Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, um die Cybersicherheit von Produkten mit digitalen Elementen verbindlich zu regeln. Die Verordnung ist bereits am 10. Dezember 2024 in Kraft getreten. Die eigentliche Umsetzung durch die Hersteller muss bis zum 11. Dezember 2027 durchgeführt werden. Ausgenommen der Meldepflicht für Sicherheitsvorfälle, diese beginnt bereits früher, nämlich zum 11. September 2026.
Für die Umsetzungndes CRA soll Hard- und Software so entwickelt werden, dass sie möglichst während ihres gesamten Lebenszyklus gegen Cyberangeriffe geschützt bleiben. Betroffen sind davon nahezu alle Produkte mit digitalen Komponenten. Dazu zählen neben offensichtlichen Produkten wie Betriebssystemen, Laptops oder Routern auch Smart-Home-Geräte wie Waschmaschinen oder Fernseher, die sich mit dem eigenen WLAN verbinden lassen. Ähnlich wie auch NIS-2 wurde der CRA EU-weit beschlossen und muss entsprechend in den einzelnen Ländern umgesetzt werden. Er betrifft dabei nicht nur Unternehmen innerhalb der EU, sondern auch Hersteller, die in einem anderen Land produzieren, aber in der EU verkaufen möchten. Somit tangiert die Verordnung nicht nur Hersteller, sondern auch Lieferanten und Importeure.
Wozu dient der CRA?
Der Cyber Resilience Act soll zukünftig vor allem Verbraucher:innen vor Cyberattacken stärker schützen. Für die Nutzer von Produkten mit digitalen Komponenten ist nicht immer einsehbar, welche Schutzmaßnahmen hierfür getroffen wurden oder nachträglich getroffen werden müssen. Wenn, wie vom CRA gefordert, die Cybersicherheit bereits bei der Herstellung implementiert wird, erhöht dies den Schutz der Verbraucher:innen deutlich und gibt die Verantwortung wieder zurück zu den Herstellern.
Welche Verpflichtungen gelten durch den CRA für Hersteller?
Wie auch bei NIS-2 sind die Umsetzungsmaßnahmen des CRA nicht trivial und kurz zusammen zu fassen. Vor allem geht es darum IT-Sicherheit bereits bei der Entwicklung von Produkten mitzudenken. Zusätzlich soll ein Schwachstellenmanagement etabliert werden und Meldeketten für Sicherheitslücken und ausgenutzten Schwachstellen geschaffen werden. Vor allem letzteres sollte zeitnah durch Hersteller eingeführt werden, da dies bereits 2026 verpflichtend wird. Die vollständigen Maßnahmen des CRA finden sich in der eigentlichen Verordnung.
Was ist die TR-03183 Hilfestellung, die durch das BSI für den CRA bereitgestellt wurde?
Die BSI TR-03183 dient als Einstiegshilfe in den CRA und ist als eine Sammlung von wichtigen Informationen zu verstehen. Sie soll vor allem Herstellern dienen, die noch keine ausgereiften IT-Sicherheitsprozesse oder Schwachstellenbehandlung etabliert haben. Die TR-03183 ist aktuell nur in englischer Sprache vorhanden. Auf LinkedIN begründet das BSI dies damit, dass sie im Austausch mit europäischen und internationalen Stakeholdern entstanden ist und aus diesem Grund in englischer Sprache verfasst wurde. Zusätzlich betont das BSI auf der Webseite, dass das Dokument lediglich eine Hilfestellung ist, die weder verpflichtend noch verbindlich ist. Das komplette Dokument findet sich auf der Seite des BSIs zum Download. Zusätzlich gibt es auch eine Auswahl allgemeiner Sicherheitsmaßnahmen in dem maschienenlesbaren Format OSCAL. Diese sind auf Github zu finden.
Unsere Handlungsempfehlungen für den CRA
Sollten Sie Hersteller von Produkten mit digitalen Komponenten sein, wird es nun höchste Zeit sich mit diesem Thema zu beschäftigen. Die Meldepflichten sind bereits ab dem 11. September 2026 bindend. Somit sollten Sie hier ansetzen und dokumentieren, wie mit Sicherheitsvorfällen zukünftig verfahren werden soll. Sonst drohen neben dem üblichen Reputationsverlust und finanziellen Schaden eines Sicherheitsvorfalls auch Sanktionen durch das BSI. Dies kann auch in einem Notfallplan geregelt werden. Wir von der ISCL GmbH beraten Sie hierzu gern.