Mobile-Menu

Alles zum Cyber Resilience Act – Teil 1 Warum Produkte cybersicher werden müssen

Ein Gastbeitrag von Prof. Dr. Dominik Merli 4 min Lesedauer

Anbieter zum Thema

Hochschule Augsburg Hochschulverwaltung Technologietransfer u.Weiterbildung
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Hersteller müssen ihre Produkte cybersicher machen. Das ist nicht nur wirtschaftlich geboten, um Investitionen zu schützen und Schaden zu be­grenzen. Auch rechtlich müssen Produkte mit digitalen Elementen bald grundlegende Anforderungen erfüllen.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im ersten Teil erfahren Sie, warum der Cyber Resilience Act für Unternehmen und Kunden wichtig ist.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im ersten Teil erfahren Sie, warum der Cyber Resilience Act für Unternehmen und Kunden wichtig ist.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Aller Anfang ist schwer – das gilt auch für das Implementieren von Security-Maßnahmen. Dass Sie diesen Text lesen, ist bereits der erste Schritt. Gut gemacht! In diesem und weiteren Artikeln möchte ich Sie dabei unterstützen, den Cyber Resilience Act, kurz CRA, einfach zu verstehen und effizient umzusetzen. Deshalb beantworte ich hier die folgenden grundlegenden Fragen zum CRA:

  • Was bedeutet der CRA für Unternehmen in der EU?
  • Welche Herausforderungen adressiert er?
  • Wer setzt den CRA durch und wer ist von ihm betroffen?
  • Wann sind die wichtigsten Fristen?

Was bedeutet der CRA für Unternehmen in der EU?

Der Cyber Resilience Act ist ein umfassendes europäisches Gesetz, das die Cybersicherheit von Produkten mit digitalen Elementen verbessern soll. Dazu stellt er verbindliche Anforderungen an Hersteller, Importeure und Händler, die in der EU tätig sind.

Aber warum müssen wir die Cybersicherheit von Produkten überhaupt regulieren? Erstens steigt die Bedeutung des Internet of Things weiter. Es gibt nicht nur immer mehr vernetzte IoT-Geräte. Sie sind auch in nahezu allen Lebensbereichen zu finden. Zweitens gefährden immer mehr Cyberangriffe die Gesellschaft. Sie bedrohen nicht nur die Wirtschaft, sondern auch Menschen und nicht zuletzt unsere Demokratie. Und drittens brauchen wir ein zuverlässiges Mindestmaß an Cybersicherheit. So werden unsere IT-Systeme generell widerstandsfähiger gegen Cyberangriffe. Und der Markt profitiert von verlässlichen Standards.

In diesem Video gibt Prof. Dr. Dominik Merli einen Überblick über seine Videoreihe zum CRA.

Welche aktuellen Herausforderungen adressiert der CRA?

Das Cybersicherheitsniveau von Produkten ist aktuell oft relativ niedrig. Vernetzte Produkte werden selten regelmäßig aktualisiert und teils haben sie bereits ab Werk gravierende Sicher­heitslücken. Der CRA fordert daher, dass Hersteller angemessene Schutzmaßnahmen in einem sicheren Entwicklungsprozess identifizieren und entsprechend umsetzen.

Eine weitere Herausforderung ist das fehlende Bewusstsein für Cybersicherheit bei Kunden und Nutzern. Mangels Informationen erkennen sie oft nicht, ob ein Produkt moderne Sicherheits­an­for­derungen erfüllt oder wie sie es sicher benutzen können. Der CRA soll deshalb für Trans­pa­renz sorgen, um den Nutzern informierte Käufe und Konfigurationen zu ermöglichen.

Eine solche Umstellung bedeutet natürlich Aufwand für Unternehmen. Am Ende des Tages sorgt ein Standard für Cybersicherheit allerdings auch für Verlässlichkeit und Planbarkeit. Und davon profitieren Hersteller und Nutzer gleichermaßen.

In Episode 1 seiner Videoserie zum CRA gibt Prof. Dr. Dominik Merli einen Überblick über die Grundlagen des CRA. Welche Bedeutung hat er für Unternehmen, welche Herausforderung adressiert er, wer setzt ihn durch, wer ist betroffen und wann sind die wichtigsten Fristen.

Wer setzt den CRA durch und wer ist von ihm betroffen?

Der CRA hat verschiedene Akteure. Im Grunde gibt es Nutzer, Wirtschaftsakteure, Test­ein­richtungen und Behörden. Die Nutzer verwenden Produkte privat oder gewerblich als Un­ternehmen. Der CRA soll ihnen ermöglichen, Cybersicherheit in ihre Entscheidungen mit­einzubeziehen.

Im Mittelpunkt der Wirtschaftsakteure stehen die Hersteller, die Produkte designen, ent­wick­eln, produzieren und vermarkten. Aber auch Importeure, Distributoren und autorisierte Re­präsentanten zählen zu dieser Gruppe.

Testeinrichtungen spielen als unabhängige Dritte eine wichtige Rolle bei der Konformitätsprüfung von Produkten mit hohem Gefahrenpotenzial.

Die Marktüberwachungsbehörde in Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es wacht über die Einhaltung des CRA in Deutschland. Jedes EU-Mitglied hat eine solche Behörde. Für die Koordination im jeweiligen EU-Land sind die Com­pu­ter Security Incident Response Teams (CSIRT) zuständig. In Deutschland übernimmt das CERT Bund diese Rolle.

Zuletzt gibt es noch die European Network and Information Security Agency (ENISA), die europäische Agentur für Cyber­sicherheit. Sie unterstützt EU-Staaten und deren Cyber­sicherheitsorganisationen dabei, ihre Cybersecurity-Fähigkeiten zu verbessern.

Hersteller in Deutschland müssen sowohl das CERT Bund als auch die ENISA über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle bei ihrer Produktentwicklung informieren.

Wann sind die wichtigsten Fristen?

Die Timeline des Cyber Resilience Act ist mittlerweile klar. Mit seinem Inkrafttreten am 10. Dezember 2024 läuft eine Frist von drei Jahren. Deshalb sollten Wirtschaftsakteure unver­züg­lich damit beginnen CRA-Prozesse zu implementieren. Denn die Compliance mit dem CRA proaktiv zu planen lohnt sich.

Hersteller sollten vor allem zwei Daten kennen, an denen bestimmte Teile des CRA verbindlich und wirksam werden. Ab dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Vorfälle. Ab 11. Dezember 2027 müssen alle CRA-Anforderungen erfüllt werden. In speziellen Fällen gibt es auch noch Übergangsfristen, die über dieses Datum hinausgehen. Darauf sollten Unternehmen sich aber besser nicht verlassen und bis zu den genannten Stichtagen ihre Prozesse und Produkte auf Vordermann gebracht haben.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Der wichtigste Tipp ist deshalb: Legen Sie los! Viele Unternehmen haben die Dringlichkeit des CRA schon erkannt, denn 2027 rückt schnell näher.

Über den Autor: Dominik Merli ist Professor für IT-Sicherheit an der Technischen Hochschule Augsburg und Leiter des dortigen Instituts für innovative Sicherheit. Er beschäftigt sich seit mehr als 15 Jahren mit der Cybersicherheit von Produkten in einer Vielzahl von Branchen.

(ID:50643235)

Weiterführende Inhalte