Mobile-Menu

Alles zum Cyber Resilience Act – Teil 3 Verpflichtungen für Hersteller durch den CRA

Ein Gastbeitrag von Prof. Dr. Dominik Merli 4 min Lesedauer

Anbieter zum Thema

Hochschule Augsburg Hochschulverwaltung Technologietransfer u.Weiterbildung

Mit dem CRA kommen verschiedene Verpflichtungen auf Hersteller zu. Dazu gehört die Bestimmung eines Support-Zeitraums, die Meldung von aktiv ausgenutzten Schwachstellen und schweren Vorfällen sowie die Prüfung verbauter Fremdkomponenten. Das sollten Hersteller dabei beachten.

In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im dritten Teil erfahren Sie mehr über die Fristen, die Hersteller digitaler Produkte einhalten müssen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
In der Artikelreihe der Technischen Hochschule Augsburg erläutern wir die Hintergründe und Anforderungen des Cyber Resilience Acts. Im dritten Teil erfahren Sie mehr über die Fristen, die Hersteller digitaler Produkte einhalten müssen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Niemand hört gerne von neuen Verpflichtungen. Gerade im Bereich Cybersicherheit können diese jedoch absolut sinnvoll sein, um Unternehmen oder Kunden vor Schaden zu bewahren. Nachdem unser erster Artikel die wichtigsten Fragen rund um den Cyber Resiliece Act be­ant­wortet hat und der zweite Artikel dieser Reihe erläutert hat, welche Produkte vom CRA betroffen sind und welche Anforderungen bestehen, sollen nun folgende Fragen zum Cyber Resilience Act deshalb im Zentrum dieses Artikels stehen:

  • Was sind die Verpflichtungen bei Fremdkomponenten?
  • Was sind die Verpflichtungen für den Support-Zeitraum?
  • Wie melden Hersteller ausgenutzte Schwachstellen und schwere Vorfälle?

Was sind die Verpflichtungen bei Fremdkomponenten?

Kaum ein Hersteller entwickelt alle Teile eines Produkts selbst. In den meisten Fällen kommen auch Komponenten von Drittanbietern zum Einsatz. Bei solchen Fremdkomponenten müssen Hersteller sichergehen, dass sie die Cybersicherheit des Produkts nicht gefährden. Aber was bedeutet das?

Der Hersteller hat eine regulierte Sorgfaltspflicht. Er muss sicherstellen, dass Komponenten von Dritten wesentliche rechtliche Anforderungen erfüllen. Übrigens: Dazu zählt auch Free- und Open-Source-Software. Generell sollten Hersteller Drittkomponenten hinsichtlich ihrer CE-Kenn­zeichnung, der Verfügbarkeit von Security-Updates und auf bekannte Schwachstellen prüfen. Bei Bedarf sollten sie zusätzliche Tests durchführen. Werden dabei Schwachstellen entdeckt, muss ein Hersteller sie adressieren und den Verantwortlichen der Komponente informieren.

In Folge 3 seiner Videoserie zum CRA erklärt Prof. Dr. Dominik Merli, welche neuen Pflichten wirtschaftliche Akteure, im Besonderen Hersteller, laut dem EU Cyber Resilience Acts (CRA) erfüllen müssen.

Was sind die Verpflichtungen für den Support-Zeitraum?

Vor dem CRA wussten Kunden oft nicht, wie lange ein Produkt von einem Hersteller mit Sicherheits-Updates versorgt wird. Nun haben sie mehr Planungssicherheit. Denn Hersteller müssen den Support-Zeitraum ihres Produkts definieren und innerhalb dieses Zeitraums sicherstellen, dass sie Schwachstellen eines Produkts wirksam und vorschriftsmäßig beheben.

Dabei müssen sie die Erwartungen der Nutzer, die Art des Produkts und bereits bestehende Regularien, die sich auf die Produktlebensdauer auswirken, beachten. Zudem müssen sie einen Mindest-Support-Zeitraum festlegen. Dieser darf allgemein nicht weniger als fünf Jahre um­fassen. Eine Ausnahme besteht für Produkte mit grundsätzlich kürzerer Lebensdauer als fünf Jahren, wie beispielsweise Apps für eine vorübergehende Nutzung.

Nach Ende des Support-Zeitraums empfiehlt der CRA den Source Code des Produkts zu veröffentlichen, um Support-Leistungen durch Dritte zu ermöglichen. Zudem müssen Hersteller Kontaktmöglichkeiten für Nutzer schaffen, damit sie weiterhin Schwachstellen melden können.

Wie melden Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle?

Wird eine Produkt-Schwachstelle aktiv ausgenutzt oder gab es einen schweren Vorfall, der sich auf die Sicherheit des Produkts auswirkt, müssen Hersteller in Deutschland sowohl das CERT Bund als auch die ENISA informieren.

Sowohl eine aktiv ausgenutzte Schwachstelle als auch ein schwerer Vorfall werden auf dieselbe Art und Weise gemeldet, unterscheiden sich aber hinsichtlich ihres Inhalts und ihrer Fristen. Wichtig: Hersteller müssen beides bereits ab dem 11. September 2026 melden.

So melden Sie eine aktiv ausgenutzte Schwachstelle

Gemeint sind solche Schwachstellen, bei denen zuverlässige Beweise vorliegen, dass ein Cyberangreifer sie in einem Produkt ohne Erlaubnis des Betreibers ausgenutzt hat. Iden­ti­fi­zieren Hersteller eine solche Schwachstelle, müssen sie sie an das CERT Bund und die ENISA melden. Eine entsprechende Plattform soll bald bereitstehen.

Folgende Schritte sind dabei zu beachten:

  • Eine erste Frühwarnung muss innerhalb von 24 Stunden erfolgen.
  • Eine detaillierte Benachrichtigung muss innerhalb von 72 Stunden nach Bekanntwerden der Angriffe erfolgen.
  • Der finale Bericht muss innerhalb von maximal 14 Tagen, nachdem Korrekturmaßnahmen für die Schwachstelle verfügbar sind, versendet werden.

So melden Sie einen schweren Vorfall

Neben aktiv ausgenutzten Schwachstellen müssen Hersteller auch schwerwiegende Vorfälle in Entwicklungsprozessen und -systemen melden, die den Schutz von Daten oder Funktionen eines Produkts beeinträchtigen können. Gemeint sind also tatsächlich Vorfälle, die sich auf Herstellerseite ereignen und nicht beim Anwender.

Erkennt der Hersteller einen solchen Vorfall, ähnelt der Prozess der Meldung einer aktiv ausgenutzten Schwachstelle:

  • Eine erste Frühwarnung muss innerhalb von 24 Stunden erfolgen.
  • Eine detaillierte Benachrichtigung muss innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls erfolgen.
  • Der finale Bericht muss innerhalb eines Monats nach der detaillierten Benachrichtigung versendet werden.

Fazit: Support-Zeitraum, Meldungen und Fremdkomponenten im CRA

Hersteller müssen sicherstellen, dass Fremdkomponenten die Cybersicherheit des Produkts nicht gefährden. Zudem müssen sie einen angemessenen Support-Zeitraum für ihre Produkte festlegen, in den meisten Fällen mindestens fünf Jahre. Während dieser Zeit sind Sicher­heits­updates verpflichtend. Nutzer sollten aber auch danach noch Schwachstellen melden können. Im besten Fall veröffentlichen Hersteller den Quellcode am Ende des Support-Zeitraums. So können auch Dritte später noch Sicherheitsupdates bereitstellen. Abschließend ist noch wichtig zu wissen, dass Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle an das CERT Bund und die ENISA melden müssen – und das bereits ab dem 11. September 2026.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Über den Autor: Dominik Merli ist Professor für IT-Sicherheit an der Technischen Hochschule Augsburg und Leiter des dortigen Instituts für innovative Sicherheit. Er beschäftigt sich seit mehr als 15 Jahren mit der Cybersicherheit von Produkten in einer Vielzahl von Branchen.

(ID:50647487)

Weiterführende Inhalte