Das UK PSTI-Gesetz: Ein Leitfaden zur Einhaltung für Hersteller
17. März 2025
Laut einem Bericht von 2020 der Internet of Things Security Foundation enthalten nur 1 von 5 Herstellern Sicherheitsanforderungen in ihren verbraucherverbundenen Produkten, was die Verbraucher dem Risiko aussetzt. Mit Blick darauf hat die britische Regierung das Product Security and Telecommunications Infrastructure (PSTI) Act eingeführt, eine bevorstehende Regulation für Cybersicherheit. Diese Gesetzgebung zielt darauf ab, die Sicherheit von verbraucherverbundenen Produkten zu stärken, indem Mindestanforderungen an die Sicherheit gestellt werden, die die Hersteller einhalten müssen.
In diesem Artikel werden wir die Einzelheiten des PSTI-Gesetzes erläutern, die Konformitätsauswirkungen für Hersteller diskutieren und die neuen Befugnisse erkunden, die den Durchsetzungsbehörden gewährt werden
Wichtige Erkenntnisse
Das PSTI-Gesetz tritt am 29. April 2024 in Kraft. Nach diesem Datum müssen Hersteller von verbraucherverbundenen Produkten (auch als Internet of Things oder IoT-Geräte bekannt) die im Gesetz festgelegten Sicherheitsanforderungen einhalten.
Das Ziel des PSTI-Gesetzes ist es, sicherzustellen, dass verbraucherverbundene Produkte besser gegen Cyberangriffe geschützt sind.
Das PSTI-Gesetz arbeitet auch daran, ein Durchsetzungsregime zu schaffen, um den Verkauf von unsicheren Cyberprodukten im Vereinigten Königreich zu verhindern.
Übersicht des PSTI-Gesetzes
Das PSTI-Gesetz wurde 2022 offiziell in Kraft gesetzt, und die vollständigen PSTI-Vorschriften treten am 29. April 2024 vollständig in Kraft. Die neue Regulierung markiert eine neue Ära für die Cybersicherheit im Vereinigten Königreich, da sie die Schaffung neuer Mindestanforderungen an die Sicherheit vorschreibt, die Hersteller, Importeure und Händler von verbraucherverbundenen Produkten einhalten müssen.
Verbraucherverbundene Produkte umfassen Produkte, die mit dem Internet oder anderen Kommunikationsnetzwerken verbunden werden können, wie Smartphones, Laptops, Smart-Home-Geräte und Wearables. Diese Produkte sind allgegenwärtig im täglichen Leben der Verbraucher geworden, aber viele fehlen Cybersecurity-Funktionen, was sie zu einem Hauptziel für Cyberkriminelle macht. Das PSTI-Gesetz zielt darauf ab, diese Cybersecurity-Risiken zu mindern und die Verbraucher zu schützen, indem sichergestellt wird, dass die Hersteller Sicherheitsmaßnahmen in ihre Produkte integrieren.
Teil 1 des Gesetzes konzentriert sich auf die Produktsicherheit, während sich Teil 2 des Gesetzes auf Verbesserungen der Telekommunikationsinfrastruktur konzentriert. Dieser Artikel konzentriert sich ausschließlich auf Teil 1.
Neue Anforderungen an die Produktsicherheit
Neue Sicherheitsanforderungen, die Hersteller einhalten müssen, sind im Anhang 1 der PSTI-Vorschriften 2023 festgelegt.
Die Regelung enthält beispielsweise Anforderungen für vom Hersteller erstellte Passwörter, etwa dass die Passwörter entweder vom Benutzer erstellt oder einzigartig für jedes einzelne Produkt sein müssen.
Zusammenfassend sind die Sicherheitsanforderungen des PSTI-Gesetzes wie folgt:
Standardpasswörter oder leicht zu erratende Passwörter sind verboten.
Produkte müssen eine „Richtlinie zur Offenlegung von Schwachstellen“ haben. Das Gesetz verlangt von den Herstellern, Maßnahmen zu treffen, die es Außenstehenden ermöglichen, Schwachstellen in einem Produkt zu melden, und Informationen über diesen Meldeprozess zu veröffentlichen.
Produkte müssen den Verbrauchern Informationen darüber bereitstellen, wielange ihre Produkte durch Sicherheitsupdates unterstützt werden. Anhang 2 des PSTI-Gesetzes verlangt, dass diese Information in einer Sprache ausgedrückt wird, die Verbraucher ohne technische Kenntnisse verstehen können.
Wer muss das PSTI-Gesetz einhalten?
Hersteller, Importeure und Händler von verbraucherverbundenen Produkten müssen die von diesem Gesetz festgelegten Sicherheitsanforderungen befolgen. Das Gesetz verlangt auch, dass diese Personen sicherstellen, dass ihr Produkt mit einer Konformitätserklärung geliefert wird, und Maßnahmen ergreifen, wenn es ein Problem bei der Erfüllung dieser Sicherheitsanforderungen gibt.
Welche Produkte sind vom PSTI-Gesetz abgedeckt?
Produkte, die mit einem Netzwerk oder dem Internet verbunden werden können, fallen unter den Anwendungsbereich dieser Regulierung. Dies sind die Internet-of-Things-Geräte, die Folgendes beinhalten, aber nicht darauf beschränkt sind:
Smartphones
Verbundene Kameras, Fernseher und Lautsprecher
Verbundene Kinderspielzeuge und Babyphones
Verbundene sicherheitsrelevante Produkte wie Rauchmelder und Türschlösser
Internet of Things-Basisstationen und Hubs, an die mehrere Geräte angeschlossen sind
Tragbare, verbundene Fitnesstracker
Produkte für Outdoor-Freizeit, wie tragbare verbundene GPS-Geräte, die keine Wearables sind
Verbundene Hausautomatisierungs- und Alarmsysteme
Verbundene Haushaltsgeräte wie intelligente Kühlschränke
Smarte Heimassistenten
Es ist auch wichtig zu wissen, dass die folgenden Geräte von den UK PSTI-Vorschriften ausgeschlossen sind:
Ladestationen für Elektrofahrzeuge
Medizinische Geräte (falls sie unter die MDR fallen)
Intelligente Zählerprodukte
Computerprodukte wie Desktop-, Laptop- und Tablet-Computer, die nicht in der Lage sind, sich mit Mobilfunknetzen zu verbinden.
Sicherstellung der Konformität mit dem PSTI-Gesetz
Das PSTI-Gesetz führt ein Selbsterklärungssystem ein, das von den Marktüberwachungsbehörden überwacht wird. Hersteller müssen ihre Einhaltung des Gesetzes durch eine Konformitätserklärung erklären, die die im Anhang 4 der PSTI-Vorschriften aufgeführten Informationen enthalten muss. Dies impliziert die Notwendigkeit, eine Konformitätsbewertung von verbraucherverbundenen Produkten auf kompetente Weise durchzuführen, bevor die Konformitätserklärung unterzeichnet wird.
Der Staatssekretär erhält die Befugnis, Produkte zu untersuchen und Fälle von Nichtkonformität zu untersuchen. Hersteller, die fälschlicherweise Konformität behaupten, können infolge von Untersuchungen mit Strafen konfrontiert werden. Die finanziellen Strafen, denen Hersteller, die nicht konform sind, ausgesetzt sein können, sind im Teil 1, Kapitel 3, Abschnitt 36 des PSTI-Gesetzes beschrieben. Die Höchststrafe beträgt entweder £10 Millionen oder „4% der qualifizierten weltweiten Einnahmen der Person für den letzten vollständigen Abrechnungszeitraum der Person“ – je nachdem, welcher Betrag höher ist. Das Gesetz gibt dem Staatssekretär auch das Recht, Informationen über Konformitätsversäumnisse öffentlich zu veröffentlichen und die Befugnis, Produkte zurückzurufen, die nicht konform sind.
QIMA bietet über das akkreditierte Cybersicherheitslabor von CCLab Bewertungen, Prüfungen, Zertifizierungen und Beratungen an, um Herstellern, Importeuren und Distributoren dabei zu helfen, die Einhaltung der Teil 1, der Produktsicherheitsanforderungen des PSTI-Gesetzes, effektiv nachzuweisen. Wir begleiten Sie in jedem Schritt des Compliance-Prozesses, sodass Sie Ihre Produkte mit ruhigem Gewissen auf dem britischen Markt verkaufen können. Arbeiten Sie mit CCLab zusammen, um die Einhaltung sicherzustellen, Rückrufe zu vermeiden und den Ruf Ihrer Marke zu schützen.
Erfahren Sie mehr über unsere Cybersicherheitsdienste oder kontaktieren Sie uns noch heute.
