Die gute Nachricht ist: Wir haben eine neue Norm zur Bewertung von Cybersecurity-Anforderungen zur Hand. Doch leider wird auch diese Norm keine Konformitätsvermutungswirkung entfalten.
Aber der Reihe nach:
Die derzeit wichtigste Norm für die Bewertung der Cybersecurity von IoT-Endverbrauchergeräten („Internet-of-Things“) ist die ETSI EN 303 645 V2.1.1 (2020-06) (Basisanforderungen). Diese Norm wurde ursprünglich von ETSI entwickelt und wird nun im Rahmen einer gemeinsamen Vereinbarung von ETSI, CEN und CENELEC verwaltet.
Am 22. März 2022 erschien eine „vertikale“ und damit produktspezifische Norm – die ETSI TS 103 848 V1.1.1 (2022-03) – welche sich den oben genannten Basisanforderungen annimmt und auf Home Gateways zuschneidet.
Home Gateways befinden sich nahezu in allen Haushalten mit einen Internetzugang. Dies ist die Schnittstelle nach außen zum Internet Service Provider (ISP) – also dem Anbieter, welcher den Internetzugang bereitstellt. Nach innen sehen wir die Schnittstellen WLAN oder LAN, um unsere Endgeräte mit dem Internet zu verbinden.
Die in diesem Dokument aufgeführten Bestimmungen werden durch eine vorangestellte Bedrohungsanalyse gemäß ETSI TR 103 743 gestützt, welche Angriffe von außen (WAN, ISP) und von innen (LAN) thematisiert. Abweichende Möglichkeiten zur Kompromittierung (z.B. innerhalb der Lieferkette) werden hier nicht adressiert.
Um die hier präsentierten Neuigkeiten in den entsprechenden Kontext zu setzen, reisen wir einige Monate in der Zeit zurück.
RED 2014/53/EU – Grundlegende Anforderungen des Artikels 3, Absatz 3 Buchstabe d, e und f
Am 12. Januar 2022 wurden im Europäischen Amtsblatt (L7:2022) zusätzliche grundlegende Anforderungen für Funkprodukte zur Aktivierung angekündigt, welche ab dem 1. August 2024 verbindlich gelten sollen.
Neben den bereits bekannten grundlegenden Anforderungen zur Gesundheit und Produktsicherheit im Artikel 3 (1) a), zur Elektromagnetischen Verträglichkeit im Artikel 3 (1) b) und dem Funkspektrum im Artikel 3 (2), werden nun drei Unterabsätze des Artikel 3 (3) aktiviert.
Die Unterabsätze mit den Buchstaben d, e und f definieren – kurzgefasst – die schadlose Nutzung des Netzes (d), den Schutz von personenbezogenen Daten sowie der Privatsphäre (e) und den Schutz vor Betrug (f). In der Praxis zeigt sich der letztgenannte Punkt zum Bespiel in der sicheren Übertragung von Geld, monetären Werten oder virtuellen Währungen.
Harmonisierte Normen und die Nennung im Amtsblatt
Für den Marktzugang in die Europäische Union sollen präferiert harmonisierte Europäische Normen (hEN) erstellt werden, welche durch ihre Nennung im Amtsblatt ihre Konformitätsvermutungswirkung entfalten. Die Anwendung einer hEN lässt die Erfüllung einer grundlegenden Anforderung einer Richtlinie (oder Verordnung) vermuten.
Die eingangs vorgestellten ETSI-Normen erfüllen jedoch nicht die Voraussetzungen einer harmonisierten Europäischen Norm (hEN) und werden somit keine Nennung im Amtsblatt finden.
Wir befinden uns derzeit in einer Vorphase der Normenentwicklung. Die Herausforderung besteht darin, Normen zu entwerfen, welche objektive Anforderungen benennen und durch funktionale Tests belegen können. Jede subjektive (unspezifische oder nicht überprüfbare) Anforderung in einer Norm verhindert dessen Nennung im Amtsblatt.
Die Tauglichkeit von Normen wird durch einen bestellten Experten (HAS-Consultant) bewertet. Eine Checkliste von sechs Seiten dient als Grundlage für diese Bewertung, wobei die beschriebene Objektivität von Anforderungen nur einen einzigen Punkt (4.5) auf der Checkliste ausmacht.
Es ist keineswegs sichergestellt, dass die benötigten objektiven und testbaren Anforderungen in naher Zukunft gefunden werden können. Aktuell gibt es zudem noch keine Mandatsvergabe der EU, um eine der genannten Normungsorganisationen (ETSI, CEN oder CENELEC) mit der Entwicklung einer solchen Norm zu beauftragen.
