Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) hat zum Referentenentwurf des Bundesministeriums des Innern und für Heimat für ein nationales Durchführungsgesetz zur EU-Cyberresilienz-Verordnung (CRA) Stellung genommen und sieht deutlichen Nachbesserungsbedarf.

Zwar greife der Entwurf die notwendigen nationalen Regelungen grundsätzlich auf, bleibe jedoch in zentralen Punkten hinter den praktischen und rechtlichen Anforderungen zurück. Besonders kritisch bewertet TeleTrusT die geplante Aufgabenbündelung beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Diese sei nur dann tragfähig, wenn eine verlässliche personelle, technische und organisatorische Ausstattung sichergestellt werde – entsprechende Zusagen fehlten bislang.

Weitere Kritik richtet sich gegen die zu weit gefassten Ausnahmeregelungen bei der Notifizierung von Konformitätsbewertungsstellen ohne Akkreditierung. Hier bestehe die Gefahr, etablierte Qualitätsstandards zu unterlaufen. Auch die vorgesehenen Unterstützungsleistungen für Unternehmen seien bislang zu unkonkret ausgestaltet und würden den Anforderungen der Praxis nicht gerecht.

Unklar bleibt zudem die konkrete Ausgestaltung eines geplanten „Reallabors für Cyberresilienz“. Ohne transparente und nachvollziehbare Rahmenbedingungen drohe dieses Instrument, hinter seinen Möglichkeiten zurückzubleiben.

TeleTrusT fordert daher eine deutliche Nachschärfung des Gesetzentwurfs. Im Fokus stehen eine gesicherte Finanzierung und Ausstattung von BSI und Deutsche Akkreditierungsstelle (DAkkS), klar definierte Kriterien für Ausnahmeregelungen, ein praxisnahes Unterstützungskonzept für Unternehmen sowie verbindliche Regelungen für das Reallabor. Nur so lasse sich die Wirksamkeit der nationalen Umsetzung der CRA nachhaltig gewährleisten.