Mobile-Menu

Definition Was ist der Cyber Resilience Act?

Von Heidi Schuster 2 min Lesedauer

Anbieter zum Thema

G DATA CyberDefense AG
Impossible Cloud GmbH
XOPERO SOFTWARE S.A.

Cyber Resilience Act (CRA) ist der Name einer EU-Verordnung, die auf eine verbesserte Sicherheit von Produkten mit digitalen Bestandteilen abzielt. Er stellt eine Ergänzung bestehender Regelungen dar. Die Verordnung soll 2024 in Kraft treten.

Grundlagenwissen zum IT-Business(Bild: © adiruch na chiangmai - Fotolia.com)
Grundlagenwissen zum IT-Business
(Bild: © adiruch na chiangmai - Fotolia.com)

Der Begriff Cyber-Resilienz ist nicht exakt definiert. Generell bezeichnet er die Widerstandsfähigkeit und Anpassungsfähigkeit in Bezug auf Cyber-Angriffe aller Art. Es geht dabei nicht um einzelne Sicherheitsmaßnahmen im IT-Bereich, sondern um eine ganzheitliche Strategie, die die Entwicklung und Nutzung bestehender und neuer Technologien sicher machen soll.

Wichtigstes Ziel ist die effiziente Bekämpfung von Cyberkriminalität. Dafür sieht der Cyber Resilience Act einheitliche, hohe Standards für Cybersicherheit im gesamten Bereich der EU vor. Sie betreffen alle Produkte mit digitalen Elementen, sowohl Hardware- wie Softwareprodukte. Gleichzeitig soll die Verordnung Wettbewerbsgleichheit für IT in allen Ländern herstellen und Rechtssicherheit schaffen.

Wer ist vom Cyber Resilience Act betroffen?

Die EU-Verordnung nimmt Hersteller, Händler, Importeure und Betreiber in die Pflicht. Es dürfen nur noch IT-Produkte verkauft werden, die hohe Cybersicherheitsanforderungen erfüllen. Das gilt für den gesamten Lebenszyklus eines Produkts von der Konzeption bis zur Außerbetriebnahme. Zusätzlich wird ein umfassendes Schwachstellenmanagement gefordert. Hersteller sind zudem verpflichtet, die Eigenschaften ihrer Produkte transparent und detailliert zu dokumentieren. Für bekannte Schwachstellen besteht eine umfassende Meldepflicht.

Wer IT-Produkte importiert oder vertreibt, muss sicherstellen, dass diese CRA-konform sind. Dazu gehört eine Überprüfung, ob der Hersteller das Konformitätsbewertungsverfahren korrekt durchgeführt hat und ob die technische Dokumentation verfügbar und vollständig ist. Geräte müssen CE-Kennzeichnungen tragen, Nutzerinformationen und Gebrauchsanleitungen beiliegen. Unternehmen werden als Betreiber in das umfassende europäische Sicherheitskonzept eingebunden. Sie müssen die Vorgaben der zweiten Network and Information Security Directive (NIS2) beachten. Der Cyber Resilience Act gibt ihnen durch die Vorgaben zur Transparenz und Dokumentation die Mittel für ein verbessertes Risikomanagement an die Hand.

Sicherheitsklassen für IT-Produkte und Anwendungen

Der Cyber Resilience Act ordnet Produkte mit digitalen Elementen vier unterschiedlichen Sicherheitsklassen zu. Für jede Klasse gibt es spezifische Sicherheitsvorschriften. Die Standard-Kategorie umfasst rund 90 % aller Produkte. Zu ihr gehören alltägliche Geräte wie Unterhaltungselektronik, smarte Haushaltsgeräte oder Festplatten.

Strengeren Sicherheitsanforderungen müssen IT-Produkte der beiden kritischen Klassen erfüllen. Für sie ist eine Zertifizierung durch eine akkreditierte Institution erforderlich. Zur Kritischen Klasse I zählen Produkte für die Industrie- sowie Gebäudeautomatisierung, zur Kritischen Klasse II Produkte für die kritische Infrastruktur. Die vierte Kategorie mit den höchsten Sicherheitsanforderungen betrifft hochkritische Produkte, die einen Einfluss auf die Cyber-Resilienz der gesamten Lieferkette haben.

(ID:50022970)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte

Jobs