CRA: Produktsicherheit wird jetzt zur Pflicht
Der Cyber Resilience Act (CRA) der EU ändert die Spielregeln für alle Unternehmen, die Produkte mit digitalen Elementen entwickeln. Eine frühzeitige strategische Anpassung der Entwicklungsprozesse ist entscheidend für den zukünftigen Marktzugang in der gesamten Europäischen Union.
Der Cyber Resilience Act (CRA) markiert einen Paradigmenwechsel in der Produktsicherheit. Cybersicherheit wird von einer freiwilligen Zusatzleistung zu einer gesetzlich verankerten Pflicht, die den gesamten Lebenszyklus eines Produkts umfasst – von der Konzeption bis zur Außerbetriebnahme. Für Unternehmen, die digitale Produkte entwickeln oder in der EU in Verkehr bringen, ist dies nicht nur eine Herausforderung, sondern auch eine strategische Chance, durch nachweislich sichere Produkte Vertrauen bei Kunden aufzubauen und sich klare Wettbewerbsvorteile zu sichern.
Was ist der Cyber Resilience Act?
Der CRA ist eine EU-Verordnung, die einen einheitlichen Rechtsrahmen zur Stärkung der Cybersicherheit für alle „Produkte mit digitalen Elementen“ (von smarter Haustechnik über Kinderspielzeug mit App-Anbindung bis hin zu industriellen Steuerungsgeräten) schafft, die auf dem EU-Markt bereitgestellt werden. Ziel ist es, ein durchgehend hohes Sicherheitsniveau zu gewährleisten und Verbraucher besser zu schützen.
Kernpunkte des Gesetzes:
• Geltungsbereich: Die Verordnung gilt für alle neuen Produkte mit digitalen Elementen (sowohl Hardware als auch Software), die ab dem 11. Dezember 2027 in der EU in Verkehr gebracht werden.
• Wesentliche Ausnahmen: Wichtige Produktkategorien sind ausgenommen, da sie bereits durch andere spezifische EU-Verordnungen reguliert werden. Dazu gehören unter anderem:
◦ Medizinprodukte
◦ In-vitro-Diagnostika
◦ Zertifizierte Produkte der Zivilluftfahrt
◦ Produkte für Zwecke der nationalen Sicherheit oder Verteidigung
Die drei Säulen der neuen Produktsicherheit
Der CRA verankert drei zentrale Verpflichtungen für Hersteller, die die Produktsicherheit von Grund auf neu definieren:
Pflicht zu „Security by Design“
Hersteller sind verpflichtet, Cybersicherheitsrisiken bereits in der Planungs- und Entwicklungsphase zu bewerten, zu berücksichtigen und durch geeignete Maßnahmen zu minimieren. Sicherheitsfunktionen wie Authentifizierung oder Verschlüsselung müssen von Beginn an als Standard implementiert werden.
Verpflichtendes Schwachstellenmanagement
Über den gesamten Lebenszyklus eines Produkts müssen Schwachstellen kontinuierlich identifiziert, bewertet und behoben werden. Besonders hervorzuheben ist die strenge Meldepflicht von 24 Stunden: Aktiv ausgenutzte Schwachstellen müssen umgehend an die europäische Cybersicherheitsbehörde ENISA gemeldet werden.
Garantierte Sicherheitsupdates
Hersteller müssen Sicherheitsupdates für eine angemessene und verhältnismäßige Lebensdauer des Produkts bereitstellen. Diese beträgt mindestens fünf Jahre, es sei denn, die erwartete Nutzungsdauer des Produkts ist kürzer.
Transparenz durch Dokumentation: Was Sie nachweisen müssen
Eine zentrale Rolle im CRA spielt die technische Dokumentation. Sie dient als Nachweis, dass ein Produkt die gesetzlichen Anforderungen erfüllt. Gemäß Anhang VII des CRA muss diese Dokumentation unter anderem folgende Elemente enthalten:
• Eine allgemeine Beschreibung der Systemarchitektur
• Eine Software-Stückliste (Software Bill of Materials, SBOM)
• Das Konzept für die koordinierte Offenlegung von Schwachstellen
• Die durchgeführte Risikobewertung
• Der festgelegte Unterstützungszeitraum für Sicherheitsupdates
Hohe Strafen bei Nichteinhaltung
Die Sanktionen bei Verstößen gegen den CRA sind drastisch und sollen eine abschreckende Wirkung entfalten:
• Bei Nichteinhaltung der grundlegenden Sicherheitsanforderungen drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.
• Bei Verstößen gegen andere Pflichten (z. B. Dokumentationspflichten) können Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden.
Fazit: Strategische Weichenstellung für die Zukunft
Die Frist bis 2027 mag lang erscheinen, ist jedoch trügerisch. Die Umsetzung der Anforderungen des CRA erfordert tiefgreifende und zeitintensive Änderungen in den Entwicklungs-, Produktions- und Wartungsprozessen von Unternehmen. Firmen, die bereits ein etabliertes Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 betreiben, haben hier einen erheblichen Vorteil, da viele geforderte Prozesse wie die Bedrohungsanalyse und das Risikomanagement bereits implementiert sind.Handeln Sie strategisch: Warten Sie nicht, sondern beginnen Sie jetzt mit einer Analyse Ihrer Produktportfolios und Entwicklungsprozesse. Lassen Sie sich von Experten bei der Planung und Umsetzung der CRA-Anforderungen unterstützen, um rechtzeitig konform zu sein und zukünftige Marktchancen in der EU zu sichern.