Cyber Resilience Act BSI veröffentlicht Leitfaden zum CRA

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

FTAPI Software GmbH

Wann, wo, wie, warum? Zum Cyber Resilience Act sind noch viele Fragen offen. Das BSI hat eine Timeline, eine Checkliste sowie technische Richtlinien zum CRA veröffentlicht und gibt weitere Antworten auf drängende Fragen.

Mit dem Cyber Resilience Act (CRA) ist die erste europäiosche Verordnung verabschiedet worden, die ein Mindestmaß an Cybersicherheit für vernetzte Produkte vorgibt. Betroffen sind alle Produkte, die auf dem EU-Markt erhältlich sind. Das Ziel der EU ist es, die Cybersicherheit innerhalb der eigenen Grenzen zu erhöhen. Bis November 2027 müssen die Vorgaben bei allen Produkten umgesetzt sein. Um mehr Klarheit darüber zu schaffen, welche Produkte unter den CRA fallen und wie kleine und mittelständische Unternehmen (KMU) sowie Startups bei der Umsetzung unterstüzt werden, hat das BSI einen Leitfaden erstellt.

Cybersicherheit für Produkte und Anwendungen

EU verabschiedet Cyber Resilience Act – Was Sie jetzt wissen müssen

Timeline des Cyber Resilience Act

• Oktober 2024: Verabschiedung des CRA

• Am 21. November 2024 wurde der Gesetzestext im Europäischen Amtsblatt veröffentlicht.

• Zwanzig Tage müssen nach der Veröffentlichung im Amtsblatt der EU verstreichen. Damit tritt der CRA am 11. Dezember 2024 in Kraft.

• Mai 2026: Bewertungsstellen werden autorisiert, die Konformität von Produkten mit den Anforderungen des CRA zu bewerten.

• August 2026: Meldepflicht für Schwachstellen und Sicherheitsvorfälle ist aktiv. Für den effektiven Informationsaustausch zu Schwachstellen sowie schwerwiegenden Sicherheitsvorfällen wird dafür eine neue zentrale Meldeplattform etabliert.

• November 2027: Alle CRA-Anforderungen müssen bei neuen Produkten eingehalten sein.

Fällt mein Produkt unter den CRA?

Um die Frage zu klären, ob ein Produkt die Vorgaben des CRA erfüllen muss, hat das BSI eine Checkliste erstellt. Beantworten Sie alle Fragen mit "Ja", müssen Sie den CRA für Ihr Produkt umsetzen.

Ihr Produkt

• 1. verwendet digitale Elemente oder ist ein Softwareprodukt?

• 2. wird ab Ende 2027 neu auf den EU-Markt gebracht?

• 3. ist nicht explizit bei den fünf Ausnahmesektoren genannt (Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt sowie Produkte im Kontext der nationalen Sicherheit)?

• 4. ist keine kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht?

Generell müssen alle Produkte, die in der EU verkauft werden und „digitale Elemente“ enthalten, den Anforderungen des CRA entsprechen. Das umfasst neben Verbraucherprodukten auch B2B-Software sowie komplexe High-End-Industriesysteme. „Produkte mit digitalen Elementen“ werden im CRA als solche definiert, die mit einem Gerät oder einem Netzwerk verbunden werden können, und umfassen sowohl Hardwareprodukte mit vernetzten Funktionen (Smartphones, Laptops, Smarthomeprodukte, Smartwatches, vernetztes Spielzeug, aber auch Mikroprozessoren, Firewalls und intelligente Zähler) sowie reine Softwareprodukte (Buchhaltungssoftware, Computerspiele, mobile Apps). Nicht-kommerzielle Open-Source-Softwareprodukte sind vom CRA ausgenommen und müssen daher die Anforderungen des CRA nicht erfüllen.

Sind die Vorgaben für alle Produkte gleich?

Unabhängig von ihrem Preis und ihrer Zielgruppe muss der CRA für alle oben genannten Produkte angewendet werden. Auch die Pflichten des Meldens von Schwachstellen sowie die eindeutige Angabe des Support-Endes sind für alle Produkte einheitlich. Allerdings wird im CRA beim Verfahren zur Bewertung, ob Produkte den CRA-Vorgaben entsprechen, unterschieden. Schließlich gibt es Standard-Produkte, die unter den CRA fallen, wie mobile Endgeräte und Smart-Home-Geräte. Besonderen Schutz benötigen Produkte, die als „wichtig“ oder „kritisch“ eingestuft werden. Dazu gehören Passwortmanager, Firewalls, Smartcards sowie medizinische Geräte. Solche Produkte müssen strengeren Konformitätsbewertungen unterzogen werden, die auf europäischer Ebene anerkannt sind, um die Anforderungen des CRA zu erfüllen.

Wie werden kleine Unternehmen unterstützt?

Da kleine Unternehmen und Startups oft nicht ausreichend finanzielle Mittel haben, um solch umfangreiche Vorgaben zeitnah erfüllen zu können, ist dem BSI zufolge ist eine Unterstützung für KMU und Startups direkt im CRA vorgesehen. Unter anderem wird es Leitlinien für die Umsetzung geben, was den Compliance-Aufwand reduzieren soll, und es werden Helpdesks für die Unterstützung bei den Meldepfichten zur Verfügung stehen. Auch die technische Dokumentation soll sich für KMU und Startups vereinfachen und es werden Regulatory Sandboxes für die Überprüfung von Produkten mit digitalen Elementen eingerichtet.

Wie unterstützt das BSI?

Um die Anforderungen des CRA greifbarer zu machen, stellt das BSI eine technische Richtlinie bereit, in der die Anforderungen an Hersteller und Produkte hinsichtlich der Cyberresilienz beschrieben werden. Im ersten Teil der Richtlinie „General Requirements“ werden Anforderungen an Hersteller und Produkte in Anlehnung an die Anforderungen aus Artikeln und Anhängen des CRA zusammengestellt. Im zweiten Teil „Software Bill of Materials (SBOM)“ erhalten Unternehmen formelle und fachliche Vorgaben für SBOMs. Der dritte Teil „Vulnerability Reports and Notifcations“ beschreibt den Umgang mit eingehenden Schwachstellenmeldungen. Die Technische Richtlinie TR-03183 des BSI finden Sie hier.

Meldepflicht von Sicherheitslücken

Drei Sofortmaßnahmen zum Cyber Resilience Act

(ID:50227250)