Der CRA gilt für alle verkauften Produkte mit digitalen Komponenten, die an ein Netzwerk angeschlossen oder mit anderen Geräten verbunden werden können.

Darunter fallen:

• Hardware wie Laptops, Smartphones, IoT-Geräte, Mikroprozessoren usw.
• Softwareprodukte wie mobile Apps, Buchhaltungssoftware, Computerspiele
• Software-as-a-Service (SaaS) Anwendungen, die direkt mit einem Endgerät verbunden sind (z.B. Fitness-Software)

Unabhängig von ihrem Preis sind sowohl Produkte für den Endverbraucher als auch B2B-Lösungen betroffen. Damit hat der CRA weitreichende Konsequenzen für produzierende Unternehmen weltweit, die auf dem EU-Markt verkaufen wollen.

Bei Verstößen drohen:

• Empfindliche Strafen mit Bußgeldern bis zu 15 Mio. € oder 2,5% des weltweiten Jahresumsatzes.
• Produkte, deren Sicherheitsmängel nicht behoben werden können, müssen zurückgerufen und vom Markt genommen werden.
• Verletzt die Geschäftsführung ihre Sorgfaltspflichten, kann sie auch persönlich haftbar gemacht werden.

Doch in den neuen Anforderungen stecken auch Chancen für Hersteller, die von Anfang an das adäquate Niveau an Sicherheit in die Produktentwicklung integrieren und sich so auf dem neu regulierten Markt von der Konkurrenz abheben können. Lernen Sie im Folgenden die wichtigsten Vorgaben des Cyber Resilience Acts kennen, bevor wir aufzeigen, wie Sie die größten Herausforderungen für Ihr Unternehmen mit individuell für Ihre Produkte entwickelter Software meistern können.

Welche Anforderungen stellt der Cyber Resilience Act an die Produktsicherheit?

Der CRA hat zum Ziel, die Cyberresilienz im gesamten Produktlebenszyklus zu stärken. Dementsprechend vielfältig sind die Vorgaben, die sich nicht nur auf das fertige Produkt auswirken, sondern auch die Entwicklung, Konfiguration und den Support nach Verkauf mitbeachten. Im Zusammenspiel mit NIS-2 und weiteren Regulierungen sind in den EU-Vorschriften jetzt alle Aspekte der Informationssicherheit abgedeckt. Mit Cybersicherheit muss sich zukünftig also jedes Unternehmen auseinandersetzen.

Sehen wir uns die wichtigsten Inhalte des CRA genauer an:

1. Secure by Design

Das Secure by Design-Prinzip kommt aus der Softwareentwicklung und bedeutet, dass bereits ab der Konzeptionsphase eines neuen Produktes Aspekte der Cybersicherheit den Entwicklungsprozess anleiten. Nach gängigen Best Practices werden angemessene Sicherheitsverfahren ausgewählt und während der Entwicklung und Produktion angewandt. Dabei empfiehlt es sich für Industrieunternehmen, auf international anerkannten Standards aufzubauen, die Orientierung in verschiedenen Bereichen bieten, darunter:

• Die EN 18031 Norm, die sich mit der Cybersicherheit von Funkanlagen beschäftigt und im Rahmen der RED (Radio Equipment Directive) entwickelt wurde
• Die EN 50742 für den Schutz von Maschinen vor Korrumpierung (befindet sich aktuell in Planung)
• Die Common Criteria der ISO/IEC 15408 zur Evaluierung und Zertifizierung der Sicherheit von IT-Produkten

Im Rahmen der verpflichtenden CE-Kennzeichnung für alle Produkte, die unter den CRA fallen, gilt es, die relevanten Industrienormen zu erfüllen. So können Unternehmen nachweisen, dass die geforderten Maßnahmen des Cyber Resilience Act angemessen implementiert sind. Diese müssen vollständig dokumentiert und zur Zulassung des Produktes eingereicht werden.

2. Schwachstellenmanagement und Sicherheitsupdates

Zum Marktstart dürfen nach den Bedingungen des CRA keine bekannten Schwachstellen im Produkt vorliegen. Außerdem müssen Prozesse zur kontinuierlichen Identifizierung und Behebung entdeckter Schwachstellen nachgewiesen werden.

Wird eine neue Sicherheitslücke ausgemacht, ist das Unternehmen in der Pflicht, kostenlos Sicherheitsupdates nachzuliefern und diese auch automatisch auf den Geräten oder in der Software auszurollen. Diese automatischen Updates sind in der Grundeinstellung aktiviert. Nutzer sollen jedoch die Möglichkeit haben, Updates ablehnen oder verschieben zu können.

3. Sichere Konfiguration und Zugriffskontrolle

Die Produzenten werden dazu aufgefordert, sichere Werkseinstellungen anzulegen und immer eine Möglichkeit zum Zurücksetzen anzubieten. Standardpasswörter wie “admin” oder “0000” dürfen im Auslieferungszustand nicht verwendet werden, oder sie müssen während der ersten Inbetriebnahme verpflichtend vom Nutzer geändert werden.

Außerdem muss der Zugriff auf sensible Daten ausreichend geschützt werden: Geeignete Maßnahmen gegen Brute-Force-Attacken wie Rate Limiting und Mindestlängen bei Passwörtern sind genauso zu implementieren wie verschlüsselte Authentifizierungsmethoden.

4. Monitoring und Incident Response

Auch nach Rollout oder Verkauf des Produktes werden Hersteller zu einigen Maßnahmen verpflichtet. Dazu gehört ein kontinuierliches Monitoring aller sicherheitsrelevanten Aktivitäten, beispielsweise der Nutzer-Authentifizierungen oder des Netzwerkverkehrs, um Anomalien aufzuspüren.

Um das deutlich zu machen: Die Verantwortung für die Durchführung des Monitorings liegt direkt beim Hersteller. Es reicht nicht, nur dem Käufer oder Nutzer die Möglichkeit dazu einzuräumen. Jedoch muss den Nutzern Zugriff auf die geloggten Daten gewährt werden und das Monitoring deaktiviert werden können.

Schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden an die Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeldet werden – auch an Wochenenden und Feiertagen. Während der Vorfall behandelt wird, muss zudem sichergestellt sein, dass die Kernfunktionen des Produkts weiter funktionieren.

5. Lebenszyklusmanagement

Wie bereits aus den erläuterten Anforderungen herauszulesen ist, verantworten die Produzenten in Zukunft den gesamten Lebenszyklus ihrer digitalen Produkte in der EU. Dafür muss auch ein angemessener Zeitrahmen für den technischen Support definiert werden.

Erreicht das Produkt seinen End of Life (EOL)-Status, müssen Mechanismen vorliegen, die es den Nutzern erlauben, sämtliche Daten zu löschen oder gegebenenfalls in eigene Systeme zu transferieren.

Herausforderungen für die Industrie

Produzierenden Unternehmen wird mit den neuen Cybersicherheits-Richtlinien der EU viel abverlangt. Immer mehr Geräte und Produkte müssen digitale Komponenten enthalten, um auf dynamischen Märkten bestehen zu können. Diese Entwicklung erfordert ohnehin den langwierigen Aufbau von Kompetenzen, die in herkömmlichen Industrien lange eine untergeordnete Rolle gespielt haben. Fachkräfte müssen gefunden und geschult werden, Produktionslinien nachgerüstet und Organisationsstrukturen angepasst werden. Strenge und detaillierte Vorgaben bezüglich der Cybersicherheit erhöhen den Druck jetzt zusätzlich.

Doch in den veränderten Marktbedingungen liegen auch Chancen für Industrieunternehmen, die den Wandel mitgehen und die richtigen Investitionen tätigen. Eine stärkere Cyberresilienz sichert nicht nur Ihren langfristigen Geschäftserfolg ab – wenn Sie Ihre Produkte früher als die Konkurrenz den neuen Anforderungen anpassen und an den Kunden bringen können, erobern Sie zusätzliche Marktanteile.

Chancen des CRA ergreifen – mit individuellen Lösungen

Für den Übergang in eine digitale Zukunft stehen Softwarepartner wie TRIOVEGA bereit, die sich mit den spezifischen Bedürfnissen der Industrie auskennen. Mit Custom Software Solutions entwickeln wir genau die Softwarelösungen, die Sie in Ihren Produkten benötigen. Kaufen Sie sich ganze Projekte oder Teilkomponenten ohne Vendor Lock-In ein oder verstärken Sie Ihre Teams zielgerichtet durch zusätzliche Fachkräfte und unsere Erfahrung.

In einem ersten Schritt analysieren unsere Requirement Engineers gemeinsam mit Ihnen die Ausgangslage für Ihre Softwareanwendung. Dabei werden die Sicherheitsanforderungen von Anfang an mitgedacht und in die Projektplanung integriert – Secure by Design, wie es der Cyber Resilience Act erfordert. 

Die meisten Sicherheitsmaßnahmen, die im CRA dargelegt werden, setzen eine Selbsteinschätzung des produzierenden Unternehmens voraus. Wenn die innerbetriebliche Vorerfahrung mit digitalen Produkten begrenzt ist, kann das zur Herausforderung werden. Partner mit Expertise in der Cybersicherheit für industrielle Umgebungen können Ihnen dabei helfen, das passende Sicherheitsniveau auszuwählen, um kosteneffizient und präzise alle regulatorischen Anforderungen zu erfüllen.

Mit zielgerichteten Investitionen können Sie die Chancen nutzen, die sichere individuelle Softwareentwicklung bei der Umsetzung des CRA bietet.