05.02.2025 – IT-Sicherheitstag Bayern
Beim IT-Sicherheitstag Bayern 2025 präsentierte CDPS-Direktor Prof. Dr. Dirk Heckmann zentrale rechtliche Entwicklungen im Bereich der Cybersicherheit. Unter dem Titel „Der Cyber Resilience Act aus Nutzerperspektive: IT-Sicherheit bei der Beschaffung vernetzter Produkte“ widmete sich sein Vortrag insbesondere den Auswirkungen des EU Cyber Resilience Acts (CRA).
IT-Sicherheitsrecht im Wandel
Prof. Heckmann verortete das IT-Sicherheitsrecht als eine „Querschnittsmaterie“, die bislang wissenschaftlich wenig durchdrungen sei, aber seit 2020 – insbesondere durch europäische Initiativen – an Dynamik gewonnen habe. Der CRA ist dabei ein zentraler Baustein dieses sich formierenden Rechtsgebiets. Der CRA stellt eine produktbezogene Regulierung dar, die alle Software- und Hardwareprodukte mit digitalen Elementen betrifft – einschließlich separater Komponenten. Ab September 2026 gelten erste Meldepflichten für Hersteller, ab Dezember 2027 wird die volle Anwendbarkeit erwartet. Hersteller sind künftig verpflichtet, ein angemessenes Cybersicherheitsniveau nach dem Prinzip „Security by Design“ zu gewährleisten, Produkte kontinuierlich zu überwachen und Schwachstellen durch Updates zu adressieren. Hinzu kommen umfangreiche Melde-, Informations- und Dokumentationspflichten.
Was geht das die Nutzer an? – CRA aus Nutzersicht
Zwar adressiert der CRA formal vor allem Hersteller, dennoch sind die Auswirkungen auf Nutzer erheblich: Die Sicherheitsanforderungen werden zur Marktzulassungsvoraussetzung – Produkte werden damit sicherer und langlebiger. Zudem beeinflusst der CRA bestehende haftungsrechtliche Regelungen, etwa durch die neue Produkthaftungsrichtlinie und Anpassungen im digitalen Schuldrecht (§§ 327 ff. BGB).
Cybersicherheit in der öffentlichen Beschaffung
Ein weiteres wichtiges Thema war die Rolle des CRA im Vergaberecht. Prof. Heckmann hob hervor, dass produktsicherheitsrechtliche Anforderungen und Aspekte der IT-Sicherheit bislang rechtlich zersplittert geregelt seien. Der CRA bringe hier Struktur und eröffne neue Möglichkeiten, IT-sichere Produkte im Vergabeprozess systematisch zu berücksichtigen – eine Entwicklung hin zu einem neuen Standard: „Ohne ausreichend Cybersicherheit – keine Marktteilnahme.“
Fazit
Prof. Heckmanns Vortrag verdeutlichte, dass der CRA weit über technische Mindeststandards hinausreicht. Er etabliert Cybersicherheit als integralen Bestandteil des Produktsicherheitsrechts, verändert das Haftungsrecht und erleichtert eine sicherheitsorientierte öffentliche Beschaffung. Dennoch bleibt klar: Produktsicherheit ist notwendig, aber allein nicht hinreichend – Sicherheitskultur, Rechtsklarheit und Umsetzungspraxis müssen mitwachsen.