EU Cyber Resilience Act (CRA) für Produkt-Hersteller

Der EU Cyber Resilience Act (CRA) ist eine Verordnung, die Hersteller von Produkten mit digitalen Elementen dazu verpflichtet, während des gesamten Produktlebenszyklus Cybersicherheitsanforderungen zu erfüllen. Verabschiedet im Jahr 2024 mit Inkrafttreten ab Ende 2027, zielt der CRA darauf ab, die Sicherheit von vernetzten Geräten, Software und Hardware, die in der EU verkauft werden, zu verbessern. Dies geschieht durch die Vorgabe von sicherem Design, Schwachstellenmanagement und Transparenz über Sicherheitseigenschaften.

Der CRA gilt für Produkt-Hersteller, nicht für Dienstleister. Wenn Sie SaaS oder Cloud-Dienste anbieten, trifft der CRA wahrscheinlich nicht auf Sie zu – konzentrieren Sie sich stattdessen auf NIS2, DSGVO oder DORA.

Wer muss die Vorgaben erfüllen?

Der CRA gilt für Hersteller, die „Produkte mit digitalen Elementen“ auf dem EU-Markt platzieren:

Hardware-Hersteller: IoT-Geräte, Router, Smart-Home-Geräte, Industriesensoren, Netzwerkausrüstung
Software-Anbieter: Betriebssysteme, Browser, Sicherheitssoftware, Produktivitätsanwendungen, mobile Apps (wenn sie als eigenständige Produkte verkauft werden)
Hersteller eingebetteter Systeme: Medizinische Geräte, Automobilkomponenten, intelligente Haushaltsgeräte mit Firmware
Verwalter von Open-Source-Software: Organisationen, die kommerziellen Support oder CE-Kennzeichnung für Open-Source-Produkte anbieten

Von der CRA ausgenommene Produkte sind:

Medizinische Geräte, Automobil- und Luftfahrtsysteme, die bereits durch sektorspezifische EU-Verordnungen abgedeckt sind
Reine SaaS- oder Cloud-Dienste (keine herunterladbare Software)
Individuell für einen einzelnen Kunden entwickelte Software
Open-Source-Software, die außerhalb kommerzieller Aktivitäten entwickelt oder bereitgestellt wird (keine CE-Kennzeichnung oder Monetarisierung)

Falls Sie Hardware herstellen oder herunterladbare Software in der EU verkaufen, trifft der CRA wahrscheinlich auf Sie zu.

CRA-Risikoklassifizierung

Produkte werden in Risikostufen eingeteilt, die die Compliance-Anforderungen bestimmen:

Standardprodukte (Standard-Cybersicherheit):

Die meisten Verbraucher- und Geschäftsprodukte (Smart-Home-Geräte, Produktivitätssoftware, Netzwerkausrüstung)
Selbstbewertung der Konformität
Hersteller erklärt die Konformität durch CE-Kennzeichnung

Wichtige Produkte (Klasse I):

Identitätsmanagement-Systeme, Authentifizierungstools, VPNs, Firewalls, Antivirenprogramme, Browser, Passwortmanager
Produkte, die integraler Bestandteil kritischer Infrastruktur oder hochwertiger Vermögenswerte sind
Drittanbieter-Konformitätsbewertung erforderlich
Benannte Stelle prüft Design und Prozesse

Kritische Produkte (Klasse II):

Betriebssysteme, Hypervisoren, industrielle Steuerungssysteme, intelligente Zähler, Smartcards für Zahlungen
Höchste Prüfungsstufe mit umfassender Drittanbieter-Bewertung
Benannte Stelle auditiert Entwicklungslebenszyklus und Sicherheitskontrollen

Die meisten Hersteller werden sich selbst als „Standard“-Klasse einstufen, es sei denn, ihr Produkt ist explizit in den CRA-Anhängen aufgeführt.

Eine falsche Einstufung des Risikoniveaus Ihres Produkts kann zu Non-Compliance führen. Prüfen Sie die CRA-Anhänge III (Wichtig) und IV (Kritisch) sorgfältig oder konsultieren Sie eine Benannte Stelle.

Kernanforderungen

Alle Produkte mit digitalen Elementen müssen grundlegende Cybersicherheitsanforderungen erfüllen:

Sicherheit durch Design und Standardkonfiguration:

Minimierung der Angriffsfläche (Deaktivierung unnötiger Funktionen, Dienste und Ports in der Standardkonfiguration)
Sichere Standardeinstellungen (starke Authentifizierung, standardmäßig aktivierte Verschlüsselung)
Prinzip der geringsten Privilegien (begrenzte Berechtigungen für Prozesse und Benutzer)
Tiefgestaffelte Verteidigung (mehrschichtige Sicherheitskontrollen)

Umgang mit Schwachstellen:

Veröffentlichung einer Richtlinie zur Offenlegung von Schwachstellen (VDP) mit Kontaktdaten
Bewertung und Behebung gemeldeter Schwachstellen innerhalb festgelegter Fristen (kritisch: 24–72 Stunden; hoch: 14 Tage; mittel: 90 Tage)
Benachrichtigung von Nutzern und ENISA (EU-Cybersicherheitsbehörde) über aktiv ausgenutzte Schwachstellen
Bereitstellung von Sicherheitsupdates für die erwartete Lebensdauer des Produkts oder mindestens 5 Jahre (je nachdem, was länger ist)

Sichere Updates:

Automatische Bereitstellung von Sicherheitspatches oder Benachrichtigung der Nutzer
Sicherstellung, dass Updates authentifiziert (signiert) sind und nicht manipuliert werden können
Möglichkeit zum Zurücksetzen auf vorherige Versionen bei Update-Fehlern

Datenschutz:

Schutz der Vertraulichkeit und Integrität gespeicherter und übertragener Daten (Verschlüsselung im Ruhezustand und während der Übertragung)
Implementierung sicherer Speicherung von Anmeldedaten (keine hartcodierten Passwörter)
Verarbeitung nur notwendiger Daten (Datenminimierung)

Resilienz und Verfügbarkeit:

Schutz vor Denial-of-Service-Angriffen
Gewährleistung der Funktionalität unter abnormalen Bedingungen oder Angriffen
Bereitstellung von Protokollierungs- und Überwachungsfunktionen für Sicherheitsvorfälle

Transparenz und Dokumentation:

Bereitstellung klarer Sicherheitsanweisungen für Nutzer (wie man sicher konfiguriert, Updates durchführt und Schwachstellen meldet)
Veröffentlichung einer Software-Stückliste (SBOM) mit Komponenten und Abhängigkeiten
Angabe der unterstützten Lebensdauer und End-of-Support-Daten

Konformitätsbewertung

Hersteller müssen die Konformität nachweisen, bevor sie Produkte auf dem EU-Markt platzieren:

Für Standardprodukte:

Durchführung einer Risikobewertung und Sicherheitstests
Erstellung technischer Dokumentation (Design-Spezifikationen, SBOM, Testergebnisse, Sicherheitsmaßnahmen)
Erstellung der EU-Konformitätserklärung
Anbringen der CE-Kennzeichnung
Registrierung des Produkts in der EU-Datenbank (verwaltet von ENISA)

Für wichtige/kritische Produkte (Klasse I/II):

Abschluss der oben genannten Schritte
Beauftragung einer Benannten Stelle (akkreditierter Drittanbieter-Bewerter)
Durchführung einer Designprüfung und/oder eines Audits der Cybersicherheitsprozesse
Erhalt eines Zertifikats der Benannten Stelle
Anbringen der CE-Kennzeichnung mit der ID der Benannten Stelle
Registrierung des Produkts in der EU-Datenbank

Bewertungen durch Benannte Stellen können 3–12 Monate dauern und je nach Produktkomplexität 20.000–100.000 €+ kosten.

Beginnen Sie frühzeitig mit der Konformitätsbewertung. Bei Produkten der Klasse I/II können Verzögerungen bei der Verfügbarkeit Benannter Stellen Ihren Markteintritt um 6–12 Monate verzögern.

Lebenszyklus-Verpflichtungen

Die CRA-Verpflichtungen bestehen auch nach der Markteinführung weiter:

Kontinuierliche Überwachung: Verfolgung von Schwachstellenmeldungen, Bedrohungsinformationen und Exploits, die Ihr Produkt betreffen
Meldepflicht bei Vorfällen: Benachrichtigung der ENISA innerhalb von 24 Stunden nach Entdeckung aktiv ausgenutzter Schwachstellen oder schwerwiegender Vorfälle, die die Produktsicherheit beeinträchtigen
Bereitstellung von Updates: Zeitnahe Bereitstellung von Sicherheitsupdates für die unterstützte Lebensdauer (mindestens 5 Jahre)
Aufbewahrung von Unterlagen: Führung technischer Dokumentation und Konformitätsnachweise für 10 Jahre
Zusammenarbeit mit Marktüberwachungsbehörden: Reaktion auf Anfragen von EU-Marktüberwachungsbehörden

Die Nichteinhaltung der Compliance nach der Markteinführung kann zu Produktrückrufen oder Marktverboten führen.

Strafen bei Nichteinhaltung

Der CRA sieht erhebliche finanzielle Strafen vor:

Bis zu 15 Millionen € oder 2,5 % des globalen Jahresumsatzes (je nachdem, welcher Betrag höher ist) für die Nichteinhaltung grundlegender Anforderungen
Bis zu 10 Millionen € oder 2 % des Umsatzes für die Nichtzusammenarbeit mit Behörden oder die Nichtvorlage von Dokumentation
Bis zu 5 Millionen € oder 1 % des Umsatzes für die Bereitstellung falscher oder unvollständiger Informationen

Mitgliedstaaten können zusätzliche Strafen verhängen, einschließlich Produktrückrufen, Marktverboten oder strafrechtlicher Haftung bei schweren Verstößen.

Zeitplan und Übergang

Der CRA wurde 2024 verabschiedet und wird schrittweise umgesetzt:

Ende 2027: Volle Durchsetzung des CRA beginnt (genaues Datum steht noch aus, abhängig von der offiziellen Veröffentlichung)
Übergangsphase: Produkte, die bereits vor der Durchsetzung auf dem Markt sind, dürfen weiterhin vertrieben werden, aber Updates müssen die CRA-Anforderungen zum Umgang mit Schwachstellen erfüllen
Akkreditierung Benannter Stellen: Mitgliedstaaten benennen Benannte Stellen im Zeitraum 2025–2027

Hersteller sollten jetzt mit den Compliance-Vorbereitungen beginnen, insbesondere für Produkte der Klasse I/II, die eine Drittanbieter-Bewertung erfordern.

Der CRA sieht eine „Übergangsfrist“ für Verwalter von Open-Source-Software vor, die Details werden jedoch noch finalisiert. Beobachten Sie die EU-Durchführungsrechtsakte für Klarstellungen.

Wichtige Dokumentation

Hersteller müssen folgende Unterlagen erstellen und pflegen:

Technische Dokumentation: Produktbeschreibung, Design-Spezifikationen, Risikobewertung, SBOM, Ergebnisse von Sicherheitstests, Nachweise für den sicheren Entwicklungslebenszyklus
EU-Konformitätserklärung: Formelle Erklärung, dass das Produkt die CRA-Anforderungen erfüllt
Richtlinie zur Offenlegung von Schwachstellen: Veröffentlichter Prozess für den Empfang und die Bearbeitung von Schwachstellenmeldungen
Sicherheitsanweisungen: Nutzerorientierte Anleitung zur sicheren Konfiguration, Updates und Meldung von Vorfällen
Konformitätszertifikate: Zertifikate Benannter Stellen für Produkte der Klasse I/II

CRA und andere Verordnungen

Der CRA überschneidet sich und interagiert mit anderen EU-Verordnungen:

DSGVO: Die Datenschutzanforderungen des CRA ergänzen die DSGVO (ersetzen sie jedoch nicht)
NIS2: Der CRA konzentriert sich auf Produkte; NIS2 auf die organisatorische Sicherheit und Meldepflicht von Vorfällen für Dienstleister
AI Act: KI-fähige Produkte müssen möglicherweise sowohl den CRA (Cybersicherheit) als auch den AI Act (Sicherheit, Transparenz) erfüllen
Funkanlagenrichtlinie (RED): Drahtlose Produkte müssen sowohl die RED als auch den CRA erfüllen
Maschinenverordnung: Industriemaschinen mit digitalen Elementen müssen sowohl die Maschinenverordnung als auch den CRA erfüllen

Koordinieren Sie die Compliance über verschiedene Verordnungen hinweg, um Dopplungen oder widersprüchliche Anforderungen zu vermeiden.

Wie ISMS Copilot hilft

ISMS Copilot kann bei der Vorbereitung auf die CRA-Compliance unterstützen:

Erstellung von Richtlinien: Generierung von Richtlinien zur Offenlegung von Schwachstellen, Richtlinien für sichere Entwicklung, Verfahren zur Reaktion auf Vorfälle
Risikobewertung: Entwicklung von Vorlagen für die Risikobewertung der Produktsicherheit
Prozessdokumentation: Erstellung von Verfahren für den sicheren SDLC (Bedrohungsmodellierung, sicherer Code, Sicherheitstests, Patch-Management)
Nutzerorientierte Inhalte: Erstellung von Sicherheitsanweisungen für die Produktdokumentation
Lückenanalyse: Hochladen bestehender Dokumentation zur Produktsicherheit, um Lücken zu identifizieren

Obwohl ISMS Copilot noch kein dediziertes CRA-Wissen besitzt, können Sie allgemeine Fragen zu sicherer Produktentwicklung, Schwachstellenmanagement und Best Practices für SBOMs stellen.

Probieren Sie es aus mit Fragen wie: „Erstellen Sie eine Richtlinie zur Offenlegung von Schwachstellen für einen Hardware-Hersteller“ oder „Was sollte ich in die Dokumentation zur Produktsicherheit aufnehmen?“

Erste Schritte

So bereiten Sie sich mit ISMS Copilot auf die CRA-Compliance vor:

Klassifizieren Sie Ihre Produkte nach CRA-Risikostufe (Standard, Klasse I, Klasse II)
Erstellen Sie einen dedizierten Arbeitsbereich für Ihr CRA-Compliance-Projekt
Führen Sie eine Risikobewertung der Produktsicherheit durch (Identifizierung von Bedrohungen, Schwachstellen, Auswirkungen)
Nutzen Sie die KI, um eine Richtlinie zur Offenlegung von Schwachstellen zu generieren
Entwickeln Sie Verfahren für den sicheren Entwicklungslebenszyklus (Bedrohungsmodellierung, Code-Review, Sicherheitstests, Update-Prozesse)
Erstellen Sie eine Software-Stückliste (SBOM) für jedes Produkt
Verfassen Sie Sicherheitsanweisungen für Nutzer (sichere Konfiguration, Update-Verfahren, Meldung von Schwachstellen)
Für Produkte der Klasse I/II: Identifizieren und beauftragen Sie frühzeitig eine Benannte Stelle