Cyber Resilience Act: So bereiten Sie Ihr Unternehmen auf die Konformität vor
Was die Verordnung (EU) 2024/2847 von Herstellern und Importeuren verlangt
Die Verordnung (EU) 2024/2847 über Cyberresilienzanforderungen, bekannt als Cyber Resilience Act (CRA), legt erstmals verbindliche Sicherheitsanforderungen für Produkte mit digitalen Elementen im europäischen Binnenmarkt fest (Quelle: Verordnung (EU) 2024/2847, Artikel 1). Sie betrifft Hersteller, Importeure und Händler von Hardware und Software, die mit Netzwerken oder anderen Geräten verbunden werden können. Der CRA schreibt Security-by-Design vor, verpflichtet zur Beseitigung bekannter Schwachstellen und verlangt einen strukturierten Prozess für die Konformitätsbewertung. Die Europäische Agentur für Cybersicherheit (ENISA) spielt eine zentrale Rolle bei der Meldung von Schwachstellen und aktiv ausgenutzten Vorfällen (Quelle: Verordnung (EU) 2024/2847, Artikel 14). Optivalue.ai begleitet Hersteller dabei, jeden Nachweis der CRA-Konformität zu strukturieren und Dokumentationslücken vor der Aufsichtsprüfung zu schließen. Dieser Artikel erläutert die vier Kernbereiche: Produktklassifizierung, Sicherheitspflichten, Konformitätsbewertung und Softwareunterstützung.
Welche Produkte und Risikoklassen erfasst der Cyber Resilience Act?
Der CRA unterscheidet drei Produktkategorien, die unterschiedliche Konformitätswege auslösen (Quelle: Verordnung (EU) 2024/2847, Artikel 6 und Anhang III). Standard-Produkte mit digitalen Elementen, die nicht als kritisch eingestuft sind, können eine Selbstbewertung durch den Hersteller durchlaufen. Kritische Produkte der Klasse I, zu denen unter anderem Browser, Passwortmanager, Firewalls und Mikroprozessoren für sichere Elemente gehören, erfordern entweder eine Konformitätsbewertung durch Dritte oder die Anwendung einer harmonisierten Norm. Kritische Produkte der Klasse II, darunter Betriebssysteme für Server und industrielle Steuerungssysteme, erfordern zwingend eine Konformitätsbewertung durch eine notifizierte Stelle. Der erste Schritt für jeden Hersteller ist daher die eindeutige Klassifizierung seiner Produkte, auf die alle weiteren Maßnahmen aufbauen.
Welche Sicherheitspflichten gelten für Hersteller nach dem CRA?
Der CRA verpflichtet Hersteller, ihre Produkte ohne bekannte ausnutzbare Schwachstellen auf den Markt zu bringen und während der gesamten Nutzungsdauer, mindestens jedoch für den in Anhang I definierten Supportzeitraum, Sicherheitsupdates bereitzustellen (Quelle: Verordnung (EU) 2024/2847, Anhang I). Security by Design bedeutet, dass Schutzmaßnahmen von der Produktentwicklung an integriert werden, nicht nachgelagert. Ein Software Bill of Materials (SBOM), also eine vollständige Auflistung aller Softwarekomponenten, ist als Teil der technischen Dokumentation zu erstellen und zu pflegen. Aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen ist innerhalb festgelegter Fristen an ENISA zu melden. Eine GRC-Plattform, die CRA-Pflichten neben NIS2 zentralisiert, stellt sicher, dass die Nachweise beider Regelwerke in einer einzigen Nachweisstruktur gehalten werden.
Wie läuft die Konformitätsbewertung nach dem CRA ab?
Die Konformitätsbewertung führt zur CE-Kennzeichnung des Produkts, die bestätigt, dass die CRA-Anforderungen erfüllt sind (Quelle: Verordnung (EU) 2024/2847, Artikel 28). Der Hersteller erstellt eine technische Dokumentation, die die Produktbeschreibung, die Risikoanalyse, die Sicherheitsarchitektur, den SBOM, die Testergebnisse und die Konformitätserklärung enthält. Je nach Produktkategorie bewertet der Hersteller die Konformität selbst oder zieht eine notifizierte Stelle hinzu. Nach Markteinführung bleibt die Dokumentation zehn Jahre lang aufzubewahren und bei Änderungen zu aktualisieren. NIS2 und DORA als ergänzende Texte zum CRA zeigen, dass der CRA Teil eines breiteren regulatorischen Rahmens für digitale Sicherheit ist, der eine koordinierte Vorbereitung erfordert.
Wie deckt eine GRC-Software die Dokumentationspflichten des CRA ab?
Eine GRC-Software strukturiert die technische CRA-Dokumentation als lebendiges Artefakt statt als einmaliges Dokument. Die Produktbeschreibung und der SBOM werden versioniert und bei jeder Komponentenänderung aktualisiert. Die Risikoanalyse ist im System mit dem Produktentwicklungsprozess verknüpft, sodass neue Funktionen automatisch eine Risikobewertung auslösen. Sicherheitsvorfälle und Schwachstellen werden mit Datum, Schweregrad, Meldung an ENISA und Maßnahme dokumentiert. Die Konformitätserklärung wird aus den hinterlegten Nachweisen erzeugt und ist revisionssicher archiviert. Optivalue.ai prüft vorhandene CRA-Dokumentation auf Vollständigkeit und stellt sicher, dass die Nachweise das Detailniveau aufweisen, das Aufsichtsbehörden und notifizierte Stellen erwarten.
FAQ
Gilt der Cyber Resilience Act auch für Open-Source-Software?
Der CRA enthält Ausnahmen für nicht-kommerzielle Open-Source-Software (Quelle: Verordnung (EU) 2024/2847, Erwägungsgrund 18 und Artikel 3). Sobald Open-Source-Software jedoch kommerziell verbreitet oder in ein kommerzielles Produkt integriert wird, greifen die CRA-Anforderungen für das Endprodukt. Die Ausnahme schützt nicht-kommerzielle Entwickler, entlastet aber nicht Unternehmen, die Open-Source-Komponenten in Handelsprodukte einbetten.
Was ist ein Software Bill of Materials (SBOM) nach dem CRA?
Ein SBOM ist eine maschinenlesbare Auflistung aller Softwarekomponenten, Abhängigkeiten und ihrer Versionen, die in einem Produkt enthalten sind (Quelle: Verordnung (EU) 2024/2847, Anhang I, Teil II). Er dient der Nachvollziehbarkeit von Schwachstellen: Wenn eine Komponente als anfällig bekannt wird, kann der Hersteller sofort identifizieren, welche Produkte betroffen sind, und die Meldepflicht gegenüber ENISA erfüllen.
Wann treten die CRA-Anforderungen in Kraft?
Die Verordnung (EU) 2024/2847 ist in Kraft getreten und sieht gestaffelte Übergangsfristen vor (Quelle: Verordnung (EU) 2024/2847, Artikel 71). Die Meldepflichten für Schwachstellen und Vorfälle treten früher in Kraft als die vollständigen Konformitätspflichten. Hersteller sollten die Klassifizierung ihrer Produkte und die Erstellung der technischen Dokumentation unverzüglich beginnen.
Wer kontrolliert die Einhaltung des CRA?
Die Marktüberwachungsbehörden der Mitgliedstaaten sind für die Kontrolle der CRA-Konformität zuständig (Quelle: Verordnung (EU) 2024/2847, Kapitel VII). Sie können Produkte aus dem Markt nehmen, wenn die Anforderungen nicht erfüllt sind. ENISA nimmt die Meldungen zu Schwachstellen und Vorfällen entgegen und koordiniert auf EU-Ebene.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema