Alles zum Cyber Resilience Act – Teil 1 Warum Produkte cybersicher werden müssen

Anbieter zum Thema

Hochschule Augsburg Hochschulverwaltung Technologietransfer u.Weiterbildung

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Hersteller müssen ihre Produkte cybersicher machen. Das ist nicht nur wirtschaftlich geboten, um Investitionen zu schützen und Schaden zu be­grenzen. Auch rechtlich müssen Produkte mit digitalen Elementen bald grundlegende Anforderungen erfüllen.

Aller Anfang ist schwer – das gilt auch für das Implementieren von Security-Maßnahmen. Dass Sie diesen Text lesen, ist bereits der erste Schritt. Gut gemacht! In diesem und weiteren Artikeln möchte ich Sie dabei unterstützen, den Cyber Resilience Act, kurz CRA, einfach zu verstehen und effizient umzusetzen. Deshalb beantworte ich hier die folgenden grundlegenden Fragen zum CRA:

• Was bedeutet der CRA für Unternehmen in der EU?

• Welche Herausforderungen adressiert er?

• Wer setzt den CRA durch und wer ist von ihm betroffen?

• Wann sind die wichtigsten Fristen?

Was bedeutet der CRA für Unternehmen in der EU?

Der Cyber Resilience Act ist ein umfassendes europäisches Gesetz, das die Cybersicherheit von Produkten mit digitalen Elementen verbessern soll. Dazu stellt er verbindliche Anforderungen an Hersteller, Importeure und Händler, die in der EU tätig sind.

Aber warum müssen wir die Cybersicherheit von Produkten überhaupt regulieren? Erstens steigt die Bedeutung des Internet of Things weiter. Es gibt nicht nur immer mehr vernetzte IoT-Geräte. Sie sind auch in nahezu allen Lebensbereichen zu finden. Zweitens gefährden immer mehr Cyberangriffe die Gesellschaft. Sie bedrohen nicht nur die Wirtschaft, sondern auch Menschen und nicht zuletzt unsere Demokratie. Und drittens brauchen wir ein zuverlässiges Mindestmaß an Cybersicherheit. So werden unsere IT-Systeme generell widerstandsfähiger gegen Cyberangriffe. Und der Markt profitiert von verlässlichen Standards.

Welche aktuellen Herausforderungen adressiert der CRA?

Das Cybersicherheitsniveau von Produkten ist aktuell oft relativ niedrig. Vernetzte Produkte werden selten regelmäßig aktualisiert und teils haben sie bereits ab Werk gravierende Sicher­heitslücken. Der CRA fordert daher, dass Hersteller angemessene Schutzmaßnahmen in einem sicheren Entwicklungsprozess identifizieren und entsprechend umsetzen.

Eine weitere Herausforderung ist das fehlende Bewusstsein für Cybersicherheit bei Kunden und Nutzern. Mangels Informationen erkennen sie oft nicht, ob ein Produkt moderne Sicherheits­an­for­derungen erfüllt oder wie sie es sicher benutzen können. Der CRA soll deshalb für Trans­pa­renz sorgen, um den Nutzern informierte Käufe und Konfigurationen zu ermöglichen.

Eine solche Umstellung bedeutet natürlich Aufwand für Unternehmen. Am Ende des Tages sorgt ein Standard für Cybersicherheit allerdings auch für Verlässlichkeit und Planbarkeit. Und davon profitieren Hersteller und Nutzer gleichermaßen.

Wer setzt den CRA durch und wer ist von ihm betroffen?

Der CRA hat verschiedene Akteure. Im Grunde gibt es Nutzer, Wirtschaftsakteure, Test­ein­richtungen und Behörden. Die Nutzer verwenden Produkte privat oder gewerblich als Un­ternehmen. Der CRA soll ihnen ermöglichen, Cybersicherheit in ihre Entscheidungen mit­einzubeziehen.

Im Mittelpunkt der Wirtschaftsakteure stehen die Hersteller, die Produkte designen, ent­wick­eln, produzieren und vermarkten. Aber auch Importeure, Distributoren und autorisierte Re­präsentanten zählen zu dieser Gruppe.

Testeinrichtungen spielen als unabhängige Dritte eine wichtige Rolle bei der Konformitätsprüfung von Produkten mit hohem Gefahrenpotenzial.

Die Marktüberwachungsbehörde in Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es wacht über die Einhaltung des CRA in Deutschland. Jedes EU-Mitglied hat eine solche Behörde. Für die Koordination im jeweiligen EU-Land sind die Com­pu­ter Security Incident Response Teams (CSIRT) zuständig. In Deutschland übernimmt das CERT Bund diese Rolle.

Zuletzt gibt es noch die European Network and Information Security Agency (ENISA), die europäische Agentur für Cyber­sicherheit. Sie unterstützt EU-Staaten und deren Cyber­sicherheitsorganisationen dabei, ihre Cybersecurity-Fähigkeiten zu verbessern.

Hersteller in Deutschland müssen sowohl das CERT Bund als auch die ENISA über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle bei ihrer Produktentwicklung informieren.

Wann sind die wichtigsten Fristen?

Die Timeline des Cyber Resilience Act ist mittlerweile klar. Mit seinem Inkrafttreten am 10. Dezember 2024 läuft eine Frist von drei Jahren. Deshalb sollten Wirtschaftsakteure unver­züg­lich damit beginnen CRA-Prozesse zu implementieren. Denn die Compliance mit dem CRA proaktiv zu planen lohnt sich.

Hersteller sollten vor allem zwei Daten kennen, an denen bestimmte Teile des CRA verbindlich und wirksam werden. Ab dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Vorfälle. Ab 11. Dezember 2027 müssen alle CRA-Anforderungen erfüllt werden. In speziellen Fällen gibt es auch noch Übergangsfristen, die über dieses Datum hinausgehen. Darauf sollten Unternehmen sich aber besser nicht verlassen und bis zu den genannten Stichtagen ihre Prozesse und Produkte auf Vordermann gebracht haben.

Der wichtigste Tipp ist deshalb: Legen Sie los! Viele Unternehmen haben die Dringlichkeit des CRA schon erkannt, denn 2027 rückt schnell näher.

Über den Autor: Dominik Merli ist Professor für IT-Sicherheit an der Technischen Hochschule Augsburg und Leiter des dort angesiedelten Instituts für innovative Sicherheit. Er beschäftige sich seit mehr als 15 Jahren mit der Cybersicherheit von Produkten in einer Vielzahl von Bran­chen.

(ID:50648090)