EU-Gesetz zur Cyber-Resilienz Was Unternehmen zum CRA wissen müssen

Anbieter zum Thema

Red Hat GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Es gibt einen neuen Meilenstein in der europäischen Cybersicherheit: Der Cyber Resilience Act (CRA) ist zum 10. Dezember 2024 offiziell in Kraft getreten. Die Umsetzung bringt weitreichende Änderungen für in der EU tätige Unternehmen mit sich. Doch was bedeutet das konkret für Unternehmen und Anwender gleichermaßen, und wie kann Open Source dabei helfen, den Anforderungen der neuen Realität gerecht zu werden?

Der Cyber Resilience Act ist ein robuster neuer Rechtsrahmen, der die Cybersicherheit von Hardware- und Software-Produkten mit digitalen Elementen verbessern soll – von Smart-Home-Geräten bis hin zu komplexen Betriebssystemen in kritischen nationalen Infrastrukturen. Seit Mitte Dezember greift die Verordnung schrittweise mit einer Übergangsfrist von 36 Monaten – und wird zum 11. Dezember 2027 vollständig anwendbar sein.

Die Verordnung schreibt strenge Cybersicherheitsanforderungen für Produkte vor, die in den Geltungsbereich der EU fallen. Hersteller, Importeure und Händler sind somit verpflichtet, während des gesamten Lebenszyklus eines jeden Produkts umfassende Cybersicherheit zu gewährleisten.

Empfehlungen zur Umsetzung des CRA

Athene schafft Klarheit zum Cyber Resilience Act

Für den Schutz des digitalen Ökosystems bedeutet der CRA einen weiteren Schritt nach vorne. Durch die Einführung strenger Cybersicherheitsmaßnahmen sorgt die Verordnung dafür, dass Produkte auf dem EU-Markt sicherer und widerstandsfähiger sind, was weniger Schwachstellen und geringere Risiken für Unternehmen und ihre Kunden bedeutet. Für EU-Unternehmen, die Open-Source-Lösungen für ihre Produkte nutzen oder sich an Open-Source-Projekten beteiligen, bringen diese Vorschriften jedoch neue Herausforderungen und Sorgfaltspflichten mit sich.

Warum der Cyber Resilience Act für Unternehmen wichtig ist

Unternehmen müssen sicherstellen, dass Produkte, die in der EU27 eingesetzt werden, die Anforderungen des CRA und der nachfolgenden Standards erfüllen. Dies erfordert strengere Beschaffungsprozesse und eine Überprüfung von Sicherheitsstandards für Hardware, Software und unterstützende Cloud-Dienste. Für Unternehmen, die Open-Source-basierte Lösungen auf dem EU27-Markt verkaufen, bedeutet der CRA zugleich neue Verpflichtungen, die Sicherheit dieser Komponenten zu überprüfen. Das erfordert oft enge Partnerschaften mit Anbietern, die besseren Support und Konformitätsgarantien bieten können.

Red Hat ist sich dieses Umbruchs bewusst und setzt sich dafür ein, Open Source als treibende Kraft für robuste Innovationen zu erhalten. Dabei geht es nicht nur um die Einhaltung von Vorschriften. Vielmehr muss sichergestellt werden, dass Lösungen mit der Verordnung konform sind. Dazu gehört auch die kontinuierliche Zusammenarbeit mit den politischen Entscheidungsträgern der EU und die aktive Mitarbeit in den europäischen Standardisierungsgremien. Das ist notwendig, um Best Practices im Bereich Open Source zu berücksichtigen und gleichzeitig dafür einzutreten, dass die vorgelagerten Open-Source-Communities nicht in den Anwendungsbereich solcher Gesetze fallen.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Unterstützung von Open-Source-Communities

Open Source macht 97 Prozent der heutigen IT-Infrastruktur aus, wobei viele Open-Source-Projekte von dezentralen, ehrenamtlich geführten Communities entwickelt werden. Diese Gemeinschaften verfügen wahrscheinlich nicht über die Ressourcen, um die geltenden CRA-Verpflichtungen zu erfüllen oder die Prozesse aufrechtzuerhalten, die zur Unterstützung der nachgelagerten Compliance erforderlich sind, was zu einer Fragmentierung dieser Communities und sogar zur Einstellung wichtiger Open-Source-Projekte führen kann.

Branchenführer wie das Open Forum Europe, die Linux Foundation, die Eclipse Foundation, die Open Source Initiative und die Apache Software Foundation haben es sich deshalb zur Aufgabe gemacht, die breitere Open-Source-Gemeinschaft vor den Auswirkungen einiger der strengeren Compliance-Anforderungen zu schützen.

Security-Insider Podcast – Folge 95

War das wirklich das Security-Jahr 2024 und wie geht 2025 wohl weiter?

Die Zusammenarbeit zwischen verschiedenen Organisationen spielt bei der Stärkung des Open-Source-Ökosystems eine entscheidende Rolle, und alle Unternehmen mit einem Interesse an offenen Standards sollten dazu beitragen. Dabei gibt es zahlreiche Möglichkeiten: die Beteiligung an Upstream-Communities, die Mitarbeit an Projekten, die Tools und Praktiken entwickeln, die sich mit den wichtigsten CRA-Elementen befassen – oder ganz einfach die Entscheidung für Software, die für die spezifischen Anforderungen von Unternehmen entwickelt wurde und auf sicheren, rechtskonformen Open-Source-Grundlagen basiert.

Das Engagement für Open Source bedeutet, dass sich Unternehmen auf robuste, CRA-konforme Plattformen verlassen können, ohne auf Flexibilität oder Innovation verzichten zu müssen. In einem regulatorischen Umfeld, das sich zunehmend auf die Cybersicherheit konzentriert, sind Schnittstellen zwischen Open Source und Unternehmenssicherheit daher unerlässlich, um in einer Welt, in der Cyber-Resilienz nicht nur eine Option, sondern eine Notwendigkeit ist, führend zu sein.

Über den Autor: Tom Savage ist Senior Vice President und General Counsel bei Red Hat. Er ist seit 2017 für das Unternehmen tätig und verfügt über mehr als 25 Jahre Erfahrung in der Geschäftswelt und dem Rechtswesen von Technologieunternehmen in schnell wachsenden und sich stark verändernden Umgebungen.

(ID:50280108)