Mobile-Menu

IoT-Sicherheit nach EU-Vorgaben So entsprechen IoT-Designs nachge­wiesen dem Cyber Resilience Act

Von David Haslam* 6 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
FTAPI Software GmbH

Der Cyber Resilience Act stellt IoT-Entwickler vor komplexe Herausforde­rungen bei der Umsetzung von Cybersicherheit. Wie können Unternehmen die strengen Vorschriften erfüllen, welche Lösungen bieten echte Unter­stützung und welche Rolle spielen unabhängige Prüfungen?

Der Cyber Resilience Act der EU verändert grundlegend, wie IoT-Geräte entwickelt und abgesichert werden müssen. Mit Strafen von bis zu 2,5% des weltweiten Jahresumsatzes bei Verstößen ist Konformität keine Option, sondern Pflicht. Dieser Artikel liefert wertvolle Einblicke in die praktische Umsetzung der Anforderungen und stellt eine mögliche Tool-Lösung vor, die von unabhängigen Experten auf ihre CRA-Konformität geprüft wurde.(Bild: KI-Generiert / DALL-E)
Der Cyber Resilience Act der EU verändert grundlegend, wie IoT-Geräte entwickelt und abgesichert werden müssen. Mit Strafen von bis zu 2,5% des weltweiten Jahresumsatzes bei Verstößen ist Konformität keine Option, sondern Pflicht. Dieser Artikel liefert wertvolle Einblicke in die praktische Umsetzung der Anforderungen und stellt eine mögliche Tool-Lösung vor, die von unabhängigen Experten auf ihre CRA-Konformität geprüft wurde.
(Bild: KI-Generiert / DALL-E)

Geräte und Ökosysteme im Internet der Dinge (IoT) unterliegen zunehmend staatlichen, nationalen und internationalen Vorschriften, die Entwickler dazu anhalten, Cybersicherheit zu gewährleisten. IoT-Entwickler stehen dabei vor einer dreifachen Herausforderung: Sie müssen alle für ihre IoT-Geräte und -Ökosysteme geltenden Vorschriften kennen, deren Anforderungen interpretieren und geeignete Maßnahmen umsetzen, um schließlich von den Regulierungs­behörden und im Markt anerkannt zu werden. Der folgende Beitrag untersucht diese Herausforderungen im Kontext des Cyber Resilience Act (CRA) der Europäischen Union und die Rolle, die unabhängige Dritte bei der Validierung der Anforderungen spielen.

Vorgaben nach dem Cyber Resilience Act

Der Cyber Resilience Act (CRA) verlangt, dass digitale Produkte und Dienste, die mit anderen Geräten oder Netzwerken verbunden sind, von Grund auf sicher und widerstandsfähig gegen Cyberbedrohungen sind und während ihrer gesamten Lebensdauer Cybersicherheit bieten.

Das Gesetz trat am 10. Dezember 2024 in Kraft und wird in drei Phasen umgesetzt. Bis zum 11. Juni 2026 müssen die EU-Mitgliedstaaten der Kommission die Namen der Stellen in ihrem Zuständigkeitsbereich mitteilen, die CRA-Konformitätsbewertungen anbieten. Bis zum 11. September 2026 müssen Hersteller in der Lage sein, die Anforderungen des Gesetzes zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle zu erfüllen. Am 11. Dezember 2027 werden alle weiteren Anforderungen des Gesetzes verbindlich. Für manche stellen diese Fristen eine Herausforderung dar, über die sie lieber nicht nachdenken möchten.

Bild 1: CRA-Anforderungen im Überblick.(Bild: Crypto Quantique)
Bild 1: CRA-Anforderungen im Überblick.
(Bild: Crypto Quantique)

Viele der technischen Anforderungen des Gesetzes entsprechen den Erwartungen: Cybersicherheit durch Design umsetzen; standardmäßig sichere Konfigurationen bereitstellen und angemessene Verschlüsselungs- und Zugriffskontrollen einführen. Das Gesetz verlangt aber auch, dass Hersteller Risikobewertungen durchführen, diese auf dem neuesten Stand halten und alle Schwachstellen während der gesamten Lebensdauer des Produkts beheben. Es fordert Hersteller auf, bei der Integration von Komponenten oder Diensten Dritter in ihre Produkte die gebotene Sorgfalt walten zu lassen. Außerdem verlangt es eine umfassende Dokumentation, einschließlich einer Konformitätserklärung mit den Vorschriften.

Die Kosten für die Nichteinhaltung der CRA-Anforderungen können hoch sein, darunter Geldbußen bis zu 2,5% des weltweiten Jahresumsatzes des Herstellers, Verkaufsbeschränkungen und sogar Produktrückrufe.

Konformität als Herausforderung

Durchdachte Tools helfen IoT-Entwicklern, die Anforderungen des Gesetzes zu berücksichtigen und ihre Designprozesse entsprechend anzupassen. Solche Tools können auch Bereiche aufzeigen, in denen ihre Bemühungen allein nicht ausreichen, um alle CRA-Anforderungen zu erfüllen, beispielsweise wenn die Cybersicherheit des physischen Designs von einem externen Dienstleister abhängt.

Die Bewertung der Konformität eines Designs durch Dritte hilft Herstellern, die behördliche Anerkennung und Marktakzeptanz bei der Einhaltung der Anforderungen zu erzielen. Diese Bewertung muss wirklich unabhängig sein, um die erforderliche Glaubwürdigkeit zu gewährleisten.

Einen solchen Bewertungsservice bietet cetome an, ein weltweit tätiges Sicherheits­beratungs­unternehmen. Es hilft Kunden, sich selbst, ihre Produkte und Dienstleistungen vor bekannten Cyberrisiken zu schützen und effektiv auf neue Herausforderungen zu reagieren. Darüber hinaus verfolgt es die Entwicklung der Cybersicherheitsgesetzgebung und unterstützt Kunden bei der Einhaltung gesetzlicher Anforderungen. Damit hat cetome als unabhängiger Berater zu diesen Vorschriften und als Schiedsrichter für deren Einhaltung eine wichtige Rolle beim Aufbau von Vertrauen in die Cybersicherheitsbewertungen einzelner IoT-Geräte und -Systeme.

Beispiel: cetome bewertet QuarkLink

Betrachten wir als Beispiel Crypto Quantique. Das Unternehmen ist ein Software- und Halbleiter-IP-Anbieter, der durchgehende (End-to-End-)IoT-Sicherheitsprodukte anbietet. Dazu zählen Sicherheits-IP für Chip-Entwickler bis hin zu Software-Tools, mit denen OEMs die Anbindung von Millionen von Geräten an die Cloud automatisieren können.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Bild 2: Die breite Funktionalität und Vielzahl unterstützter Geräte machen QuarkLink von CryptoQuantique zu einem geeigneten potenziellen Tool für die Einhaltung der CRA-Vorschriften.(Bild: CryptoQuantique)
Bild 2: Die breite Funktionalität und Vielzahl unterstützter Geräte machen QuarkLink von CryptoQuantique zu einem geeigneten potenziellen Tool für die Einhaltung der CRA-Vorschriften.
(Bild: CryptoQuantique)

Die Softwareplattform QuarkLink von Crypto Quantique vereinfacht Security-by-Design-Praktiken, indem sie Aspekte wie die Generierung und Speicherung von Schlüsseln auf dem Gerät, die Schlüssel- und Zertifikats­verwaltung sowie Sicherheits­funktionen wie Secure-Boot-Strategien und Flash-Verschlüsselung übernimmt. Sie ist für verschiedene Linux-Distributionen verfügbar und funktioniert mit Hardware, die von ressourcen­be­schränk­ten Mikrocontroller bis hin zu leistungsstarken SoCs reicht.

Crypto Quantique beauftragte cetome mit einer unabhängigen und unvoreingenommenen Bewertung, inwieweit QuarkLink den Kunden dabei hilft, die CRA-Anforderungen zu erfüllen, wenn es für die Entwicklung von IoT-Produkten und -Dienstleistungen genutzt wird.

QuarkLink besteht aus zwei Hauptkomponenten. Das QuarkLink-Software-Entwicklungskit / SDK ermöglicht Sicherheitsfunktionen auf dem Gerät, z. B. Secure Boot, und verwaltet auch Geheimnisse und Zertifikate im Gerät. Der zweite Teil ist eine Cloud-Plattform für die sichere Bereitstellung von Geräten, die Einbindung von Cloud-Diensten von Drittanbietern und die Schlüsselverwaltung.

Die Analyse von QuarkLink durch cetome wurde Anfang 2025 durchgeführt. Der Bericht beschreibt, wie die Funktionen von QuarkLink einem IoT-Entwickler dabei helfen, die einzelnen wesentlichen Anforderungen im Anhang 1 des Cyber Resilience Acts zu erfüllen. Der Bericht skizziert auch die Lücken, die ein Kunde neben der Nutzung von QuarkLink schließen muss. Für jede Anforderung hat cetome einen Grad der Konformitätsunterstützung angegeben: „Ausgezeichnet“ bedeutet, dass QuarkLink den Kunden eine hervorragende Möglichkeit bietet, die Konformität mit geringem zusätzlichem Aufwand zu erreichen. „Gut“ bedeutet, dass die Plattform zur Erreichung der Konformität beitragen kann, jedoch möglicherweise ergänzende Maßnahmen erforderlich sind. „Befriedigend“ bedeutet, dass QuarkLink nur dann zur Erreichung der Konformität beiträgt, wenn zusätzliche Voraussetzungen erfüllt sind.

Dabei ist anzumerken, dass die Bewertungen, die QuarkLink bei einigen Anforderungen des Cyber Resilience Acts mit „Gut“ oder „Befriedigend“ ausweisen, lediglich bedeuten, dass die Arbeiten, die der Kunde zum Erfüllen der Anforderung durchführen muss, außerhalb des Leistungsumfangs dieser Art von Softwareplattform liegen.

Die technische Auslegung der Anforderungen kann bei diesen Bewertungen ebenfalls ein Problem darstellen. So verlangt der Cyber Resilience Act nicht ausdrücklich, dass Embedded-IoT-Geräte Secure-Boot-Strategien verwenden, sondern dass alle Cybersicherheitslücken, die während des Betriebs des Geräts auftreten, innerhalb von 48 Stunden behoben werden. In vielen Fällen ist dies nur durch ein funkbasiertes/OTA Firmware-Update möglich, das nur mit einer Hardware-Root-of-Trust und einer Secure-Boot-Strategie sicher durchgeführt werden kann.

Trotz dieser Komplexität kommt der Bericht von cetome zu dem Schluss, dass QuarkLink „eine umfassende All-in-One-Lösung für die Entwicklung und den Betrieb von Secure-by-Design-Produkten bietet. Eine Stärke von QuarkLink ist die Vereinfachung komplexer hardware­basierter Sicherheitsfunktionen, sowohl hinsichtlich ihrer Implementierung als auch ihrer Verwaltung.“ Dies wird dadurch erreicht, dass QuarkLink als Abstraktionsschicht zwischen dem Entwickler und der Implementierung nativer hardwarebasierter Sicherheitsfunktionen fungiert. Crypto Quantique hat Partnerschaften mit mehreren Chipherstellern geschlossen, um diese Implementierungsherausforderung zu bewältigen.

Die Bewertung von cetome hebt auch die Wirksamkeit von QuarkLink am anderen Ende des IoT-Kontinuums hervor. Dafür sorgt die zentralisierte Verwaltung von Sicherheitsgeheimnissen und Zertifikaten während des gesamten Produktlebenszyklus. Dies reduziert wesentliche Risiken bei der Nutzung von Kryptografie, z. B. unsichere Implementierungen, Fehl­kon­fi­gu­ra­ti­on, durchgesickerte Geheimnisse und die weitere Verwendung abgelaufener Zertifikate.

Der Bericht kommt zu dem Schluss: „Mit QuarkLink können Hersteller die Einhaltung mehrerer wesentlicher Anforderungen des CRA beschleunigen“. Es wird jedoch auch gewarnt: „QuarkLink ist nur ein Wegbereiter für Produktsicherheit – Kunden müssen weiterhin einen Secure-by-Design-Prozess befolgen und die wesentlichen Anforderungen des Cyber Resilience Acts auf ihr gesamtes Produkt anwenden, einschließlich mobiler Anwendungen und Cloud-Dienste.“

Die spürbaren Auswirkungen des Cyber Resilience Acts und ähnlicher Gesetze stehen weltweit bevor - ob es IoT-Entwicklern gefällt oder nicht. Einige dieser Vorschriften enthalten sehr spezifische Anforderungen, die Entwickler verstehen, umsetzen und sowohl auf dem Markt als auch durch unabhängige Bewertungsstellen testen müssen, bevor sie sicher sein können, dass ihre Designs konform sind.

Tools wie QuarkLink von Crypto Quantique tragen dazu bei, über die Umsetzung dieser regulatorischen Anforderungen nachzudenken und entsprechende Lösungen zu implementieren. Gleichzeitig können unabhängige Berater wie cetome IoT-Entwicklern und dem breiteren Markt helfen, zu verstehen, wie gut die Anforderungen des CRA und anderer neuer Vorschriften in der Praxis eingehalten werden .

Über den Autor: David Haslam ist Head of Software Engineering bei Crypto Quantique. Er verfügt über mehr als 25 Jahre Erfahrung in der Software-Entwicklung und ist ein überzeugter Verfechter agiler Methoden und DevOps-Praktiken, die die Effizienz und Zusammenarbeit zwischen funktionsübergreifenden Teams fördern.

Dieser Beitrag wurde zuerst auf dem Vogel-Portal ELEKTRONIKPRAXIS veröffentlicht.

(ID:50448460)

Weiterführende Inhalte