Mobile-Menu

Alles zum Cyber Resilience Act – Teil 2 Betroffene Produkte und Anforderungen durch den CRA

Ein Gastbeitrag von Prof. Dr. Dominik Merli 4 min Lesedauer

Anbieter zum Thema

Hochschule Augsburg Hochschulverwaltung Technologietransfer u.Weiterbildung
secunet Security Networks AG
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Wollen Hersteller ihre Produkte in der EU verkaufen, tickt die Uhr. Digitale Produkte müssen bis Dezember 2027 ein Mindestmaß an Cybersecurity erfüllen. Welche Produkte betroffen sind und wie Hersteller mit Schwach­stellen umgehen sollten, lesen Sie hier.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im zweiten Teil erfahren Sie, welche Produkte überhaupt betroffen sind, was die Sicherheitsanforderungen des CRA sind und wie Hersteller mit Schwachstellen umgehen sollten. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im zweiten Teil erfahren Sie, welche Produkte überhaupt betroffen sind, was die Sicherheitsanforderungen des CRA sind und wie Hersteller mit Schwachstellen umgehen sollten.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Während der erste Artikel zu den wichtigsten Fragen rund um den Cyber Resiliece Act die Intentionen, Herausforderungen und den Zeitplan des CRA aufgearbeitet hat, erfahren Sie in diesem Artikel mehr zu folgenden Fragen:

  • Welche Produkte sind vom CRA betroffen?
  • Was sind die Sicherheitsanforderungen des CRA?
  • Wie sollen Hersteller mit Schwachstellen umgehen?

Welche Produkte sind vom CRA betroffen?

Der Cyber Resiliece Act reguliert „Produkte mit digitalen Elementen“. Dieser Begriff, auf den sich der CRA immer wieder bezieht, wirkt erst einmal sehr weit gefasst. Der CRA versteht da­run­ter Software- oder Hardware-Produkte und deren Lösungen zur Datenfernverarbeitung. Das schließt auch Software- oder Hardware-Komponenten ein, die getrennt vom Hauptprodukt in Verkehr gebracht werden.

Allgemein gilt der CRA für Produkte auf dem europäischen Markt, wenn sie dafür gedacht sind, eine direkte, indirekte, logische oder physische Datenverbindung mit einem Netz oder einem Gerät aufzubauen. Er gilt ebenso für Produkte, bei denen eine solche Funktion in Zukunft denk­bar ist.

Allerdings fällt deshalb nicht jedes Produkt mit digitalen Elementen unter den CRA. Denn die Cybersicherheit bestimmter Produkte unterliegt bereits strengeren Vorschriften. Dazu gehören zum Beispiel Fahrzeuge, medizinische Geräte oder spezielle Produkte zur Verarbeitung von ver­traulichen Informationen.

In Folge 2 seiner Videoserie zum CRA erklärt Prof. Dr. Dominik Merli, welche Produkte der Cyber Resilience Act eigentlich betrifft, welche Anforderungen er an deren Security stellt und was Hersteller beim Schwachstellen-Management beachten müssen.

Was sind die Sicherheitsanforderungen des CRA?

Hersteller müssen Cybersicherheitsrisiken für alle Phasen im Lebenszyklus eines Produkts bewerten. Dazu gehören: Planung, Design, Entwicklung, Produktion, Auslieferung, Betrieb und Entsorgung. Basierend auf diesen Analysen müssen Hersteller Schutzmaßnahmen in ihre Pro­dukte integrieren, um ein angemessenes Maß an Cybersicherheit gewährleisten zu können. Das heißt, eine Bedrohungs- und Risikoanalyse wird mit dem CRA für jedes Produkt ver­pflich­tend. Sie ist die Grundlage, auf der Sie Schutzmaßnahmen oder den Verzicht darauf rechtfertigen müssen.

Doch der CRA macht noch weitere Vorgaben. Kommen Produkte auf den Markt, sollen sie sichere Standardkonfigurationen und keine bekannten ausnutzbaren Schwachstellen haben. Diese sicheren Werkseinstellungen müssen auch wiederherstellbar sein. Zudem müssen Hersteller identifizierte Schwachstellen in ihren Produkten mit Sicherheits-Updates adres­sieren. Nach Möglichkeit sollten diese in den Standardeinstellungen automatisch eingespielt werden. Produkte sollen außerdem nur notwendige Daten erfassen und dem Benutzer erlauben, alle Daten und Einstellungen einfach und sicher von ihnen zu entfernen.

Neben diesen grundlegenden Anforderungen nennt der CRA noch weitere wichtige Bereiche, die Hersteller für jedes Produkt betrachten sollten:

  • Mechanismen zur Authentifizierung, zum Identitätsmanagement und zur Zugriffskontrolle sollen Produkte vor unberechtigten Zugriffen schützen.
  • Kryptographische Algorithmen sollen die Vertraulichkeit und Integrität von gespeicherten Daten gewährleisten.
  • Resilienz- und Robustheitsmaßnahmen sollen die essentiellen Funktionen eines Produkts absichern und deren Verfügbarkeit, auch während oder nach Angriffen, sicherstellen.
  • Angriffsflächen und mögliche Auswirkungen von Angriffen auf ein Produkt sollen von Anfang an auf ein Mindestmaß reduziert werden.
  • Sicherheitsrelevante Informationen und Aktivitäten eines Produkts sollten aufgezeichnet werden, um dessen Zustand überwachen zu können.

Wie sollen Hersteller mit Schwachstellen umgehen?

Neben Anforderungen an Produkte und deren Entwicklungsprozess fordert der CRA auch einen bestimmten Umgang mit Schwachstellen.

Hersteller müssen die Komponenten ihrer Produkte in Form einer Software Bill of Materials (SBOM) dokumentieren. Vereinfacht gesagt handelt es sich dabei um eine Auflistung aller im Produkt enthaltenen Softwaremodule und deren Versionsstände. Eine solche SBOM schafft Transparenz und vereinfacht das Schwachstellen-Management auf Hersteller- und Kunden­seite.

Der CRA spricht auch die Kommunikation von Schwachstellen an. Hersteller müssen eine Kon­takt­möglichkeit schaffen, über die Dritte Schwachstellen in ihren Produkten melden können, zum Beispiel eine security.txt nach RFC 9116. Zudem müssen sie auch ihre Kunden über entdeckte Schwachstellen informieren, sie zeitnah mit Sicherheits-Updates beheben und sie unverzüglich und kostenlos verbreiten.

Des Weiteren müssen Hersteller die Cybersicherheit ihrer Produkte regelmäßig testen und Informationen über behobene Schwachstellen offenlegen. In bestimmen Fällen können Her­steller die Offenlegung von Schwachstellen auch aufschieben. Allerdings nur, wenn die Sicher­heitsrisiken der Veröffentlichung den Nutzen überwiegen.

Fazit: Produkte, CRA-Anforderungen und Schwachstellen

Zusammenfassend lässt sich sagen, dass der Cyber Resilience Act Produkte mit digitalen Ele­menten betrifft, die in irgendeiner Form eine Datenverbindung herstellen können. Ausge­nom­men sind Produkte, die bereits ähnlichen oder gar strengeren Vorschriften unterliegen. Die genannten Anforderungen vermitteln eine klare Botschaft: Sicherheit soll für die Nutzer zum Standard werden. Die Grundlage ist eine Bedrohungs- und Risikoanalyse. Sichere Standard­kon­fi­gu­ra­tionen, automatische Sicherheits-Updates, effektive Zugriffs­kontrolle und verlässliches Schwachstellen-Management führen zu einem soliden Gesamtpaket.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Über den Autor: Dominik Merli ist Professor für IT-Sicherheit an der Technischen Hochschule Augsburg und Leiter des dortigen Instituts für innovative Sicherheit. Er beschäftigt sich seit mehr als 15 Jahren mit der Cybersicherheit von Produkten in einer Vielzahl von Branchen.

(ID:50643352)

Weiterführende Inhalte