Mobile-Menu

Alles zum Cyber Resilience Act – Teil 4 Konformität und Konsequenzen des CRA

Ein Gastbeitrag von Prof. Dr. Dominik Merli 5 min Lesedauer

Anbieter zum Thema

Hochschule Augsburg Hochschulverwaltung Technologietransfer u.Weiterbildung
secunet Security Networks AG

Sobald der Cyber Resilience Act vollständig in Kraft tritt, müssen Produkte mit digitalen Elementen CRA-konform sein. Doch wie erreicht man das und welche Strafen drohen, wenn ein Produkt nicht dem CRA entspricht? Dies erfahren Sie in diesem Artikel.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im vierten und letzten Teil erfahren Sie, welche Produktkategorien es gibt, wie Sie deren Konformität sicherstellen und welche Konsequenzen bei Nichteinhaltung drohen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im vierten und letzten Teil erfahren Sie, welche Produktkategorien es gibt, wie Sie deren Konformität sicherstellen und welche Konsequenzen bei Nichteinhaltung drohen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Ab Dezember 2027 gilt es. Produkte mit digitalen Elementen müssen dann alle Anforderungen des CRA erfüllen, sonst drohen Strafen. Diese Konformität gilt es zu prüfen. Aber es gibt ver­schiedene Produktkategorien innerhalb der Produkte mit digitalen Elementen, die ver­schie­de­ne Konformitätsprüfungen brauchen.

Im ersten Artikel dieser Reihe haben wir die wichtigsten Fragen rund um den Cyber Resiliece Act beantwortet. Im zweiten Teil wurde ausgeführt, welche Produkte vom CRA betroffen sind und welche Anforderungen bestehen und im dritten Teil, welche Pflichten und Fristen Her­steller für den CRA einhalten müssen. Deshalb wollen wir uns im finalen Artikel unserer CRA-Reihe damit befassen, welche Konsequenzen bei Nichteinhaltung drohen. Wir beantworten für Sie folgende Fragen:

  • Welche Produktkategorien kennt der CRA?
  • Wie wird ihre Konformität mit dem CRA bewertet?
  • Wie werden Verstöße gegen den CRA geahndet?

In Folge 4 seiner Videoserie zum CRA erklärt Prof. Dr. Dominik Merli, wie der CRA Produkte kategorisiert, wie deren Konformität bewertet werden kann und welche Strafen der CRA vorsieht.

Welche Produktkategorien kennt der CRA?

Der Cyber Resiliece Act kategorisiert Produkte anhand ihres Cybersicherheitsrisikos. Es gibt zwei große Kategorien: Standard-Produkte und wichtige Produkte. Von Standard-Produkten geht geringe Gefahr aus. Deshalb sind sie weniger streng reguliert. Erstmal gehören alle Pro­dukte mit digitalen Elementen in diese Kategorie. Und voraussichtlich fallen auch die meisten darunter.

In die Kategorie „Wichtig“ sind alle Produkte mit digitalen Elementen einzuordnen, von denen eine erhöhte Gefahr ausgeht. Sie können die Gesundheit und Sicherheit von Nutzern erheblich beeinträchtigen. Deshalb sind sie strenger reguliert. Diese wichtigen Produkte lassen sich zu­sätzlich noch in Klasse 1, Klasse 2 und „Kritisch“ unterteilen.

Laut der aktuellen Fassung des CRA gehören beispielsweise folgende Produkte zu den wichtigen Produkten der Klasse 1: Identitäts-, Passwort- und Netzwerk-Manager, Wearables, Spielzeuge mit Internetverbindung und Smart-Home-Produkte. Zu den wichtigen Produkten der Klasse 2 gehören: Firewalls, manipulationssichere Mikrocontroller, aber auch Hypervisor Software und Container-Runtime-Systeme.

Abschließend gibt es noch die kritischen Produkte. Wenn sie beeinträchtigt werden, kann dies zu schwerwiegenden Problemen führen. Zu dieser Gruppe gehören beispielsweise Smart-Meter-Gateways, Smartcards, Secure Elements oder manipulationssichere Hardware.

Wichtig: Die Listen aus dem CRA sind nicht abgeschlossen. Es bedarf weiterer Ergänzungen, um die Vielfalt an Produkten abzudecken und mehr Klarheit zu schaffen. In welche Kategorie ein Produkt fällt, ist durchaus wichtig für Hersteller. Denn davon hängt die Auswahl des Verfahrens zur Konformitätsbewertung ab.

Wie wird die Konformität von Produkten mit dem CRA bewertet?

Hersteller müssen die Konformität ihrer Produkte mit dem CRA nachweisen. Der CRA gibt dabei vor, welche Verfahren für welche Produktkategorie zulässig sind. Hersteller erhalten damit eine gewisse Wahlfreiheit. In einigen Fällen können sie die Konformitätsbewertung selbst durch­führen. In anderen Fällen müssen Dritte die Konformität der Produkte bewerten.

Es gibt drei Arten, wie die Konformität zum CRA sichergestellt werden kann: interne Kontroll­ver­fahren, die Bereitstellung eines EU-Baumusters und Kontrolle der Fertigung sowie die Kontrolle auf Basis eines Qualitätssicherungssystems.

Interne Kontrollverfahren

Hier übernimmt der Hersteller die Verantwortung. Er erstellt nicht nur die technische Doku­men­tation, sondern stellt auch die Konformität bei Design, Entwicklung, Produktion und im Umgang mit Schwachstellen sicher. Zudem bringt er die CE-Kennzeichnung an und stellt eine schriftliche EU-Konformitätserklärung aus.

Bereitstellung eines EU-Baumusters und Kontrolle der Fertigung

Hersteller können bei einer notifizierten Stelle eine EU-Baumusterprüfung beantragen. Sie prüft die Konformität des Produktmusters und die Dokumentation. Der Hersteller erhält dann eine EU-Baumusterprüfbescheinigung und übernimmt die Verantwortung dafür, dass seine Produkte mit dem Baumuster übereinstimmen. Auch hier bringt er die CE-Kennzeichnung an und stellt eine schriftliche EU-Konformitätserklärung aus.

Kontrolle auf Basis eines Qualitätssicherungssystems

Hersteller können ein zugelassenes Qualitätssicherungssystem für Design, Entwicklung, Prü­fung und Überwachung nutzen. Eine notifizierte Stelle muss in diesem Fall das Qua­li­täts­sicherungssystem überprüfen. Letztendlich bringt aber wieder der Hersteller die CE-Kenn­zeichnung an und die notifizierte Stelle verantwortet die Überwachung.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Standard-Produkte und Wichtige Produkte der Klasse 1 können auf ein internes Kontroll­ver­fahr­en zurückgreifen. Ab Klasse 2 sollte immer eine dritte Partei in die Konformitätsbewertung involviert sein. Kritische Produkte hingegen, weil von ihnen potenziell die größte Gefahr aus­geht, müssen ihre Konformität entweder mit einer EU-Baumusterprüfung oder über ein Qualitätssicherungssystem nachweisen.

Wie werden Verstöße gegen den CRA geahndet?

Hersteller müssen sich zukünftig an die Vorgaben des CRA halten. Ansonsten drohen Strafen. Auch deshalb sollten sich Hersteller frühzeitig um die Konformität Ihrer Produkte kümmern. Das Strafmaß variiert je nach Verstoß. Allerdings wird erst die juristische Praxis zeigen, welcher Verstoß zu welcher Strafe führen wird. Einen Rahmen für mögliche Strafen gibt es aber bereits.

Sollten Hersteller auf Anfrage falsche, unvollständige oder irreführende Informationen an notifizierte Stellen und Behörden weitergeben, kann dies zu Geldbußen von bis zu fünf Mil­lio­nen Euro oder ein Prozent des weltweiten Jahresumsatzes führen. Erfüllen Hersteller die grund­legenden Anforderungen und Verpflichtungen des CRA nicht, kann dies zu Strafen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes führen.

Fazit: CRA-Konformität und Strafen

Im CRA gibt es verschiedene Produktkategorien. In welche Ihr Produkt fällt, wirkt sich auf die möglichen Verfahren zur Konformitätsbewertung aus. Möglich sind interne Kontrollverfahren, EU-Baumusterprüfung oder ein Qualitätssicherungssystem. Produkte mit einem hohen Ge­fahren­potenzial, erfordern eine Konformitätsbewertung durch Dritte. Verstöße gegen den CRA können zu empfindlichen Strafen führen: Das Nichterfüllen der grundlegenden Anforderungen kann zum Beispiel bis zu 15 Millionen Euro oder 2,5 Prozent Ihres weltweiten Jahresumsatzes kosten. Riskieren Sie keinen Ausschluss vom europäischen Markt, starten Sie jetzt mit der Umsetzung des CRA.

Über den Autor: Dominik Merli ist Professor für IT-Sicherheit an der Technischen Hochschule Augsburg und Leiter des dortigen Instituts für innovative Sicherheit. Er beschäftigt sich seit mehr als 15 Jahren mit der Cybersicherheit von Produkten in einer Vielzahl von Branchen.

(ID:50647530)

Weiterführende Inhalte