Zwischen Sicherheit und Wettbewerbsvorteil Der EU Cyber Resilience Act und seine Auswirkungen

Anbieter zum Thema

secunet Security Networks AG

G DATA CyberDefense AG

bb-net media GmbH

Impossible Cloud GmbH

Ziel des Cyber Resilience Act (CRA) der EU ist es, Verbraucher und Unter­nehmen vor Produkten mit unzureichenden IT-Sicherheitsfunktionen zu schützen. Die Anforderungen betreffen den gesamten Lebenszyklus der digitalen Produkte. Doch welche Unternehmen sind davon betroffen und was bedeutet das konkret für sie?

Von der Entwicklung über die Konzeption bis hin zur Produktion und dem Vertrieb: Der CRA betrifft nicht nur Hersteller, sondern auch Importeure und Händler von Produkten mit digitalen Elementen. Darunter sind Produkte zu verstehen, die Hardware, Software oder beides enthalten, die netzwerkfähig sind – z. B. vernetzte Geräte, IT-Komponenten oder Softwarelösungen – und in der EU vertrieben werden. Damit stellt der CRA sicher, dass alle Akteure entlang der Lieferkette Verantwortung für die IT-Sicherheit übernehmen.

Anwender profitieren von transparenten Sicherheitsstandards, einer längerfristigen und verbindlichen Update-Versorgung sowie einem geringeren Risiko durch unsichere digitale Produkte. Insbesondere für IoT-Geräte, Mobilfunkprodukte, Betriebssysteme, Smart-Home-Geräte und weitere vernetzte Anwendungen bedeutet dies eine nachhaltigere Sicherheit, nicht nur während der Produktion, sondern auch über den gesamten Lebenszyklus hinweg. Dies schließt die Betriebsphase ein, mit verpflichtenden Sicherheits- und Patch-Updates für bis zu fünf Jahre, je nach Risikokategorie des Produkts.

Meldepflicht von Sicherheitslücken

Drei Sofortmaßnahmen zum Cyber Resilience Act

Wie der CRA Produktsicherheit kategorisiert

Der CRA zielt darauf ab, die Einhaltung der neuen Anforderungen durch verschiedene Kontrollmechanismen und Sanktionen zu garantieren. Hersteller müssen die Konformität ihrer Produkte durch spezifische Verfahren nachweisen, die je nach Produktart und den jeweiligen Verfahrensanforderungen in unterschiedliche Klassen unterteilt sind. Dabei werden die Produkte anhand des jeweiligen Risikos kategorisiert. Wird die Umsetzung der Anforderungen jedoch nicht oder nur unzureichend erfüllt, drohen hohe Bußgelder. Diese können mehrere Millionen Euro oder bis zu 2,5 Prozent des weltweiten Unternehmensumsatzes des vorangegangenen Geschäftsjahres, abhängig von der Schwere des Verstoßes, betragen.

Ob Unternehmen das Bewertungsverfahren zur Konformität eigenständig durchführen oder eine externe Stelle hinzuziehen müssen, hängt von der jeweiligen Produktkategorie ab:

• Der „Basiskategorie“ gehören alle Produkte mit digitalen Elementen an.

• „Wichtige Produkte“ der Klasse I sind Produkte mit Sicherheitsbezug wie etwa Passwortmanager, Browser oder Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM).

• Sicherheitskomponenten wie Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme sowie Hypervisoren (Basisbetriebssysteme virtualisierter Cloud-Plattformen) gehören der Kategorie „Wichtige Produkte“ der Klasse II an.

• Zu „Kritische Produkte“ zählen Smart-Meter-Gateways in intelligenten Messsystemen, Hardwaregeräte mit Sicherheitsboxen und Smartcards, bei denen Sicherheit als zentrales Merkmal des gesamten Produkts betrachtet wird.

Cyber Resilience Act und Security by Design

Welche Produkte in der EU nicht mehr vertrieben werden dürfen

Zwischen Sicherheit und Wettbewerbsvorteil: Wo Unternehmen jetzt ansetzen können

Insbesondere bei der Herstellung und Wartung sind mit der CRA-Konformität umfangreiche technische Herausforderungen verbunden, die gerade für kleine und mittlere Unternehmen finanziell und operativ fordernd sein können. Hierbei wird auf verschiedenen Ebenen angesetzt: CRA-konforme Produkte müssen etwa technische Sicherheitsmechanismen wie Embedded Hardware Security Modules enthalten, die eine sichere Verschlüsselung und den Schutz der Datenintegrität gewährleisten. Ähnliches gilt auch für den Zertifikatsaustausch zur Überprüfung der Authentizität von Benutzern oder Geräten, für die eine Public Key Infrastructure (PKI) erforderlich ist. Auch Mechanismen wie sichere Bootprozesse und Code-Signing können je nach Produktanforderung notwendig sein.

Je nach Reifegrad der Umsetzung und Risikobewertung des Produkts sollten Unternehmen daher unterschiedliche Budgets für die Verbesserung bzw. Umsetzung der Cybersicherheitsanforderungen bereitstellen. Denken Unternehmen dabei die Gesamtheit ihrer Cybersecurity-Anforderungen von Anfang an mit, kann dies für sie sogar zum Wettbewerbsvorteil werden. Dazu sollten sie zunächst eine Gap-Analyse vornehmen, um zu verstehen, welche Lücken zwischen dem Status quo und den Anforderungen des CRA bestehen. Sind die Schwachstellen identifiziert, lassen sich Risiken bewerten und konkrete Maßnahmen ableiten.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Orientierung können dabei etablierte Standards und Richtlinien bieten. Technische Standards wie die IEC 62443-Familie oder ISO/IEC 27001 unterstützen bei der Einführung systematischer Ansätze zur Sicherung von IT- und OT-Systemen. Regulatorische Rahmenwerke der EU, darunter die NIS-2-Richtlinie, die RED-Richtlinie (Radio Equipment Directive), die Datenschutz-Grundverordnung (DSGVO) oder auch die neue EU-Maschinenverordnung (MVO), geben zusätzliche Vorgaben und Anforderungen vor. Auch Kernelemente der Informationssicherheit wie Risiko- und Schwachstellenmanagement sind entscheidend für eine ganzheitliche Cybersicherheitsstrategie.

Eine Chance für mehr Resilienz

Der CRA reguliert mit wenigen Ausnahmen alle Produkte mit digitalen Elementen, darunter Laptops, Smartwatches, industrielle Steuerungen oder Medizingeräte. Dabei gelten nicht nur Anforderungen an Hard- und Software, sondern auch an deren Cloud- und Fernverarbeitungslösungen, sofern sie für die Funktionalität erforderlich sind.

Empfehlungen zur Umsetzung des CRA

Athene schafft Klarheit zum Cyber Resilience Act

Da der CRA Teil der CE-Kennzeichnung wird, müssen alle betroffenen Produkte die neuen Anforderungen erfüllen, bevor sie auf den EU-Markt gelangen. Auch wenn die Umsetzung für Unternehmen zunächst mit Aufwand verbunden ist, bietet der CRA eine Chance für mehr Cybersicherheits-Resilienz und Marktvertrauen. Seit der Verabschiedung im Oktober 2024 läuft die Zeit: Die Anforderungen müssen bis Dezember 2027 umgesetzt werden, wobei zuvor mehrere Etappenziele erreicht werden müssen. Unternehmen sollten daher jetzt handeln und Cybersicherheit zu einem festen Bestandteil ihrer Strategie machen.

Über den Autor: Dr.-Ing. Rodrigo do Carmo ist Head of Manufacturing & Information Security bei secunet.

Sicherheitsanforderungen im Maschinenbau

Wie der Cyber Resilience Act den Maschinenbau verändert

(ID:50443441)