EU Cyber Resilience Act

Ein umfassender Überblick

Die Digitalisierung unserer Welt schreitet rasant voran und mit ihr die Notwendigkeit, die Sicherheit unserer digitalen Infrastrukturen zu gewährleisten. Der EU Cyber Resilience Act (CRA) ist eine Antwort auf diese Herausforderung und stellt einen Meilenstein in der europäischen Cybersicherheitspolitik dar.

Prien am Chiemsee - 20.12.2023

Die Grundlagen des Cyber Resilience Act

Der CRA ist ein Entwurf der Europäischen Union, der darauf abzielt, die Widerstandsfähigkeit gegen Cyberangriffe zu stärken und ein einheitliches Sicherheitsniveau für digitale Produkte zu schaffen. Die Notwendigkeit eines solchen Gesetzes ist offensichtlich, wenn man die steigende Anzahl von Cyberangriffen und die wachsende Abhängigkeit von digitalen Technologien betrachtet.

Zielsetzung und Anwendungsbereich

Das primäre Ziel des CRA ist die Gewährleistung eines hohen Sicherheitsstandards für Produkte mit digitalen Komponenten. Diese Produkte umfassen eine breite Palette von Geräten und Software, von IoT-Geräten bis hin zu Smartphones und darüber hinaus. Der CRA fordert von Herstellern, Importeuren und Händlern, dass ihre Produkte grundlegende Sicherheitsanforderungen erfüllen, bevor sie auf dem EU-Markt angeboten werden dürfen.

Sicherheitsmaßnahmen und Meldepflichten

Unternehmen müssen Sicherheitslücken proaktiv schließen und Sicherheitsupdates für eine Dauer von bis zu fünf Jahren zur Verfügung stellen. Zusätzlich sind sie verpflichtet, behobene Schwachstellen und Cybersicherheitsvorfälle zu melden, insbesondere aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die Europäische Agentur für Cybersicherheit (ENISA).

Konformitätsbewertung und Sanktionen

Für Produkte, die als kritisch eingestuft werden, ist ein besonderes Konformitätsbewertungsverfahren erforderlich. Bei Nichteinhaltung der Vorschriften des CRA drohen empfindliche Strafen, die bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes eines Unternehmens betragen können.

Besondere Herausforderungen für Unternehmen

Unternehmen stehen vor der Herausforderung, ihre Produkte und Dienstleistungen an die strengen Anforderungen des CRA anzupassen. Dies erfordert eine Überarbeitung der Entwicklungs- und Sicherheitsprozesse, um die "Security by Design"-Prinzipien zu integrieren. Die Übergangsfristen des CRA sind kurz, was eine schnelle Anpassung notwendig macht.

Auswirkungen auf Softwaredienstleister

Softwaredienstleister müssen ebenfalls die Anforderungen des CRA erfüllen, was Konformitätsbewertungen und die Gewährleistung der Produktsicherheit einschließt. Die Situation um Open-Source-Software bleibt jedoch unklar, da diese, wenn sie nicht kommerziell entwickelt oder bereitgestellt wird, nicht unter den CRA fallen soll. Die fehlende explizite Verankerung dieser Ausnahme im Gesetzestext sorgt für Unsicherheit.

Bewertung des Cyber Resilience Act

Der CRA wird als wichtiger Schritt zur Stärkung der Cybersicherheit innerhalb der EU gesehen. Er schafft ein harmonisiertes Sicherheitsniveau und knüpft an etablierte Prozesse in Unternehmen an. Dies fördert ein Level-Playing-Field und unterstützt somit die Integrität des europäischen Binnenmarktes.

Kritiker des CRA bemängeln die weitgefasste Definition von kritischen Produkten und die kurzen Übergangsfristen. Diese könnten den Marktzugang erschweren und die internationale Wettbewerbsfähigkeit beeinträchtigen. Außerdem gibt es Bedenken hinsichtlich der Auswirkungen auf die Open-Source-Community und die europäische Softwareindustrie.

Checkliste für Unternehmen

Einhalten von Cybersicherheitsanforderungen: Hersteller müssen sicherstellen, dass ihre Produkte mit digitalen Elementen von der Planung und dem Design über die Entwicklung und Produktion bis hin zur Distribution den Cybersicherheitsanforderungen entsprechen.
Lebenszyklusverantwortung: Hersteller sind für die Cybersicherheit ihrer Produkte über den gesamten Lebenszyklus hinweg verantwortlich, einschließlich der Bereitstellung kostenloser Updates im Fall von Sicherheitslücken für bis zu fünf Jahre.
Informationspflicht: Nutzer müssen über behobene Schwachstellen und Cybersicherheitsvorfälle informiert werden. Hersteller sind verpflichtet, Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die Europäische Agentur für Cybersicherheit (ENISA) zu melden.
Konformitätsbewertung für kritische Produkte: Produkte werden in verschiedene Kritikalitätsklassen eingeteilt. Für kritische Produkte sind höhere Anforderungen vorgesehen, die durch eine spezielle Konformitätsbewertungsprozedur nachgewiesen werden müssen.

Spezifische Anforderungen nach Produktlebenszyklusphasen

KONZEPTPHASE

CRA-Anforderungen berücksichtigen: Von der ersten Produktidee bis zur finalen Freigabe für die Vor- oder Serienentwicklung müssen die CRA-Anforderungen in Betracht gezogen werden.
Sicherheitsrisikobewertung durchführen: Es sollte eine Sicherheitsrisikobewertung durchgeführt werden, um potenzielle Sicherheitslücken zu identifizieren und notwendige Maßnahmen oder Sicherheitsfunktionen abzuleiten.
Kontaktpunkt für Nutzer einrichten: Organisationen müssen einen Kontaktpunkt für Nutzerberichte über Schwachstellen einrichten, idealerweise unternehmensweit organisiert.

ENTWICKLUNGSPHASE

Sicherheitsfeatures planen: Notwendige Sicherheitsfunktionen sollten frühzeitig geplant werden.
Sichere Update-Mechanismen implementieren: Hersteller müssen sichere Update-Mechanismen implementieren und eine Toolchain aufrechterhalten, um jede Veröffentlichung für fünf Jahre wiederherstellen und patchen zu können.
Technische und Nutzerdokumentation bereitstellen: Ausreichende technische Dokumentation (z.B. System- und Softwarearchitektur, Software Bill of Materials) oder Nutzerdokumentation, einschließlich einer Beschreibung der sicherheitsbewussten Inbetriebnahme und Stilllegung des Produkts, ist erforderlich.
Konformität mit dem CRA sicherstellen: Am Ende der Entwicklung ist die Konformität mit dem CRA erforderlich, in der Regel durch eine Hersteller-Selbsterklärung, obwohl bestimmte Produktklassen (insbesondere im IIoT-Bereich) zusätzliche Schritte wie eine Zertifizierung erfordern können.

Rechtsfolgen bei Nichteinhaltung

Unternehmen, die die Anforderungen des CRA nicht erfüllen, können mit hohen Strafen rechnen, die bis zu 15 Millionen Euro oder bis zu 2,5 % des weltweiten Umsatzes des betroffenen Unternehmens betragen können. Darüber hinaus können Produkte, die den Anforderungen nicht entsprechen, vom Markt genommen werden.

Fazit

Der EU Cyber Resilience Act ist ein ambitioniertes Gesetzesvorhaben, das die Cybersicherheit in der EU auf ein neues Niveau heben soll. Unternehmen und Softwaredienstleister müssen sich auf die neuen Vorschriften einstellen und ihre Praktiken entsprechend anpassen. Trotz einiger Bedenken ist die Intention des Gesetzes, die digitale Welt sicherer zu machen, positiv zu bewerten. Es bleibt abzuwarten, wie sich die Umsetzung in der Praxis gestalten wird und ob die Bedenken der Open-Source-Gemeinschaft berücksichtigt werden.

In der komplexen Welt der Cybersicherheit bietet der CRA eine Chance, die Resilienz gegenüber Cyberbedrohungen zu erhöhen und Vertrauen in digitale Produkte zu stärken. Für eine Welt, in der digitale Technologien eine immer größere Rolle spielen, ist dies ein notwendiger Schritt in die richtige Richtung.

169

Die Macht der Marke

Ein tiefgehender Blick auf Deutschlands wertvollste Brands

Marken sind mehr als nur Namen oder Logos. Sie sind ein Versprechen, eine Identität und oft ein entscheidender Faktor für den Erfolg eines Unternehmens. In Deutschland, bekannt ...

Weiterlesen 224

Zwischen Fortschritt und Verantwortung: Die Regulierung Großer Sprachmodelle

Einblick in die Herausforderungen und Chancen der KI-Regulierung am Beispiel von LLMs

In einer Welt, in der künstliche Intelligenz (KI) zunehmend in unseren Alltag eindringt, stehen wir vor der Herausforderung, die Technologie so zu gestalten, dass sie der Gesell...

Weiterlesen 142