Mit dem Cyber Resilience Act (CRA) der EU wird die Cybersicherheit von Konsument/innen und Unternehmen verbessert, indem die Cybersicherheitsstandards f\u00fcr Produkte, die eine digitale Komponente enthalten, verbessert und Hersteller und H\u00e4ndler verpflichtet werden, die Cybersicherheit w\u00e4hrend des gesamten Lebenszyklus ihrer Produkte zu gew\u00e4hrleisten. Viele Produkte mit digitalen Komponenten sind heute nicht sicher genug und erhalten oft keine schnellen Sicherheitsupdates. Zudem haben es K\u00e4ufer/innen derzeit schwer, herauszufinden, welche Produkte wirklich sicher sind und wie sie diese richtig einrichten. Der CRA hilft sicherzustellen, dass die Cybersicherheit bereits ab der Herstellung ber\u00fccksichtigt werden muss.
In seiner Antwort auf die Interpellation 23.3719 erkl\u00e4rte der Bundesrat, dass er die Entwicklung des CRA in der EU verfolge, aber vor dessen Inkraftsetzung noch keine Erkenntnisse f\u00fcr die Schweiz abgeleitet werden k\u00f6nnten. Der CRA trat 10. Dezember 2024 trat in Kraft. Die wichtigsten durch das Gesetz eingef\u00fchrten Verpflichtungen gelten ab dem 11. Dezember 2027.
In diesem Zusammenhang bitte ich den Bundesrat um die Beantwortung folgender Fragen:
1. Das wichtigste Ziel der Verordnung (EU) 2024/2847 \u00fcber horizontale Cybersicherheitsanforderungen f\u00fcr Produkte mit digitalen Elementen (\u00abCyber Resilience Act\u00bb, CRA) ist die Verbesserung der Cybersicherheit von Produkten mit digitalen Elementen und damit eine Reduktion der Anzahl und der Kosten von Cybervorf\u00e4llen, indem die Hersteller w\u00e4hrend der gesamten Lebensdauer ihrer Produkte, oder l\u00e4ngstens w\u00e4hrend f\u00fcnf Jahren, verpflichtet sind, Schwachstellen zu identifizieren, zu beheben und rechtzeitig Sicherheitsaktualisierungen bereitzustellen. Der CRA f\u00fchrt zu einer Harmonisierung der Sicherheitsvorschriften f\u00fcr Produkte mit digitalen Elementen und f\u00f6rdert die Transparenz f\u00fcr Konsumentinnen und Konsumenten. Zudem soll das Gesetz dazu beitragen, die Reputation der europ\u00e4ischen Hersteller von Produkten mit digitalen Elementen auf dem globalen Markt zu f\u00f6rdern, indem europ\u00e4ische Produkte als sicherer gelten als jene der Konkurrenz.
2. Wenn die Schweiz den CRA nicht \u00fcbernimmt, ist nicht unmittelbar mit einer Beeintr\u00e4chtigung der Cybersicherheit zu rechnen. Ein Grossteil der in der Schweiz vertriebenen Produkte werden auch im europ\u00e4ischen Markt verkauft und m\u00fcssen damit die Anforderungen des CRA erf\u00fcllen. F\u00fcr die Cybersicherheit der Schweiz bleibt es aber mittel- bis langfristig wichtig, dass der Vertrieb von Produkten mit ungen\u00fcgender Cybersicherheit unterbunden werden kann. Heute ist dies zum Beispiel bei drahtlosen Ger\u00e4ten mit Internetverbindung (\u00abInternet of Things\u00bb) dank der Verordnung des Bundesamts f\u00fcr Kommunikation \u00fcber Fernmeldeanlagen (VFAV; SR 784.101.21) m\u00f6glich, welche \u00fcber Artikel 7 der Verordnung \u00fcber Fernmeldeanlagen (FAV; SR 784.101.2) auf die Anforderungen der Delegierten Verordnung (EU) 2022/30 zur Erg\u00e4nzung der EU-Funkanlagenrichtlinie 2014/53/EU verweist. Die EU-Kommission beabsichtigt, diesen Rechtsakt bei der Umsetzung des CRA anzupassen oder aufzuheben. Wird dies so umgesetzt, wird die Schweiz sich entscheiden m\u00fcssen, wie die VFAV angepasst werden soll, um sicherzustellen, dass die Cybersicherheit der Schweiz nicht durch den Vertrieb unsicherer Produkte gef\u00e4hrdet wird.
3. Alle Schweizer Unternehmen, die Produkte mit digitalen Elementen in die EU exportieren wollen, werden verpflichtet sein, die Anforderungen des EU-Rechts zu erf\u00fcllen. Beim Import von Schweizer Produkten in die EU m\u00fcssen Importeure ab Dezember 2027 ihre Kontaktdaten auf dem Produkt oder in den beigef\u00fcgten Unterlagen angeben. In der Standardkategorie, d. h. bei ca. 90% der Produkte mit digitalen Elementen (Produkte des Privatkonsums, die mit Netzwerken oder anderen Ger\u00e4ten kommunizieren k\u00f6nnen), m\u00fcssen die Hersteller die Cybersicherheit zus\u00e4tzlich mittels Selbstbewertung beurteilen. Handelt es sich um die ca. 10% der Produkte, welche gem\u00e4ss CRA als \u00abwichtig\u00bb oder \u00abkritisch\u00bb klassifiziert sind, m\u00fcssen sie ihre Produkte von einer EU-Konformit\u00e4tsbewertungsstelle nach EU-Recht pr\u00fcfen lassen. Dies liegt in der Verantwortung der Unternehmen. Eine Unterst\u00fctzung durch den Bund ist nicht geplant.
Im Falle einer gleichwertigen Gesetzgebung in der Schweiz k\u00f6nnten technische Handelshemmnisse wie die Pflicht zur Angabe von Kontaktdaten mittels einer Vereinbarung mit der EU vermieden werden (z. B. durch eine Aktualisierung des Abkommens zwischen der Schweiz und der EU \u00fcber die gegenseitige Anerkennung von Konformit\u00e4tsbewertungen, MRA).
4. Das Parlament hat am 4. September 2024 die Motion 24.3810 \u00abDurchf\u00fchrung dringender notwendiger Cybersicherheitspr\u00fcfungen\u00bb \u00fcberwiesen. Diese beauftragt den Bundesrat, gesetzliche Grundlagen f\u00fcr Cybersicherheitspr\u00fcfungen zu schaffen. Der Bundesrat wird sich im Rahmen dieser Arbeiten auch der Frage zum Umgang der Schweiz mit dem CRA widmen.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1747180800000)\/","SubmittedBy":"Molina Fabian","BusinessStatus":203,"BusinessStatusText":"Stellungnahme zum Vorstoss liegt vor","BusinessStatusDate":"\/Date(1747241181657)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Departement f\u00fcr Verteidigung, Bev\u00f6lkerungsschutz und Sport","ResponsibleDepartmentAbbreviation":"VBS","IsLeadingDepartment":true,"Tags":"9|10|34","Category":null,"Modified":"\/Date(1763089312183)\/","SubmissionDate":"\/Date(1742515200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5207,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Sicherheitspolitik|Europapolitik|Medien und Kommunikation"}}