Meldepflicht von Sicherheitslücken Drei Sofortmaßnahmen zum Cyber Resilience Act

Anbieter zum Thema

Fraunhofer-Einrichtung für Entwurfstechnik Mechatronik IEM

G DATA CyberDefense AG

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Die Übergangsfrist, bis der Cyber Resilience Act voll erfüllt sein muss, ist kurz und bei Nichteinhaltung des CRA drohen Strafzahlungen in Millionenhöhe. Diese Maßnahmen sollten Unternehmen deshalb jetzt ergreifen.

Lange ist er angekündigt worden, jetzt ist er offiziell: Am 10. Oktober hat der EU-Rat den Cyber Resilience Act (CRA) verabschiedet. Damit gelten ab November 2027 für vernetzte Geräte und deren Software EU-weit verbindliche Mindestanforderungen in puncto Security.

Cybersicherheit für Produkte und Anwendungen

EU verabschiedet Cyber Resilience Act – Was Sie jetzt wissen müssen

„Die Übergangsfrist, bis der CRA 2027 voll erfüllt werden muss, ist kurz. Unternehmen müssen sich in vielen Bereichen neu aufstellen – angefangen von der Durchführung von Security-Risikoanalysen über kurzfristige Meldepflichten bei Bekanntwerden von Schwachstellen bis hin zu kostenfreien Security-Updates während der erwarteten Lebensdauer des Produkts. Und Aufschieben gilt nicht, denn bei Nichteinhaltung des CRA drohen Strafzahlungen in Millionenhöhe“, sagt Dr. Matthias Meyer, Bereichsleiter Softwaretechnik und IT-Sicherheit am Fraunhofer-Institut für Entwurfstechnik Mechatronik (IEM).

Deshalb hat das Fraunhofer IEM drei wichtige Maßnahmen herausgearbeitet, die Unternehmen – am besten sofort – umsetzen sollten.

1. Aufbau eines Incident Response Teams

Mit dem CRA müssen Unternehmen Informationen zu Schwachstellen künftig binnen 24 Stunden an die Agentur der Europäischen Union für Cybersicherheit (ENISA) melden. Innerhalb von 72 Stunden müssen sie weitere Details zur Art der Schwachstelle, möglichen Gegenmaßnahmen und mehr liefern. Abgesehen davon müssen sie jederzeit ansprechbar sein für Personen, die Sicherheitslücken melden möchten, und im Blick behalten, ob Schwachstellen in einem zugelieferten Softwarebestandteil bekannt werden. Für all diese Aufgaben empfiehlt das Fraunhofer IEM den Aufbau eines „Product Security Incident Response Teams“ (PSIRT).

Hersteller, die noch kein PSIRT etabliert haben, sollten sich dringend damit befassen. Denn die genannten Pflichten sind bereits ab Juni 2026 zu erfüllen, und zwar für alle Produkte auf dem Markt, auch solche, die lange vor Inkrafttreten des CRA veröffentlicht wurden.

Herausforderungen beim EU Cyber Resilience Act

EU-Sicherheits­anforderungen für digitale Produkte

2. Bedrohungen und Risiken analysieren

Im Kern verlangt der CRA, dass Hersteller ihre Produkte regelmäßig auf Sicherheitsrisiken analysieren und an diese Risiken angepasste Sicherheitsmaßnahmen umsetzen. Deshalb sollten Unternehmen Bedrohungs- und Risikoanalysen für alle Produkte fest ihren Entwicklungsprozess integrieren.

Somit könne das Sicherheitsniveau von Software kontinuierlich und vor allem angemessen erhöht werden. Zudem würden Entwickler ein neues Sicherheitsbewusstsein erlangen, und teure, aber eigentlich unnötige Maßnahmen würden sogar vermieden.

Neuer Standard für das digitale Zuhause

Der Cyber Resilience Act bringt endlich „Security-by-Design“

3. Ist-Zustand bestimmen

Die ersten beiden Maßnahmen sind wichtig, werden aber nicht ausreichen, mahnt das Fraunhofer IEM. Unternehmen müssen sich ein Bild davon machen, welche Anforderungen des CRA sie erfüllen, und zwar sowohl bezüglich ihrer Prozesse im Produktlebenszyklus als auch der konkreten Produkte.

Auch wenn noch keine Normen zum CRA vorliegen, sei es einstimmige Expertenmeinung, dass der bereits existierende Standard für industrielle Cybersicherheit IEC 62443 eine sehr gute Orientierung gebe. Unternehmen müssen Meyer zufolge nicht warten, sondern können schon jetzt den Ist-Zustand ihrer Prozesse und Produkte aufnehmen und Maßnahmen ableiten für die Umsetzung des CRA.

(ID:50203992)