Unter dem CRA sind die Interessen von Nutzern und Dritten Vermögenswerte, also Assets

Unter dem CRA sind die Interessen von Nutzern und Dritten Vermögenswerte, also Assets. Das ist eine neue Sicht, die es unter ISO 27001 bislang nicht gab.

Seit einiger Zeit beschäftige ich mich mit dem Cyber Resilience Act und seinen neuen Anforderungen. In meinem letzten Beitrag war ich dabei schon beim Assetbegriff angelangt.

Auch unter DORA diskutieren wir schon lange und immer wieder über das Asset Management. Orientierung bietet uns dabei in der Regel die ISO 27001. Sie stellt das Unternehmen in den Mittelpunkt und fragt, welche schützenswerten Assets es gibt.

Die Taxonomie dazu liefert die ISO 27005: Geschäftsprozesse und Informationen sind die primären schützenswerten Güter des Unternehmens, davon leiten sich die unterstützenden Assets ab, auf die sie sich stützen, beispielsweise IKT und Infrastruktur.

Beim CRA ist das anders. Er stellt das Produkt in den Vordergrund und spricht trotzdem von Assets. Das verlangt eine neue Taxonomie, was Assets eines Produkts überhaupt sein können.

Erste Ideen dazu stecken bereits in der Technischen Richtlinie TR-03183-1 des BSI und im Normentwurf prEN 40000-1-2. Beides habe ich mir angeschaut und versucht, es auf unsere bisherige „Gedankenwelt“ zu übertragen.

Wer mir hier schon länger folgt, weiß, ich bin eine Verfechterin davon, Dinge nicht neu zu erfinden, sondern bewährte Ansätze zu recyceln. Um Ordnung hineinzubringen, würde ich deshalb die grundlegende Einteilung der ISO 27005 in primäre und unterstützende Assets übernehmen und um eine dritte Klasse ergänzen:

• Primäre Assets sind die Daten- und Funktionswerte des Produkts. Die Datenwerte entsprechen fast 1:1 den Informationen eines Unternehmens, die Funktionswerte den Geschäftsprozessen.
• Unterstützende IKT-Assets bleiben, was wir aus der ISO 27005 kennen: Software, Hardware, Schnittstellen, Netzwerkkomponenten, physische Infrastruktur und IKT-Dienste.
• Schutzwürdige Interessen kommen als dritte Klasse neu hinzu: die Interessen der Nutzer und Dritter. Motiviert sind sie schon im CRA, der die Folgen von Sicherheitsvorfällen „auch in Bezug auf die Gesundheit und Sicherheit der Nutzer“ gering halten will (Art. 13 Abs. 2). Der Normentwurf zählt sie zu den Vermögenswerten.

Wie die Klassen im Einzelnen aussehen zeige ich im Karussell. Für mich ist diese Taxonomie der erste Baustein einer Methode zur Risikobeurteilung nach dem CRA, weitere werden natürlich folgen 😅

Ich bin gespannt auf eure Meinungen, lasst sie mir gerne in den Kommentaren da!