Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, die Hersteller oder Systemanbieter auf dem EU-Markt bereitstellen. Der CRA führt Verpflichtungen in Bezug auf sicheres Produktdesign, den Umgang mit Sicherheitslücken, Sicherheitsupdates, technische Dokumentation, Konformitätsbewertung sowie die Meldung bestimmter aktiv ausgenutzter Sicherheitslücken und schwerwiegender Vorfälle ein. Die genauen Verpflichtungen hängen vom jeweiligen Produkt und dessen Klassifizierung ab.

Der CRA gilt allgemein für Produkte mit digitalen Elementen, einschließlich Hardware- und Softwareprodukten, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden sind. Beispiele hierfür sind unter anderem eingebettete Systeme, industrielle Geräte, Gateways, vernetzte Geräte, Softwareanwendungen und bestimmte Lösungen zur Datenfernverarbeitung.

Ob ein bestimmtes Produkt in den Geltungsbereich fällt, ausgenommen ist oder anderen EU-Rechtsvorschriften unterliegt, sollte anhand seines Verwendungszwecks, seiner Funktionalität, seiner Rolle auf dem Markt und des geltenden Rechtsrahmens beurteilt werden.

Viele Embedded- und Industrieprodukte könnten in den Anwendungsbereich des CRA fallen, wenn es sich um Produkte mit digitalen Elementen handelt, die auf dem EU-Markt in Verkehr gebracht werden. Dazu können vernetzte Industriecomputer, Gateways, Steuerungen, Edge-Geräte, Software und vernetzte Geräte gehören.

Hersteller sollten jedes Produkt einzeln bewerten, einschließlich dessen Konnektivität, des Verwendungszwecks, der Softwarekomponenten, des Aktualisierungsmodells und der geltenden branchenspezifischen Rechtsvorschriften.  

Die CRA verpflichtet Hersteller von unter den Geltungsbereich fallenden Produkten, die Cybersicherheit über den gesamten Produktlebenszyklus hinweg zu gewährleisten. Zu den Schlüsselbereichen zählen die Entwicklung nach dem Security-by-Design-Prinzip, die Risikobewertung, der Schutz vor bekannten Schwachstellen, sichere Standardkonfigurationen, der Umgang mit Schwachstellen, Sicherheitsupdates, die technische Dokumentation sowie die Konformitätsbewertung.

Hersteller müssen zudem spezifische Meldepflichten für bestimmte Schwachstellen und Vorfälle erfüllen. Die detaillierten Anforderungen sollten unter Berücksichtigung der Produktkategorie und der geltenden rechtlichen Leitlinien geprüft werden.

Der CRA trat bereits 2024 in Kraft, die meisten Produktanforderungen werden jedoch voraussichtlich erst ab dem 11. Dezember 2027 gelten. Einige Verpflichtungen, darunter bestimmte Meldepflichten für Schwachstellen und Vorfälle, gelten bereits früher.

Da die Umsetzungstermine und Verpflichtungen von der jeweiligen Anforderung abhängen können, sollten Hersteller einen CRA-Umsetzungsplan führen und ihre Verpflichtungen mit qualifizierten Rechts- oder Compliance-Experten abklären.

Ein unter den Geltungsbereich des Cyber Resilience Act fallendes Produkt ist dann CRA-konform, wenn es die geltenden Cybersicherheitsanforderungen erfüllt. 

Dazu gehören in der Regel die Produktklassifizierung, die Bewertung von Cybersicherheitsrisiken, sichere Entwicklungsverfahren, das Schwachstellenmanagement, die technische Dokumentation, die Konformitätsbewertung, Prozesse nach dem Inverkehrbringen sowie der Nachweis, dass Sicherheitsupdates und der Umgang mit Schwachstellen angemessen gehandhabt werden.

Hersteller können sich vorbereiten, indem sie einen Fahrplan zur Umsetzung des CRA erstellen. Zu den typischen ersten Schritten gehören das Ermitteln der betroffenen Produkte, die Bestandsaufnahme bestehender Sicherheitsprozesse, das Durchführen von Produktrisikobewertungen, das Überprüfen von Softwarekomponenten, das Einrichten von Prozessen zum Umgang mit Schwachstellen, das Festlegen von Update-Richtlinien und das Erstellen der technischen Dokumentation.

Eine Lückenanalyse (Gap Assessment) kann dabei helfen, Maßnahmen in den Bereichen sichere Entwicklung, SBOM, PSIRT, Tests, Lieferantenmanagement, Dokumentation und Support nach der Markteinführung zu priorisieren.

Die CRA-Bereitschaft erfordert eine angemessene technische Dokumentation, aus der hervorgeht, wie die Anforderungen an die Cybersicherheit erfüllt wurden. Der Umfang der erforderlichen Dokumentation hängt vom Produkt, dem Verfahren zur Konformitätsbewertung und den geltenden Verpflichtungen ab.

Zu den nützlichen Nachweisen gehören unter anderem Produktbeschreibungen, Risikobewertungen, Bedrohungsmodelle, Dokumentation der Sicherheitsarchitektur, Softwarekomponenten, Testergebnisse, Aufzeichnungen zum Schwachstellenmanagement, Aktualisierungsrichtlinien, Benutzeranleitungen und gegebenenfalls Konformitätserklärungen.

Cybersicherheitsdienste können Herstellern dabei helfen, ihren aktuellen Reifegrad zu bewerten, Lücken in der Produktsicherheit zu identifizieren und die für die CRA-Bereitschaft erforderlichen Prozesse und Nachweise zu implementieren.

Die Unterstützung kann CRA-Lückenanalysen, Risikobewertung, Bedrohungsmodellierung, sichere Softwareentwicklung, Sicherheitstests, die Implementierung von SBOMs, den Aufbau eines PSIRT, Schwachstellenmanagement, Unterstützung bei der Dokumentation sowie die Planung der Lebenszyklus-Sicherheit umfassen.

Die Nichteinhaltung der CRA-Vorschriften kann verschiedene Konsequenzen nach sich ziehen, darunter Geldbußen, Beschränkungen oder Verbote des Inverkehrbringens von Produkten, Rückrufmaßnahmen sowie Haftungsrisiken gegenüber Kunden.

Als Hersteller ergreift duagon die technischen und organisatorischen Maßnahmen, die erforderlich sind, um die Anforderungen an die Cybersicherheit über den gesamten Produktlebenszyklus hinweg zu erfüllen. Zu unseren Dienstleistungen gehören die Analyse des erforderlichen Sicherheitsniveaus, die Durchführung umfassender Risikoanalysen, die Erstellung der erforderlichen technischen Dokumentation sowie die Implementierung von Schwachstellenmanagementprozessen zur Identifizierung, Bewertung und Behebung von Sicherheitslücken. Durch die Kombination dieser Maßnahmen stärken wir die Cybersicherheit unserer Produkte.

Security-related Application Conditions (SecRACs) sind sicherheitsbezogene Anwendungsbedingungen in der Cybersicherheit. Sie definieren Voraussetzungen, Annahmen und Nutzungseinschränkungen, die ein Betreiber oder Systemintegrator erfüllen muss, um ein technisches System sicher betreiben zu können. Der Begriff stammt vor allem aus dem Bahnsektor. 

Die CE-Kennzeichnung zeigt an, dass ein Produkt die geltenden Anforderungen der EU erfüllt und die erforderlichen Verfahren zur Konformitätsbewertung erfolgreich durchlaufen hat. Mit dem CRA schließt dies für Produkte mit digitalen Elementen künftig auch verbindliche Cybersicherheitsanforderungen ein.

Durch das Anbringen der Kennzeichnung erklärt der Hersteller, dass das Produkt allen geltenden EU-Rechtsvorschriften entspricht und innerhalb der Europäischen Union in Verkehr gebracht werden darf. 

Der Begriff End of Support (EOS) bezeichnet den Zeitpunkt, zu dem ein Hersteller den Support für ein Produkt einstellt. Nach diesem Datum werden in der Regel keine Sicherheitsupdates, Fehlerbehebungen oder technische Unterstützung mehr bereitgestellt. Im Zusammenhang mit dem Cyber Resilience Act ist die Supportdauer von besonderer Bedeutung: Hersteller müssen für Produkte mit digitalen Elementen über einen bestimmten Zeitraum hinweg Sicherheitsupdates und Fehlerbehebungen bereitstellen. Sobald das EOS erreicht ist, endet diese Verpflichtung, sofern die im CRA festgelegten Anforderungen an die Supportdauer erfüllt sind

Ein Produkt mit digitalen Elementen (Product with Digital Elements – PDE) ist jedes Hardware- oder Softwareprodukt, das direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden werden kann. Dazu gehören vernetzte Geräte wie Smarthome-Produkte, industrielle IoT-Geräte, Computer, mobile Geräte wie Tablets und Smartphones, Softwareanwendungen und eingebettete Software. Nach dem CRA müssen Produkte mit digitalen Elementen während ihrer gesamten vorgesehenen Lebensdauer bestimmte Anforderungen an die Cybersicherheit erfüllen.

Der Begriff Security by Default bezieht sich darauf, dass ein Produkt mit bereits aktivierten Sicherheitseinstellungen ausgeliefert wird. Benutzer müssen wesentliche Sicherheitsfunktionen nicht selbst konfigurieren, um ein angemessenes Schutzniveau zu erreichen. Im Rahmen des CRA haben die Hersteller zu gewährleisten, dass Produkte bei ihrer Markteinführung in ihrer Standardkonfiguration sicher sind.

Cybersicherheit wird über den gesamten Produktlebenszyklus hinweg berücksichtigt, beginnend in der Frühphase der Konzeption und Entwicklung. Dabei wird die Sicherheit durch Maßnahmen wie eine sichere Architektur, Risikobewertungen, sichere Programmierpraktiken, Schwachstellenmanagement und Sicherheitstests in das Produkt integriert. Der CRA verpflichtet Hersteller, Cybersicherheit in die Konzeption, Entwicklung und Wartung von Produkten mit digitalen Elementen zu integrieren, um Cybersicherheitsrisiken von vornherein zu reduzieren.

SBOM steht für Software Bill of Materials, eine Software-Stückliste. Sie ist eine strukturierte Aufstellung der Softwarekomponenten, Bibliotheken und Abhängigkeiten, aus denen sich ein Softwareprodukt zusammensetzt. Sie sorgt für Transparenz in der Software-Lieferkette und hilft Herstellern, Kunden und Sicherheitsteams dabei, betroffene Komponenten zu identifizieren, wenn Schwachstellen entdeckt werden. Hersteller sind laut dem CRA verpflichtet, im Rahmen ihrer Cybersicherheits- und Schwachstellenmanagementprozesse Informationen über die in ihren Produkten verwendeten Softwarekomponenten zu führen.