online formuliert: „Der Wechselrichter hängt im WLAN und ist damit im Rechtssinn ein vernetztes Produkt.“

Fragezeichen fast allerorten

Doch wer aktuell bei Herstellern nachfragt, ob deren internetfähige Solarkomponenten den EU-Act erfüllen, wird wohl großteils ein klares „Nein“ als Antwort bekommen. Denn obwohl CRA als Nummer (EU) 2024/2847 des Europäischen Parlaments und des Rates bereits am 23. Oktober 2024 als Verordnung erlassen wurde, soll der EU-Act erst Ende 2027 scharfgeschaltet werden. Dieser Termin steht seit Sommer 2026 fest – da hat Deutschlands Parlament das CRA-Durchführungsgesetz beschlossen.

Der darin festgelegte Start der Meldepflicht für Schwachstellen liegt bereits hinter uns: Der war am 11. September 2026. Was zu den einzelnen Produkten genau zu melden wäre, steht in CRA-Artikel 14 in immerhin zehn Unterpunkten. Auch welche Sicherheitsanforderungen die EU festgelegt hat, ist seit 2024 im Anhang I nachzulesen.

Kaum eine:r weiß, was CRA wirklich verlangt

Doch bislang seien die zum deutschen Gesetz notwendigen „Spezifikationen noch nicht da“, heißt es am TÜVIT-Stand – und: „Alle Hersteller sind völlig überfordert.“ Wohl auch, weil bis Ende 2027 so viel Zeit nicht mehr ist. Hilfe könnten die Hersteller von Hard- und Software bei Dienstleistern bekommen, von denen wiederum einige auf der IT-SA mit Ständen vertreten waren.

Die Firma Think Ahead Technologies GmbH aus Stuttgart beispielsweise hat sogar eine eigene Plattform namens Kunnus entwickelt. Mit deren Tools können die Firmen ihre eigenen Produkte selbst CRA-fertig machen. Grundlage dafür sind die Vorgaben aus der EU-Verordnung selbst, auch ohne deutsche Spezifikationen. Um die Tools auf die Produkte anzuwenden, bräuchten die betroffenen Firmen nicht einmal eine Vollzeitkraft, meint Maximilian Heck. Denn er weiß: „Keiner hat Zeit für den EU Cyber Resilience Act. Doch die Frage ist nicht mehr ob, sondern wie schnell“ die Vorgaben umgesetzt werden.

Nur noch gut ein Jahr Zeit …

Ganz konkret hört man am TÜVIT-Stand: „Spätestens am 17. Dezember 2027 müssen die Firmen die Bestätigungen liefern, dass sie CRA erfüllen.“ Dann beginnt nämlich die volle CRA-Durchsetzung. „Übrigens auch für chinesische Hersteller. Wir sind gespannt“, so ein TÜV-Mann grinsend. Denn – auch das hängt direkt zusammen: Ohne Einhaltung von CRA gibt es künftig kein CE-Kennzeichen mehr.

Bestandsschutz – Gott sei Dank

Immerhin steht aber bereits jetzt für Betreiber von PV-Anlagen fest: Die CRA-Regeln gelten nur für neue Produkte und Systeme, deren Übergang vom Produzenten zum Händler oder Endkunden nach Inkrafttreten der Fristen stattfindet. Die „Laufenden“ sind nicht betroffen. Und nicht Nutzende, sondern Liefernde sind in der CRA-Nachweispflicht. 

Kommentar

Ach ja: Während ich an Ministänden von TÜVIT, Think Ahead und anderen auf der IT-SA ausführlich informiert wurde, bekam ich am riesigen BSI-Stand von den dort gefühlt 100 herumwuselnden Mitarbeitenden keine Auskunft zur Frage: „Was müssen Betreiber:innen von Gebäude-PV-Anlagen IT-sicherheitstechnisch beachten?“ Ich versprach den Angesprochenen deshalb, dies in meinem Beitrag für die DGS-News ausdrücklich zu erwähnen. Denn laut Standbedruckung war „Verbraucherinformation“ versprochen worden – aber „da sind keine Mitarbeiter:innen hier“, wie es mehrfach hieß.