RED DA und EN 18031 ...

[kdw]

Hallo Forum.

"RED DA" steht für "Radio Equipment Directive Delegated Act 2022/30" [1]. Es ist eine Erweiterung der EU-Funkanlagenrichtlinie (RED) 2014/53/EU, die ab dem 1. August 2025 verbindliche Cybersicherheitsanforderungen für drahtlose Geräte, die auf dem EU-Markt verkauft werden, einführt. Sie gilt somit auch für ein RMG/941CL bzw. RMG/941CN.

Diese Verordnung zielt darauf ab, die Sicherheit von Geräten zu verbessern, die mit dem Internet verbunden sind, und die Anwender vor potenziellen Risiken zu schützen, die mit der Nutzung solcher Geräte verbunden sind.

Genauer gesagt, bezieht sich RED DA auf Artikel 3.3 der RED-Richtlinie und aktiviert die Absätze (d), (e) und (f), welche die folgenden Aspekte der Cybersicherheit betreffen:

• Artikel 3.3(d): Verhindert, dass Funkanlagen Netzwerke beschädigen, Netzwerkressourcen missbrauchen oder die Dienstqualität beeinträchtigen. Die Umsetzungsdetails sind in der EN 18031-1 zu finden.

• Artikel 3.3(e): Stellt sicher, dass personenbezogene Daten und die Privatsphäre geschützt werden. Die jeweiligen Umsetzungsdetails sind in der EN 18031-2 zu finden.

• Artikel 3.3(f): Verhindert finanzielle Schäden, die durch Betrug im Zusammenhang mit Funkanlagen entstehen können. Die erforderlichen Umsetzungsdetails sind in der EN 18031-3 zu finden.

Für Hersteller bedeutet dies, dass sie ihre Produkte so gestalten müssen, dass sie diese Anforderungen erfüllen, um sie ab dem 1. August 2025 legal auf dem EU-Markt anbieten zu können. Dazu gehören in der Regel umfassende Sicherheitsbewertungen und Konformitätsprüfungen, um sicherzustellen, dass die Geräte den neuen Vorschriften entsprechen.

Zusammenfassend lässt sich sagen, dass der RED DA ein wichtiger Schritt ist, um die Cybersicherheit von drahtlosen Geräten zu erhöhen und das Vertrauen der Anwender in diese Geräte zu stärken.

VG KDW

Siehe [1]: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022R0030

[kdw]

Hallo Forum.

Wir haben inzwischen einige E-Mails zum Thema mit der Frage erhalten, ob auch bestimmte bestehende RMG/941CL-Anwendungen von den Änderungen in der Funkanlagenrichtlinie (Radio Equipment Directive) betroffen sind und ob sich dadurch irgendwelche Veränderungen ergeben.

Leider ist das gesamte Thema aus unserer Sicht hochkomplex, so dass eine „halbwegs“ klare Antwort im Moment leider noch nicht möglich ist. Wirklich klar ist nur, dass Sie als Benutzer eines RMG/941CL eine Funkanlage im Sinne der EU-Richtlinie 2014/53/EU betreiben und wir Ihnen diese Funkanlage geliefert haben. Insofern gelten auf jeden Fall die gesetzlichen Vorgaben für Betreiber und Anbieter.

Wir beschäftigen uns im Moment nach wie vor mit der Aussage „(11) Daher ist es wichtig, dass mit dem Internet verbundene Funkanlagen, die auf dem Unionsmarkt in Verkehr gebracht werden …“ in der EU-Verordnung 2022/30 [1] und der damit verbundenen Fragestellung, ob mit dieser Formulierung auch Funkanlagen gemeint sind, die wir vor dem 1. August 2025 an Kunden ausgeliefert haben. Das Ziel ist, zu dieser Verordnung einen Rechtsstandpunkt zu beziehen, um unseren operativen Alltag entsprechend zu strukturieren und unsere Kunden informieren zu können (im Idealfall ist das RMG/941CL nicht betroffen, weil es schon seit 2019 im EU-Rechtsraum ausgeliefert und eingesetzt wird).

Würde man einen Juristen fragen, wie das „in Verkehr bringen“ zu verstehen ist, erhält man vermutlich zunächst einmal die Rückfrage „Nach welchem Gesetz soll ich die Frage beantworten?“ als Antwort. In Deutschland steht da schon eine größere Auswahl zur Verfügung. Als Hersteller würde ich mich hier kontextbezogen zwischen dem Produktsicherheitsgesetz (ProdSG) oder dem Produkthaftungsgesetz (ProdHaftG) entscheiden. Nach ProdSG bedeutet „in Verkehr bringen“ sinngemäß „die erstmalige Bereitstellung eines Produkts auf dem Markt“. Nach dem ProdHaftG reicht es hingegen schon aus, dass „der Herstellungsprozess des Produkts nach dem Willen des Herstellers abgeschlossen ist“. Bezogen auf die RED DA bedeutet das m. E. in beiden Fällen, das Produkte, die es schon vor dem 1. August 2025 gab, nicht von den neuen Regeln betroffen sind. Falls wir beim ProdSG bleiben (es geht ja in der RED DA um das Thema „Produktsicherheit“), sind lediglich alle Produkte nicht betroffen, die bereits vor dem Stichtag auf dem jeweiligen Markt angeboten wurden. Evtl. kommt es irgendwann in der Zukunft mal zu einem rechtskräftigen Urteil zu dieser Fragstellung, das dann die notwendige Klarheit schafft.

VG KDW

Siehe [1]: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022R0030

[kdw]

Hallo Forum.

Im Umfeld der Automatisierungstechnik wird es einige „Gründe der Interoperabilität“ geben, um auf bewährte Verfahrensweisen zum Schutz der Integrität und Authentizität der kommunizierten Security Asset und Network Asset verzichten zu müssen. Ein Beispiel wäre die CAN-Verbindung eines Gateways, das gleichzeitig aber auch per Mobilfunk mit dem Internet verbunden ist.

Für eine RMG/941CL-Internetverbindung werden beispielsweise alle gängigen Sicherheitsverfahren, wie TLS mit AES-256-GCM, X.509-Zertifikate mit Server- und Client-Authentifizierung (mTLS) usw. eingesetzt, um Vertraulichkeit, Authentizität und Integrität zu gewährleisten.

Für die CAN-Verbindung wird hingegen auf jegliche Sicherheitsfunktionen verzichtet und eine Sensordatenabfrage gemäß den CAN-Spezifikationen mehr oder weniger "im Klartext" übertragen.

Der Secure Communication Mechanism (SCM) der EN 18031-1 toleriert unsichere Protokolle, wie z. B. Modbus. Im Entscheidungsbaum zu SCM-2 findet man in der Abfrage DT.SCM-2.DN-2 für solche Protokolle den Ausgang NICHT ANWENDBAR. Ist eine „bewährte Verfahrensweise zum Schutz von Integrität und Authentizität als Interoperabilitätsgründen nicht anwendbar“, lässt sich hier der Ja-Ausgang nutzen.

Im Text der EN18031-1 findet man zu SCM-2 des Weiteren die folgende Textpassage: „Eine Abweichung von der bewährten Verfahrensweise ist nur aus Gründen der Interoperabilität im Rahmen der vorgesehenen Anlagenfunktionalität möglich. In diesem Fall müssen kompensierende logische oder physische Maßnahmen erwogen werden, um eine vergleichbare Sicherheitsstufe sicherzustellen.“

Mit anderen Worten: Man kann auf die Funktionen zur Vertraulichkeit, Authentizität und Integrität einer Kommunikationsverbindung verzichten, wenn dadurch die Interoperabilität verloren geht. Als „kompensierender Ausgleich“ könnte man darauf hinweisen, dass die CAN-Verbindung lokal in einem geschlossenen und gesicherten Schaltschrank betrieben wird, den nur bestimmte Personen öffnen können, ohne einen Alarm auszulösen.

VG KDW