EU Cyber Resilience Act (CRA)

Der EU Cyber Resilience Act (CRA) ist eine bevorstehende EU-Gesetzgebung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Hardware und Software) festlegt, die auf dem EU-Markt in Verkehr gebracht werden. Mit voller Wirkung ab 2027 soll der CRA sicherstellen, dass Produkte von Grund auf sicher sind, Hersteller die Sicherheit über den gesamten Produktlebenszyklus hinweg aufrechterhalten und Verbraucher Transparenz über die Produktsicherheit erhalten.

Der CRA ist noch nicht vollständig in Kraft. Die Durchsetzungsfristen variieren je nach Anforderungstyp, wobei die vollständige Einhaltung bis Ende 2027 erwartet wird. Überwachen Sie offizielle EU-Veröffentlichungen auf den endgültigen Text und die Umsetzungsfristen.

Wer benötigt CRA-Konformität?

Der CRA gilt für:

Hersteller: Unternehmen, die Produkte mit digitalen Elementen für den EU-Markt entwerfen, entwickeln oder herstellen
Importeure: Unternehmen, die Produkte mit digitalen Elementen in die EU einführen
Händler: Unternehmen, die Produkte auf dem EU-Markt verfügbar machen
Open-Source-Verwalter: Organisationen, die kommerzielle Unterstützung für Open-Source-Produkte anbieten (unter bestimmten Bedingungen)

Produkte mit digitalen Elementen umfassen:

Software (Anwendungen, Betriebssysteme, Firmware)
Hardware mit eingebetteter Software (IoT-Geräte, Router, intelligente Haushaltsgeräte)
Vernetzte Produkte (Wearables, industrielle Steuerungssysteme)

Geltungsbereich und Ausnahmen

Im Geltungsbereich: Kommerzielle Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden, einschließlich SaaS und Cloud-Diensten, sofern sie herunterladbare Softwarekomponenten enthalten.

Ausgenommen:

Medizinprodukte, Luftfahrtsysteme und Automobilkomponenten, die bereits durch branchenspezifische Vorschriften abgedeckt sind
Rein nicht-kommerzielle Open-Source-Software, die außerhalb kommerzieller Aktivitäten entwickelt oder bereitgestellt wird
Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung bestimmt sind

Wenn Sie Open-Source-Software ohne Monetarisierung oder kommerzielle Unterstützung vertreiben, sind Sie wahrscheinlich ausgenommen. Wenn Sie kostenpflichtige Unterstützung, SLAs oder Unternehmensfunktionen anbieten, kann der CRA gelten.

Produktklassifizierung

Der CRA kategorisiert Produkte nach Cybersicherheitsrisiko:

Standard (Klasse I): Grundlegende Cybersicherheitsanforderungen, Selbstbewertung zulässig
Wichtig (Klasse II): Produkte mit höherem Risiko (Identitätsmanagement, VPNs, Netzwerkmanagement), die eine Konformitätsbewertung durch Dritte erfordern
Kritisch: Produkte mit höchstem Risiko (Sichere Elemente, Smartcards, PKI-Systeme), die eine strenge Zertifizierung durch Dritte erfordern

Die meisten kommerziellen Softwareprodukte fallen in die Standardkategorie.

Kernanforderungen

Hersteller müssen sicherstellen, dass Produkte wesentliche Cybersicherheitsanforderungen über den gesamten Lebenszyklus hinweg erfüllen:

Sicherheit by Design:

Keine bekannten ausnutzbaren Schwachstellen zum Zeitpunkt der Markteinführung
Sicherheit ist in die Produktarchitektur und den Entwicklungsprozess integriert
Minimierte Angriffsfläche und sichere Standardeinstellungen
Datenschutz und Verschlüsselung, wo angemessen
Automatische Bereitstellung von Sicherheitsupdates oder Benachrichtigung der Nutzer

Schwachstellenmanagement:

Identifizierung, Dokumentation und Behebung von Schwachstellen während des Supportzeitraums
Meldung aktiv ausgenutzter Schwachstellen an die ENISA innerhalb von 24 Stunden nach Bekanntwerden
Bereitstellung von Sicherheitsupdates für die erwartete Produktlebensdauer (mindestens 5 Jahre für viele Produkte)
Pflege einer öffentlichen Richtlinie zur Offenlegung von Schwachstellen

Dokumentation und Transparenz:

Bereitstellung klarer Sicherheitsdokumentation für Nutzer
Veröffentlichung der EU-Konformitätserklärung
Anbringen der CE-Kennzeichnung auf konformen Produkten
Aufbewahrung der technischen Dokumentation für 10 Jahre

Meldung von Vorfällen:

Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle an die ENISA
Benachrichtigung betroffener Nutzer über Sicherheitsprobleme und verfügbare Gegenmaßnahmen

Konformitätsbewertung

Je nach Produktklasse müssen Hersteller die Konformität durch Folgendes nachweisen:

Selbstbewertung (Klasse I): Der Hersteller führt interne Tests und Dokumentationen durch
Bewertung durch Dritte (Klasse II/Kritisch): Eine benannte Stelle prüft die Konformität vor der Markteinführung

Alle Hersteller müssen technische Dokumentationen vorhalten, die die Konformität belegen, einschließlich Risikobewertungen, Ergebnissen von Sicherheitstests und Aufzeichnungen zum Entwicklungsprozess.

Supportverpflichtungen

Hersteller müssen Sicherheitsunterstützung für Folgendes bereitstellen:

Die erwartete Produktlebensdauer, ODER
Mindestens 5 Jahre ab Markteinführung (für die meisten Produkte)

Dazu gehören die Behebung von Schwachstellen, Sicherheitsupdates und die Reaktion auf Vorfälle. Produkte ohne laufende Unterstützung dürfen nicht legal auf dem EU-Markt verbleiben.

Strafen

Der CRA sieht erhebliche finanzielle Strafen vor:

Schwere Verstöße (nicht konforme Produkte, fehlende CE-Kennzeichnung): Bis zu 15 Millionen Euro oder 2,5 % des globalen Jahresumsatzes
Andere Verstöße (unvollständige Dokumentation, mangelnde Zusammenarbeit): Bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes
Falsche Angaben: Bis zu 5 Millionen Euro oder 1 % des globalen Jahresumsatzes

Zeitplan für die Umsetzung

Erwartete Durchsetzungsphasen (abhängig von der Veröffentlichung der endgültigen Verordnung):

2024-2025: Verordnung wird veröffentlicht, Übergangsphase beginnt
2026: Meldepflichten für Schwachstellen treten in Kraft
2027: Volle Konformität für neue Produkte, die auf den Markt gebracht werden, erforderlich
Nach 2027: Bestehende Produkte müssen ihre Supportverpflichtungen aufrechterhalten

Beginnen Sie jetzt mit der Vorbereitung, indem Sie sichere Entwicklungspraktiken einführen, Prozesse für das Schwachstellenmanagement etablieren und Ihre Sicherheitsarchitektur dokumentieren.

Wie ISMS Copilot hilft

ISMS Copilot kann bei der Vorbereitung auf die CRA-Konformität unterstützen:

Allgemeine Cybersicherheitsleitlinien: Fragen Sie nach sicheren Entwicklungspraktiken, Schwachstellenmanagement und Lebenszyklus-Sicherheit
Richtlinienentwicklung: Erstellen Sie Richtlinien für den sicheren Entwicklungslebenszyklus (SDLC) und zur Offenlegung von Schwachstellen
Risikobewertungen: Generieren Sie Sicherheitsrisikobewertungen für Produkte, die auf die wesentlichen Anforderungen abgestimmt sind
Dokumentationsvorlagen: Entwickeln Sie Rahmenwerke für Sicherheitsdokumentationen zur Konformitätsbewertung
Lückenanalyse: Laden Sie bestehende Entwicklungsrichtlinien hoch, um Lücken gegenüber den CRA-Prinzipien zu identifizieren

Obwohl ISMS Copilot kein spezielles CRA-Wissen hat (die Verordnung wird noch finalisiert), können Sie nach ISO 27001-Kontrollen für sichere Entwicklung und allgemeinen Best Practices für Produktsicherheit fragen, die mit den Zielen des CRA übereinstimmen.

Probieren Sie folgende Fragen: "Erstellen Sie eine Richtlinie zur Offenlegung von Schwachstellen für ein Softwareprodukt" oder "Was sind Prinzipien für Sicherheit by Design in der Produktentwicklung?"

Erste Schritte

Zur Vorbereitung auf die CRA-Konformität:

Prüfen Sie, ob Ihre Produkte in den Geltungsbereich des CRA fallen, und bestimmen Sie die Klassifizierung
Führen Sie Praktiken für den sicheren Entwicklungslebenszyklus ein (Bedrohungsmodellierung, Sicherheitstests, Code-Reviews)
Etablieren Sie Prozesse für das Schwachstellenmanagement und die Offenlegung
Planen Sie langfristige Sicherheitsunterstützung (5+ Jahre)
Dokumentieren Sie die Sicherheitsarchitektur und Risikobewertungen
Überwachen Sie die ENISA und offizielle EU-Veröffentlichungen auf endgültige Anforderungen und Leitlinien