Cyber Resilience Act der EU verabschiedet

Vor allem die Hersteller von Produkten werden in die Pflicht genommen: Sie müssen sicherstellen, dass ihre Produkte die Sicherheitskriterien für den europäischen Markt erfüllen. Das Fraunhofer IEM erarbeitet mit Unternehmen wie Adesso mobile solutions, Phoenix Contact und Kraft Maschinenbau Security-Maßnahmen – und gibt Tipps, wie Unternehmen sich für den CRA rüsten können.

»Die Übergangsfrist, bis der CRA 2027 voll erfüllt werden muss ist kurz. Unternehmen müssen sich in vielen Bereichen neu aufstellen – angefangen von der Durchführung von Security-Risikoanalysen über kurzfristige Meldepflichten bei Bekanntwerden von Schwachstellen bis hin zu kostenfreien Security-Updates während der erwarteten Lebensdauer des Produkts«, erläutert Dr. Matthias Meyer, Bereichsleiter Softwaretechnik und IT-Sicherheit am Fraunhofer IEM. Aufschieben ist nicht anzuraten, denn bei Nichteinhaltung des CRA drohen Strafzahlungen in Millionenhöhe.
Das Forschungsinstitut empfiehlt Unternehmen drei Maßnahmen zu ergreifen, um den Weg zur CRA-konformen Produktentwicklung zu beginnen.

1. Aufbau eines Schnelleinsatzteams für den Ernstfall

Werden Hersteller gewahr, dass Schwachstellen in ihren Produkten ausgenutzt werden, müssen sie künftig die Agentur der Europäischen Union für Cybersicherheit (ENISA) umgehend informieren: Innerhalb von 24 Stunden müssen sie eine erste Warnung geben und innerhalb von 72 Stunden weitere Details zur Art der Schwachstelle, möglichen Gegenmaßnahmen und mehr liefern. Abgesehen davon müssen sie jederzeit ansprechbar sein für Personen, die Sicherheitslücken melden möchten, und im Blick behalten, ob Schwachstellen in einem zugelieferten Softwarebestandteil bekannt werden. Dies gehört zu den Aufgaben eines Product Security Incident Response Teams (PSIRT): Hersteller, die noch kein PSIRT etabliert haben, sollten sich damit befassen, denn die genannten Pflichten sind bereits ab Juni 2026 zu erfüllen, und zwar für alle Produkte auf dem Markt, auch solche, die lange vor Inkrafttreten des CRA lanciert wurden.

2. Bedrohungs- und Risikoanalysen als zentrales Instrument

Im Kern verlangt der CRA, dass Hersteller ihre Produkte regelmäßig auf Sicherheitsrisiken analysieren und an diese Risiken angepasste Sicherheitsmaßnahmen integrieren. Unternehmen müssen das Durchführen von Bedrohungs- und Risikoanalysen für alle Produkte fest in den Entwicklungsprozess integrieren: So identifizieren sie systematisch Bedrohungen, bewerten das jeweilige Sicherheitsrisiko und leiten informiert und gezielt Schutz- und Gegenmaßnahmen ab. Das Sicherheitsniveau der Software kann somit kontinuierlich und vor allem angemessen erhöht werden.

3. Überblick durch Ist-Stand-Analyse

Unternehmen müssen sich ein Bild davon machen, welche Anforderungen des CRA sie erfüllen, und zwar sowohl bezüglich ihrer Prozesse im Produktlebenszyklus als auch der konkreten Produkte. Auch wenn noch keine harmonisierten Normen zum CRA vorliegen, ist einhellige Expertenmeinung, dass der bereits existierende Standard für industrielle Cybersicherheit IEC 62443 eine gute Orientierung gibt. Unternehmen können schon jetzt Ist-Stand-Analyse für ihre Prozesse und Produkte durchführen und Maßnahmen ableiten.