Cyber Resilience Act (CRA)

„Der Cyber Resilience Act ist die erste europäische Verordnung,
die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt, die auf dem EU-Markt erhältlich sind“
-    Bundesamt für Sicherheit in der Informationstechnik (BSI)

Die Verordnung betrifft alle „Produkte mit digitalen Elementen“, die in der EU verkauft werden. Das umfasst Softwareprodukte, also Standalone-Software, Betriebssysteme oder Business-Software und vernetzte Hardware, beispielsweise Industrierouter oder IoT-Geräte, (und auch kombinierte Hard- und Softwareprodukte).
Mit den standardisierten Anforderungen des Cyber Resilience Acts soll der Schutz von Cyberbedrohungen verbessert und die Cybersicherheit im gesamten europäischen Raum gestärkt werden.

Grundsätzlich ist jeder Händler/Hersteller vom CRA betroffen, aber hauptsächlich:

• Hersteller und Händler digitaler Produkte
• Unternehmen mit Eigenentwicklung digitaler Komponenten
• Importeure, die in der EU ansässig sind und Produkte mit digitalen Elementen aus einem Drittstaat auf dem Markt in Verkehr bringen

Betreiber kritischer Infrastrukturen sind als wichtiger Sonderfall zu betrachten. Diese agieren weder als Hersteller oder Händler, dennoch sind sie auf digitale Produkte angewiesen und müssen sicherstellen, dass diese den Anforderungen des CRA entsprechen.

• Oktober 2024: Verabschiedung des CRA
• Dezember 2024: CRA tritt in Kraft
• Juni 2026: Verfahren für Bewertung, Benennung und Notifizierungen von Konformitätsbewertungsstellen sind etabliert und veröffentlicht
• September 2026: vom CRA betroffene Unternehmen und Personen unterliegen der Meldepflicht für Schwachstellen
• Dezember 2026: Mitgliedsstaaten richten ausreichende Meldestellen ein, welche Konformitätsbewertungen durchführen können
• Dezember 2027: Ab diesem Zeitpunkt sind alle Anforderungen des CRA verbindlich einzuhalten

Grundsätzlich gilt: Die Anforderungen des CRA gelten für den ganzen Lebenszyklus eines Produkts, von der Planung bis zur Nutzung.

Der Produktlebenszyklus kann in drei Bereiche aufgeteilt werden:

In dieser Phase geht es um die Risikobewertung des Produkts und ob das Produkt den jeweiligen Sicherheitsanforderungen entspricht. Security-by-Design oder Security-by-Default sind hier die ausschlaggebenden Stichwörter.

„Security by Design“ bedeutet, dass betroffene Produkte in Bezug auf Cybersicherheit so konzipiert werden müssen, dass die Daten verschlüsselt gespeichert und übertragen werden.

Nach „Security by Default“ müssen die Standardeinstellungen der Produkte bereits zur Cybersicherheit beitragen, beispielsweise anhand von fortlaufenden Sicherheitsupdates.

Die Anforderungen des CRA umfassen auch den Supportzeitraum eines Produkts: Hersteller müssen kontinuierlich bekannte Schwachstellen überprüfen und Sicherheitsupdates bereitstellen.

Die Meldepflicht greift bei Sicherheitsvorfällen oder Verstößen. Die Hersteller melden diese an die ENISA, die Agentur der Europäischen Union für Cybersicherheit. Außerdem werden die Nutzer des jeweiligen Produkts rechtzeitig über Vorfälle informiert.

Das BSI stellt auch eine Technische Richtlinie BSI-TR-03181 zur Verfügung zur Unterstützung für Unternehmen, ihre Produkte CRA-konform zu machen.

1. Cybersicherheit von Anfang an durchsetzen
   Wie oben bereits erwähnt, müssen bereits während der Produktentwicklung die Anforderungen des CRA umgesetzt werden. Zu „Secure by Design“ und „Secury by Default“ gehört auch die Software Bill of Materials (SBOM), welche Auskunft über die jeweiligen Softwarekomponenten im Produkt gibt. Die SBOM ist vorgeschrieben, sie muss jedoch nicht veröffentlicht werden.
2. Nachweispflicht
   Für den CRA ist eine Konformitätserklärung Pflicht, um nachzuweisen, dass das Produkt auch allen Anforderungen entspricht.
3. Einblick in die Schwachstellen gewähren
   Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen an die neu eingerichtete Meldeplattform ENISA gemeldet werden. Unter Sicherheitsvorfälle fällt alles, was Auswirkungen auf die Sicherheit von Produkten hat, beispielsweise Manipulationsmöglichkeiten von Code.
4. Support und Wartung
   Während des kompletten Produktlebenszyklus müssen für den Endanwender Sicherheitsupdates zur Verfügung gestellt und Schwachstellen eliminiert werden.

Quelle: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html