Cyber Resilience Act

Überblick

Der Cyber Resilience Act (CRA) führt verpflichtende Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen ein. Er deckt den gesamten Produktlebenszyklus von der Entwicklung bis zum Supportende ab und zielt darauf ab, die Verbreitung unsicherer IoT- und Softwareprodukte zu bekämpfen.^[1]

Der CRA gilt für Produkte, die auf dem EU-Markt bereitgestellt werden, unabhängig davon, wo sie hergestellt wurden.

Anwendungszeitplan

Geltungsbereich der Produkte

Abgedeckte Produkte

Produkte mit digitalen Elementen, die:

• Eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk haben
• Hardware- und Softwarekomponenten enthalten

Kategorien

Ausnahmen

• Open-Source-Software (nicht-kommerzielle Entwicklung)
• SaaS (unterliegt anderen Vorschriften)
• Bereits regulierte Produkte (Medizinprodukte, Fahrzeuge, Luftfahrt)
• Verteidigungs- und nationale Sicherheitsprodukte

Wesentliche Cybersicherheitsanforderungen^[2]

Sicherheit durch Design

Produkte müssen so entworfen und entwickelt werden, dass sie gewährleisten:

1. Angemessenes Sicherheitsniveau: Basierend auf vorhersehbaren Risiken
2. Keine bekannten ausnutzbaren Schwachstellen: Zum Zeitpunkt der Markteinführung
3. Sichere Standardkonfiguration: Einschließlich Werksreset-Funktion
4. Schutz der Vertraulichkeit: Für gespeicherte, übertragene und verarbeitete Daten
5. Integritätsschutz: Gegen unbefugte Änderungen
6. Verfügbarkeit: Widerstandsfähig gegen Denial-of-Service-Angriffe
7. Minimale Angriffsfläche: Reduzierung potenzieller Angriffsvektoren
8. Begrenzung der Auswirkungen von Vorfällen: Minimierung der Folgen von Sicherheitsverletzungen

Authentifizierung und Zugriffskontrolle

• Starke, eindeutige Standardanmeldedaten oder vom Nutzer bei Erstgebrauch festgelegt
• Schutz vor Brute-Force-Angriffen
• Sichere Authentifizierungsmechanismen

Datenschutz

• Verschlüsselte Speicherung sensibler Daten
• Sichere Datenübertragung
• Löschen oder Anonymisieren von Daten, wenn sie nicht mehr benötigt werden

Anforderungen an den Umgang mit Schwachstellen^[3]

Hersteller müssen:

1. Schwachstellen identifizieren: Durch Tests und Überwachung
2. Komponenten dokumentieren: Pflege einer Software-Stückliste (SBOM)
3. Schwachstellen beheben: Sicherheitsupdates ohne unangemessene Verzögerung bereitstellen
4. Schwachstellen offenlegen: Koordination mit betroffenen Parteien
5. Sicherheitsupdates: Kostenlose Updates für definierten Supportzeitraum (mindestens 5 Jahre)

Schwachstellenmeldung

Ab September 2026 müssen Hersteller melden:

Konformitätsbewertung

Produkte müssen die CE-Kennzeichnung tragen, die die Konformität bestätigt.

Strafen

• Nichteinhaltung: Bis zu 15 Millionen € oder 2,5 % des weltweiten Umsatzes
• Verstoß gegen wesentliche Anforderungen: Bis zu 10 Millionen € oder 2 % des Umsatzes
• Andere Verstöße: Bis zu 5 Millionen € oder 1 % des Umsatzes^[4]

Handlungsempfehlungen für Entwickler

Für Software- und Hardwarehersteller:

1. Produkte inventarisieren: Ermitteln, welche Produkte betroffen sind und deren Kategorie
2. Sicherheit durch Design: Sicherheit in Entwicklungsprozesse integrieren
3. Schwachstellenmanagement: Erkennung und Handhabung etablieren
4. SBOM-Erstellung: Softwarekomponenten und Abhängigkeiten dokumentieren
5. Supportplanung: Supportzeiträume definieren und kommunizieren
6. Update-Mechanismen: Sichere Update-Verteilungssysteme aufbauen
7. Konformitätsvorbereitung: Technische Dokumentation vorbereiten