Mobile-Menu

Sicherheit im Fokus Cyber Resilience Act: Einblicke in die Expertengruppe in Brüssel

Ein Gastbeitrag von Lars Francke 5 min Lesedauer

Anbieter zum Thema

SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Die Deadline steht: Bis 11. Dezember 2027 haben Unternehmen Zeit, die Vorgaben des Cyber Resilience Acts (CRA) umzusetzen. Mit dieser Verordnung möchte die EU die Cybersicherheit auf dem Kontinent stärken. In Zeiten steigender Bedrohungen in der digitalen Welt eine gute Idee – doch trotzdem war der Vorstoß anfangs umstritten. Wieso wurde so intensiv über den CRA verhandelt? Was kommt auf Unternehmen zu? Und worüber berät die Expertengruppe in Brüssel? Ein Einblick.

Der Cyber Resilience Act ist ein weiteres wichtiges Puzzleteil in der Sicherheitsstrategie der Europäischen Union.(Bild: © European Union 2017 - Source : EP)
Der Cyber Resilience Act ist ein weiteres wichtiges Puzzleteil in der Sicherheitsstrategie der Europäischen Union.
(Bild: © European Union 2017 - Source : EP)

Europa geht voran: Während in den USA das ‚Cyber Safety Review Board‘ von Donald Trump wieder aufgelöst wurde, nehmen die Politikerinnen und Politiker der EU das Thema Cybersicherheit weiterhin ernst. Mit dem Cybersecurity Act und NIS2 haben sie in der Vergangenheit schon entscheidende Ausrufezeichen gesetzt.

Im September 2022 legte die Europäische Kommission auch ihre erste Version vom Cyber Resilience Act vor. Was als neuer Meilenstein gedacht war, stieß aber zunächst auf einigen Gegenwind. Vor allem der Umgang mit Open Source-Technologien führte zu hitzigen Diskussionen zwischen Politik, Wirtschaft und Verbänden.

Knackpunkt Open Source

Der CRA ist, vereinfacht ausgedrückt, ein Prüfsiegel, das die Sicherheit einer Hard- oder Software bescheinigt. Oder ausführlicher: Vertreiber, Importeure und Hersteller müssen über den gesamten Lebenszyklus ihres Produkts Richtlinien erfüllen und regelmäßig Sicherheitsupdates anbieten. Und zwar bei jeder neuen Version. Insgesamt also eine gute Sache, um gegen Cyber-Bedrohungen gewappnet zu sein. Leider fühlten sich aber Hersteller von quelloffener Software zunächst verunsichert.

In den frühen Versionen des CRA sollten die Entwickler solcher Lösungen weitreichende Pflichten erfüllen – von der ständigen Pflege der Software über die Prüfung von Schwachstellen bis zur Herausgabe von Bewertungen. Zudem war die Unterscheidung zwischen kommerziellen und nicht-kommerziellen Herstellern nicht eindeutig. Non-Profit-Organisationen, wie z. B. die gemeinnützige Apache Foundation, hätten die Vorgaben niemals umsetzen können, weil eine Open Source-Software eigentlich immer aus Komponenten besteht, die viele Akteure über einen längeren Zeitraum beigesteuert haben.

Wäre es dabei geblieben, hätten wir den Todesstoß für Open Source in Europa erlebt. Dass es anders kam, haben wir der starken Community zu verdanken. Dank des Einsatzes zahlreicher Organisationen und Unternehmen ist der CRA heute im Hinblick auf kommerzielle und nicht-kommerzielle Aktivitäten viel genauer formuliert. Zudem wurde die Rolle des ‚Open Source Stewards‘ eingeführt – darunter fallen juristische Personen, die keine Hersteller sind, aber die Entwicklung quelloffener Software unterstützen. Insgesamt hat der CRA dadurch eine für die meisten Leute zufriedenstellende Form angenommen.

„Vielleicht fragen Sie sich, wie ich in dieser Situation gelandet bin“

Auch wir bei Stackable haben bei der Entwicklung unserer Big Data-Lösung von Beginn an auf Open Source gesetzt, weil die Vorteile eines quelloffenen Codes für uns immens sind. Jeder User kann ihn einsehen, bewerten und nach den eigenen Vorstellungen editieren. Um bei der Verbreitung und Gestaltung dieser Technologie mitzuhelfen, haben wir uns schließlich für die CRA-Expertengruppe der Europäischen Union beworben. Ernsthafte Hoffnung hatten wir uns als vergleichsweise junges und kleines Unternehmen nicht gemacht. Umso größer war dann die Freude, als Ende 2024 die Zusage kam.

Nun hat die erste Sitzung des Komitees stattgefunden. Selbst vor Ort in Brüssel zu sein und auf Vertreter von Branchenriesen wie Microsoft, Siemens oder Cisco zu treffen, war ein aufschlussreiches Erlebnis. Der direkte Austausch in der Expertengruppe hat mir wertvolle Einblicke in die Vorgänge und Mechanismen der EU-Gesetzgebung vermittelt.

Und worum ging es konkret? Ein wichtiger Punkt, über den wir länger diskutiert haben, war das Thema Risikobewertung. In meinem Berufsleben hatte ich damit bisher nur vereinzelte Berührungspunkte. Aus Gesprächen in den Monaten zuvor wusste ich, dass es anderen Unternehmern, vor allem bei Startups oder kleineren Unternehmen, ebenso geht. Was genau zu tun ist, welche Szenarien und Leitlinien zu beachten sind, bereitet vielen großes Kopfzerbrechen. Die Expertengruppe war bei dem Thema zweigeteilt: Manche Teilnehmer plädierten für minimale Vorgaben, damit die Risikobewertung nicht zu kompliziert wird. Andere, darunter auch ich, empfahlen der Kommission dagegen, Anleitungen zu erstellen, damit Unternehmen jederzeit ein Handbuch haben.

Ein weiteres Thema war die internationale Abstimmung. Mit dem Cyber Resilience Act schlägt Europa einen wichtigen Weg ein, doch in vielen anderen Ländern gibt es solche Regulierungen noch nicht. Die Gefahr dabei ist, dass europäische Unternehmen einen Nachteil haben, da sie höhere Auflagen erfüllen müssen. Um im weltweiten Wettbewerb mithalten zu können, ist die Kooperation mit anderen Wirtschaftsräumen enorm wichtig. Und daran werden wir in den kommenden Monaten arbeiten. Es liegt also noch einige Arbeit vor uns.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Das kommt auf Unternehmen zu

Bis zum 11. Dezember 2027 läuft die Übergangsfrist, um alle Anforderungen umzusetzen. Doch bereits ab 11. September 2026 müssen alle betroffenen Unternehmen Berichte abliefern, beispielsweise bei Schwachstellen oder Vorfällen. Kurzgesagt: Die Zeit drängt. Insbesondere, weil die internen Prozesse, Systeme und Vorgehensweisen genau analysiert und möglicherweise umgestellt werden müssen. Wer noch keine lückenlose Nachweisführung etabliert hat, sollte schleunigst damit anfangen, alle Software- und Security-Praktiken genau zu dokumentieren. Im Detail geht es darum, welche Komponenten und Drittanbieter-Lösungen verwendet werden und welche Sicherheitsvorgänge im Einsatz sind.

Wichtig ist dabei ein effizientes Schwachstellenmanagement. Um angemessen auf Risiken reagieren zu können, ist es unumgänglich, mögliche Schwachstellen früh zu erkennen. Und dafür muss die komplette Software-Lieferkette unter die Lupe genommen werden. Welche Komponenten des Codes kommen woher? Gibt es Risiken? Auf diese Fragen sollten schnell Antworten gefunden werden. Um nicht in Zeitprobleme zu geraten, sollten Unternehmen so schnell wie möglich mit einer schrittweisen Integration der Vorgaben beginnen. So können sie ihre Compliance-Prozesse sicher verankern.

Der Cyber Resilience Act ist ein weiteres wichtiges Puzzleteil in der Sicherheitsstrategie der Europäischen Union. Unser wichtigstes Ziel in der Expertengruppe ist es, einen gesunden Mittelweg zwischen Effizienz und Bürokratie zu finden. Die ersten Schritte sind geschafft, doch in den kommenden Monaten werden wir uns intensiv mit der Umsetzung beschäftigen. Für ein sicheres, wettbewerbsfähiges und zukunftsorientiertes Europa.

Über den Autor: Lars Francke ist Mitgründer und CTO von Stackable und Mitglied der Expertengruppe zum Cyber Resilience Act bei der Europäischen Kommission.

(ID:50394969)

Weiterführende Inhalte