Cyber Resilience Act und Digital Product Passport Wie Produktpässe den Betrieb von Rechenzentren verändern

Anbieter zum Thema

Spherity GmbH

RITTAL GmbH & Co. KG

Data Center Group GmbH

EPS Rechenzentrum Infrastruktur GmbH

Der neue digitale Produktpass und CRA-Konformität machen Herkunft, Wartung und Rücknahmewege von Hardware transparent. Für Betreiber werden diese Daten zu einer digitalen Betriebsakte.

In den nächsten beiden Jahren kommen der Cyber Resilience Act (CRA) und der Digital Product Passport (DPP) gemeint.

Auf den ersten Blick ist die Datacenter-Branche gar nicht im Zentrum der Regulierung. Doch die Auswirkungen werden vor allem bei der Beschaffung recht spürbar sein.

Sichere Entwicklung von KI-Systemen und Regulierung durch die EU

Christopher Robinson über MLSecOps und den Cyber Resilience Act

Vom Batteriepass zum Produktpass

Der Erstkontakt mit dem DPP ist ab Anfang 2027 die USV (unterbrechungsfreie Stromversorgung). Ab dem folgenden Jahr müssen Industriebatterien mit einer Speicherkapazität von mindestens zwei Kilowattstunden einen Batteriepass besitzen, der etwa in Form eines QR-Code-Aufklebers am Gehäuse angebracht ist. Der Vorteil eines Batteriepasses: Hiermit liegen technischen Informationen in digitaler und maschinenlesbarer Form vor.

Der Batteriepass bündelt Informationen zu Identität, Herkunft, technischen Merkmalen, Konformitätsinformationen, Reparaturdaten, Firmwareständen, Supportfristen, Sicherheitsupdates und Rücknahmedaten. Somit entsteht für Betreiber eine digitale Betriebsakte auf Geräteebene, die bei Wartung, Reparatur und dem Austausch einzelner Teile hilft.

Wichtig: Ab 2027 müssen alle Elektronikprodukte einen Produktpass mit sich führen. Dadurch entsteht ein digitales Ökosystem aus Informationen, das ein Produkt über seinen gesamten Lebenszyklus begleitet.

CRA macht Sicherheit verbindlich

Ein zweiter Aspekt bei der Beschaffung ist der oben erwähnte CRA. Er gilt ab Dezember 2027 und schreibt für vernetzte Produkte – letztlich die meiste Hardware in einem Rechenzentrum – integrierte Sicherheit vor. Für Rechenzentrumsbetreiber ist eine CRA-konforme Elektronik wichtig, erkennbar am CE-Kennzeichen. So wird Cybersecurity von einem Marketingversprechen zu einer einklagbaren Eigenschaft. Über die für CE typische Selbstdeklaration hinaus fordert der Gesetzgeber für kritische Geräte zusätzliche, externe Zertifizierungen, beispielsweise vom TÜV oder dem BSI.

IKT-Produkte im Spannungsfeld von Preis und Nachhaltigkeit

TÜV-Studie zeigt: Nachhaltigkeit ja, aber nur wenn der Preis stimmt

Im Kern verlangt der CRA die Verwirklichung der Konzepte „Security by Design“ und „Security by Default“. Sicherheit darf demnach kein nachgelagerter Zusatz sein. Stattdessen müssen Hersteller Cyberrisiken bei Planung, Entwicklung, Produktion und Wartung berücksichtigen. Dazu kommen technische Dokumentation, Konformitätsbewertung, Nutzerinformationen, Supportzusagen und ein wirksames Schwachstellenmanagement. Bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen gelten enge Meldefristen. Die erste Warnung muss binnen 24 Stunden erfolgen, eine Hauptmeldung binnen 72 Stunden.

Der Produktpass als zentrale Datenquelle

Auch bei den geforderten integrierten Sicherheitsmaßnahmen gibt es einen erhöhten Informationsbedarf. So müssen die Rechenzentren beispielsweise genau wissen, wo sie OTA-Updates und eine umfassende technische Dokumentation herunterladen können oder welche Schnittstellen für Management-Software es gibt. Das einfachste Mittel dafür wird der digitale Produktpass sein. Er dient dann für Rechenzentrumsbetreiber als „One Stop“ für Daten und Services rund um Hardware.

Einige Hersteller zeigen bereits jetzt die Entwicklungsrichtung. So nutzt Asus einen Produktpass für seine kommerzielle PC-Linie. Über den Pass gibt es Produktspezifikationen, Reparaturhistorien und Recyclinginformationen.

Ein zweites Beispiel: Jeder neue HP-PC erhält einen „HP Digital Passport“ als serialisierten QR-Code auf der Geräteunterseite. Ein Scan führt zu einem gerätespezifischen Hub mit Produktinformationen. Beide Beispiele entsprechen noch nicht dem gesetzlichen EU-DPP, zeigen aber, wie ein IT-Hardware-Pass in der Praxis aussieht.

Neue Kriterien für Beschaffung und Betrieb

Für Rechenzentren ist das Beispiel von Schneider Electric interessant, die zusammen mit Spherity eine Batteriepass-Demonstration entwickelt haben. Die Demo-Seite zeigt schon die Bausteine, die im Rechenzentrum zählen: Produktverifikation, Registrierungsstatus, Herstellerangaben, Fertigungsort und -datum, technische Daten, Batterietyp, Battery Unique Identifier, EU Declaration of Conformity, Compliance Navigator, Ecofit Service Book und eine Funktion zur Verifikation des Passports über einen Drittverifizierer. Für eine USV ist das näher an der Betriebsrealität als ein reiner Nachhaltigkeitsdatensatz.

Mit dem DPP lässt sich bereits vor dem Kauf von der Beschaffungsabteilung anhand von Testgeräten prüfen, ob ein Produkt in die eigene Sicherheitsarchitektur passt. Doch auch im laufenden Betrieb ist der DPP wichtig, in erster Linie beim Schließen von bekannten Schwachstellen. Ohne aktuelle Daten und Versionsinformationen dauert die Bewertung einer Schwachstelle zu lange. Ein produktbezogener Datensatz zeigt dagegen in der Gesamtschau, welche Geräte betroffen sind, welche Firmware installiert ist und ob Updates verfügbar sind.

Mehr Transparenz bis zur Entsorgung

Darüber hinaus können Rechenzentrumsbetreiber mit dem DPP die Entsorgung leichter bewältigen. So gibt es möglicherweise interne Datenträger oder sicherheitskritische Komponenten, die verräterische Daten tragen und gelöscht gehören. Zudem enthalten die Geräte auch nach ihrem Lebensende wertvolle Rohstoffe. Für Refurbishment, Recycling oder Entsorgung enthält der DPP spezielle Informationen, etwa über das Rohmaterial, die Nutzungshistorie, den Reparaturstatus und Rücknahmewege. Das ist besonders wichtig für Batterien, die ein „Second Life“ auf dem Gebrauchtmarkt erhalten sollen.

BESS ist eine Schlüsseltechnologie für die AI-Infrastruktren

Entwicklung serienreifer Batterie-Energiespeichersysteme für KI-Fabriken

Daran wird klar, dass die Kombination aus CRA-konformem „Security by Design“ und Produktpässen nicht nur die Nachhaltigkeit der Rechenzentren stärken kann, sondern ganz generell eine höhere Effizienz in Betrieb und in der Wartung bringt. Als digitale Betriebsakte ist der Produktpass eine potenzielle Grundlage für die Feinsteuerung des Rechenzentrumsbetriebs.

Netzanschluss für die KI

Strom für Rechenzentren ist Zukunftssicherung

(ID:50909897)