Kurzdefinition: Der Cyber Resilience Act verlangt, dass Produkte mit digitalen Elementen grundlegende Cybersicherheitsanforderungen erfüllen. Diese sind in einem Anhang der Verordnung festgelegt und betreffen sowohl die Eigenschaften der Produkte als auch die Behandlung von Schwachstellen. Hersteller müssen ihre Produkte ohne bekannte ausnutzbare Schwachstellen bereitstellen und Schwachstellen über einen Unterstützungszeitraum von mindestens fünf Jahren — oder der Lebensdauer — behandeln. [N-CRA-13]
Der Normwortlaut
Der CRA bestimmt, dass Produkte mit digitalen Elementen die grundlegenden Cybersicherheitsanforderungen erfüllen müssen. Nach Art. 3 Nummer 1 CRA ist ein „‚Produkt mit digitalen Elementen‘ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen“; für diese Produkte gelten die grundlegenden Anforderungen an Produkteigenschaften und an die Behandlung von Schwachstellen. [N-CRA-3] [N-CRA-13]
Was verlangen die grundlegenden Cybersicherheitsanforderungen?
Sicherheit über den Lebenszyklus. Die Anforderungen betreffen die Eigenschaften der Produkte — etwa Schutz vor unbefugtem Zugriff, Vertraulichkeit und Integrität von Daten — und die Behandlung von Schwachstellen. Hersteller müssen eine Risikobewertung vornehmen und die einschlägigen Anforderungen für die jeweilige Produktart ermitteln. [N-CRA-13]
Was bedeutet „ohne bekannte ausnutzbare Schwachstellen“?
Dass Produkte sicher ausgeliefert werden. Der CRA verlangt, Produkte mit digitalen Elementen ohne bekannte ausnutzbare Schwachstellen bereitzustellen, die sich auf ihre Sicherheit auswirken könnten. Bekannte Sicherheitsprobleme sind vor dem Inverkehrbringen zu beheben. [N-CRA-13]
Wie lange muss der Hersteller Schwachstellen behandeln?
Über den Unterstützungszeitraum. Dieser beträgt mindestens fünf Jahre — es sei denn, die Lebensdauer des Produkts ist kürzer; dann gilt die Lebensdauer. Bei Produkten, die voraussichtlich länger genutzt werden, ist ein entsprechend längerer Unterstützungszeitraum sicherzustellen. [N-CRA-13]
Gelten alle Anforderungen für jedes Produkt?
Nicht ausnahmslos. Ist eine grundlegende Cybersicherheitsanforderung auf ein Produkt nicht anwendbar, muss der Hersteller dies in der der technischen Dokumentation beigefügten Risikobewertung eindeutig begründen. Die Anforderungen sind risikobasiert auf die Produktart zu beziehen. [N-CRA-13]
Was ist mit Sicherheitsaktualisierungen?
Sie sind bereitzustellen. Hersteller sollen ihre Produkte so gestalten, dass Sicherheitsaktualisierungen verteilt werden können, und Nutzer über Schwachstellen informieren sowie Aktualisierungen unverzüglich zur Verfügung stellen. Für Verbraucherprodukte sind automatische Aktualisierungsfunktionen vorgesehen. [N-CRA-13]
Häufige Fehlannahmen
- „Sicherheit muss nur bei Auslieferung stimmen.“ Nein. Schwachstellen sind über den Unterstützungszeitraum zu behandeln. [N-CRA-13]
- „Der Unterstützungszeitraum ist frei wählbar.“ Nein. Er beträgt mindestens fünf Jahre oder die kürzere Lebensdauer. [N-CRA-13]
- „Bekannte Schwachstellen darf man mitliefern.“ Nein. Produkte sind ohne bekannte ausnutzbare Schwachstellen bereitzustellen. [N-CRA-13]
- „Jede Anforderung gilt starr für jedes Produkt.“ Nein. Nicht anwendbare Anforderungen sind in der Risikobewertung zu begründen. [N-CRA-13]
- „Sicherheitsupdates sind freiwillig.“ Nein. Hersteller müssen über Schwachstellen informieren und Aktualisierungen bereitstellen. [N-CRA-13]
- „Die Anforderungen betreffen nur die Technik.“ Nicht nur. Sie umfassen auch Prozesse wie Risikobewertung und Schwachstellenbehandlung. [N-CRA-13]
Was die Geschäftsleitung tun sollte
- Risikobewertung einführen. Für jedes Produkt die einschlägigen Cybersicherheitsanforderungen ermitteln und dokumentieren.
- Sicher ausliefern. Produkte ohne bekannte ausnutzbare Schwachstellen bereitstellen.
- Unterstützungszeitraum festlegen. Mindestens fünf Jahre bzw. die Lebensdauer und ggf. länger sicherstellen.
- Update-Prozess aufbauen. Verteilung von Sicherheitsaktualisierungen und Information der Nutzer organisieren.
Für die Geschäftsleitung
Die grundlegenden Cybersicherheitsanforderungen machen Sicherheit zum Konstruktionsmerkmal: sicher ausgeliefert, dokumentiert bewertet und über Jahre gepflegt. Für die Leitung heißt das, Schwachstellenbehandlung und Update-Fähigkeit früh in Entwicklung und Kalkulation einzuplanen — nicht erst, wenn der CRA vollständig gilt.
Quellen
- [N-CRA-13] Art. 13 CRA (VO (EU) 2024/2847, Pflichten der Hersteller) sowie Anhang I (grundlegende Cybersicherheitsanforderungen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-3] Art. 3 CRA (Begriffsbestimmungen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
