Britische Regulierung
PSTI: die britischen Sicherheitsregeln für vernetzte Produkte erklärt
PSTI ist die britische Produktsicherheitsregelung für vernetzbare Verbraucherprodukte, festgelegt durch den Product Security and Telecommunications Infrastructure Act 2022 und Verordnungen, die seit dem 29. April 2024 gelten. Hersteller dürfen keine universellen Standardpasswörter verwenden, müssen veröffentlichen, wie Sicherheitsprobleme gemeldet werden, und müssen einen Mindestzeitraum für Sicherheitsaktualisierungen veröffentlichen.
Free-Tarif, keine Kreditkarte erforderlich.
Was ist PSTI?
PSTI steht für den Product Security and Telecommunications Infrastructure Act 2022. Teil 1 des Gesetzes gibt der britischen Regierung die Befugnis, Sicherheitsanforderungen für vernetzbare Produkte festzulegen, und die Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023 legen die ersten drei fest. Die Verordnung ist am 29. April 2024 in Kraft getreten und gilt für England und Wales, Schottland und Nordirland.
Teil 2 des Gesetzes betrifft die Telekommunikationsinfrastruktur, etwa die Rechte von Netzbetreibern zur Installation von Anlagen. Dieser Leitfaden behandelt Teil 1, die Produktsicherheitsregelung, die Hersteller meinen, wenn sie von PSTI-Compliance sprechen.
Welche Produkte sind betroffen?
Die Regelung gilt für relevante vernetzbare Produkte, die Kunden im Vereinigten Königreich bereitgestellt werden, allen voran Verbrauchern. Das Gesetz erfasst zwei Arten von Produkten: internetfähige Produkte, die über die Internet-Protokollfamilie eine Verbindung herstellen, und netzwerkfähige Produkte, die das Internet nicht selbst erreichen, sich aber mit einem Produkt verbinden, das dies tut. Eine smarte Kamera, ein vernetzter Lautsprecher und ein Sensor, der über eine Zentrale angebunden ist, können alle unter die Regelung fallen.
Hersteller außerhalb des Vereinigten Königreichs sind erfasst, wenn ihre Produkte an Kunden im Vereinigten Königreich verkauft werden. Anhang 3 der Verordnung nimmt einige Kategorien aus, weil sie bereits anderweitig geregelt sind:
- Desktop- und Laptop-Computer sowie Tablets ohne Mobilfunkanbindung, außer sie sind ausschließlich für Kinder unter 14 Jahren konzipiert.
- Medizinprodukte, die unter die Medical Devices Regulations 2002 fallen.
- Smart-Meter-Produkte, die von lizenzierten Energieversorgern installiert und nach einem zugelassenen Schema abgesichert werden.
- Ladepunkte für Elektrofahrzeuge, die unter die Electric Vehicles (Smart Charge Points) Regulations 2021 fallen.
- Einige in Nordirland bereitgestellte Produkte, die unter qualifizierende EU-Rechtsvorschriften aus dem Windsor Framework fallen.
Die drei Sicherheitsanforderungen von PSTI
Anhang 1 der Verordnung von 2023 stellt drei Anforderungen an Hersteller. Jede richtet sich gegen eine verbreitete, gut dokumentierte Schwäche von Verbrauchergeräten. Anhang 2 ergänzt einen Weg zur Konformitätsvermutung über bestimmte Bestimmungen von ETSI EN 303 645 und ISO/IEC 29147.
| Anforderung | Was verlangt wird | Konformitätsvermutung |
|---|---|---|
| Keine universellen Standardpasswörter | Passwörter müssen je Produkt eindeutig sein oder vom Nutzer festgelegt werden. Eindeutige Passwörter dürfen keinem inkrementellen Zähler folgen, nicht aus öffentlichen Informationen oder aus Seriennummern ohne anerkannte Kryptografie abgeleitet und nicht leicht zu erraten sein. | ETSI EN 303 645 Bestimmung 5.1-1 und, wo einschlägig, 5.1-2 |
| Informationen zur Meldung von Sicherheitsproblemen | Mindestens eine Kontaktstelle für Meldungen von Sicherheitsproblemen veröffentlichen und angeben, wann die meldende Person eine Bestätigung und bis zur Behebung Statusmeldungen erhält. | ETSI EN 303 645 Bestimmung 5.2-1 oder ISO/IEC 29147 Abschnitte 6.2.2, 6.2.5 und 6.5 |
| Informationen zu Mindestzeiträumen für Sicherheitsaktualisierungen | Den festgelegten Supportzeitraum in klarer Sprache veröffentlichen, die auch Nicht-Techniker verstehen, und bei Verkauf auf der eigenen Website des Herstellers mit gleicher Hervorhebung. Er darf verlängert, aber nicht verkürzt werden. | ETSI EN 303 645 Bestimmung 5.3-13 |
Wer was tun muss
Hersteller müssen die Sicherheitsanforderungen erfüllen, mögliche Verstöße untersuchen und Aufzeichnungen führen. Dem Produkt muss eine Konformitätserklärung (statement of compliance) beiliegen. Importeure und Händler haben eigene Pflichten: Sie müssen prüfen, ob die Konformitätserklärung vorliegt, dürfen keine Produkte mit einem Verstoß liefern und müssen handeln, wenn sie einen feststellen.
Anhang 4 der Verordnung legt den Mindestinhalt der Konformitätserklärung fest:
- Produktart und Charge.
- Name und Anschrift jedes Herstellers und jedes Bevollmächtigten.
- Eine Erklärung, dass sie vom oder im Auftrag des Herstellers erstellt wurde und dass nach Auffassung des Herstellers die Sicherheitsanforderungen oder die Bedingungen der Konformitätsvermutung erfüllt sind.
- Der festgelegte Supportzeitraum zum Zeitpunkt der ersten Bereitstellung des Produkts.
- Name, Funktion und Unterschrift des Unterzeichners sowie Ort und Datum der Ausstellung.
Durchsetzung und Strafen
Das Office for Product Safety and Standards (OPSS) setzt die Regelung im Auftrag des Secretary of State durch. Das Gesetz sieht Compliance-Anordnungen, Stopp-Anordnungen und Rückrufanordnungen sowie die Einziehung nicht konformer Produkte vor.
Eine Geldstrafe kann bis zum höheren Betrag aus £10 Millionen oder 4 % des qualifizierenden weltweiten Umsatzes des Unternehmens reichen, und für jeden Tag, an dem ein Verstoß andauert, kann eine tägliche Strafe von bis zu £20.000 hinzukommen.
PSTI und der EU Cyber Resilience Act
Produkte, die im Vereinigten Königreich und in der EU verkauft werden, unterliegen beiden Regelungen. Der Cyber Resilience Act ist breiter: Er erfasst Produkte mit digitalen Elementen allgemein, stellt wesentliche Anforderungen an Design, Entwicklung und Umgang mit Schwachstellen, verlangt eine SBOM und schreibt seit dem 11. September 2026 die Meldung aktiv ausgenutzter Schwachstellen vor. PSTI ist enger gefasst und gilt für vernetzbare Verbraucherprodukte im Vereinigten Königreich seit April 2024.
Die drei PSTI-Anforderungen entsprechen Praktiken, die auch der CRA erwartet: keine Standardpasswörter, eine Kontaktstelle für Schwachstellenmeldungen und ein erklärter Supportzeitraum. Arbeit für die eine Regelung lässt sich für die andere wiederverwenden, doch die Erfüllung von PSTI belegt keine Konformität mit dem CRA.
Heute in KROMSE verfügbar
KROMSE bewertet oder zertifiziert die PSTI-Konformität nicht und erstellt keine Konformitätserklärungen; es liefert die Schwachstellennachweise, auf die Ihr Meldeprozess und Ihr Supportzeitraum angewiesen sind.
- Bekannte Schwachstellen in der Software und Linux-basierten Firmware eines vernetzten Produkts, mit Nachweisen und Abdeckungsgrenzen.
- Fehlkonfigurationen und eingebettete Secrets im entpackten Root-Dateisystem eines Firmware-Images; Secret-Werte werden nie gespeichert.
- CycloneDX- und SPDX-SBOMs für jeden Scan.
- Kontext zu Befunden aus CISA KEV, FIRST EPSS, NVD und ENISA EUVD, wobei bekanntermaßen ausgenutzte Schwachstellen markiert werden.
Häufige Fragen
Wofür steht PSTI?
Für Product Security and Telecommunications Infrastructure, aus dem Product Security and Telecommunications Infrastructure Act 2022. Die Produktsicherheitsregelung in Teil 1 gilt über die Verordnung von 2023, die seit dem 29. April 2024 in Kraft ist.
Wann ist PSTI in Kraft getreten?
Die Sicherheitsanforderungen gelten seit dem 29. April 2024, auf Grundlage der Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023, SI 2023/1007.
Gilt PSTI auch für Produkte, die außerhalb des Vereinigten Königreichs hergestellt werden?
Ja. Entscheidend ist, dass das Produkt Kunden im Vereinigten Königreich bereitgestellt wird. Hersteller im Ausland sind erfasst, und Importeure und Händler im Vereinigten Königreich haben eigene Pflichten, darunter die Prüfung der Konformitätserklärung.
Ist ETSI EN 303 645 unter PSTI verpflichtend?
Nein. Die rechtlichen Anforderungen stehen in Anhang 1 der Verordnung. Die Erfüllung der in Anhang 2 genannten Bestimmungen von ETSI EN 303 645 oder, für die Meldung von Schwachstellen, von ISO/IEC 29147 ist ein Weg zur Konformitätsvermutung, weshalb viele Hersteller sie nutzen.
Macht KROMSE mein Produkt PSTI-konform?
Nein. KROMSE zertifiziert keine Konformität und erstellt keine Konformitätserklärungen. Es findet bekannte Schwachstellen in Software und Linux-basierter Firmware, erstellt SBOMs und dokumentiert Entscheidungen, was den Umgang mit Schwachstellen hinter Ihrer Meldestelle und Ihrem Supportzeitraum unterstützt.
Verwandte Leitfäden
Quellen
- Product Security and Telecommunications Infrastructure Act 2022, legislation.gov.uk
- The PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, legislation.gov.uk
- DSIT: Die britische PSTI-Produktsicherheitsregelung, GOV.UK (englisch)
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex