Mobile-Menu

Cybersicherheit für digitale Produkte Warum der CRA Hersteller zum Umdenken zwingt

Ein Gastbeitrag von Manne Kreuzer 5 min Lesedauer

Anbieter zum Thema

TQ-Group
cidaas by Widas ID GmbH
secunet Security Networks AG
SEPPmail - Deutschland GmbH

Mit dem CRA entstehen verbindliche Anforderungen an die Sicherheit digitaler Produkte. Wer Entwicklungsprozesse, Organisation und Dokumentation frühzeitig anpasst, vermeidet Risiken und schafft die Grundlage für eine effiziente Umsetzung der neuen Vorgaben.

Cybersicherheit wird mit dem CRA verbindlich, weshalb Sicherheit von Anfang an eingeplant, über den gesamten Lebenszyklus gepflegt und nachweisbar dokumentiert werden muss.(Bild: © ipopba - stock.adobe.com / KI-generiert)
Cybersicherheit wird mit dem CRA verbindlich, weshalb Sicherheit von Anfang an eingeplant, über den gesamten Lebenszyklus gepflegt und nachweisbar dokumentiert werden muss.
(Bild: © ipopba - stock.adobe.com / KI-generiert)

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals ein unmittelbar geltendes Regelwerk für die Cybersicherheit von Produkten mit digitalen Elementen. Ziel ist ein einheitliches Sicherheitsniveau im europäischen Binnenmarkt.

Die Umsetzung erfolgt schrittweise: Seit Dezember 2024 ist die Verordnung in Kraft. Ab dem 11. September 2026 greifen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Teilweise müssen Hersteller innerhalb von 24 Stunden reagieren. Ab dem 11. Dezember 2027 sind sämtliche Anforderungen des CRA verbindlich einzuhalten.

Darüber hinaus verankert die Verordnung grundlegende Prinzipien wie Security by Design und Security by Default. Sicherheitsanforderungen müssen bereits in der Konzeptions- und Entwicklungsphase berücksichtigt werden. Produkte sollen zudem mit sicheren Grundeinstellungen ausgeliefert werden.

Kaum ein digitales Produkt bleibt außen vor

Der CRA erfasst nahezu alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Dazu gehören vernetzte Geräte wie Smartphones, Laptops, Smartwatches, Smart-Home-Komponenten oder Industriehardware ebenso wie Apps, Unternehmenssoftware und Computerspiele. Selbst einzelne Hard- und Softwarebausteine können unter die Verordnung fallen.

Gleichzeitig richtet sich der CRA an sämtliche Akteure entlang der Wertschöpfungskette. Neben Herstellern zählen dazu Importeure, Händler und Bevollmächtigte. Die Hauptverantwortung tragen jedoch die Hersteller. Sie müssen insbesondere eine sichere Entwicklung, ein wirksames Schwachstellenmanagement sowie die Bereitstellung notwendiger Sicherheitsupdates gewährleisten.

Besondere Aufmerksamkeit verdienen Software- und Cloud-Dienste. Reine SaaS-Angebote fallen grundsätzlich eher in den Anwendungsbereich von NIS2 oder nationalen Cybersicherheitsregelungen. Werden sie jedoch als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen benötigt, kann auch der CRA greifen. Entscheidend ist die konkrete technische Einbindung. Ausgenommen sind unter anderem nicht-kommerzielle Open-Source-Projekte sowie Bereiche mit eigenen Sicherheitsvorschriften, etwa Medizinprodukte, Fahrzeuge, die zivile Luftfahrt oder Schiffsausrüstung.

Außerdem unterscheidet die Verordnung verschiedene Produktkategorien. Während Standardprodukte häufig über eine Hersteller-Selbstbewertung bewertet werden können, gelten für kritische Produkte verschärfte Anforderungen.

Produktentwicklung wird zum Security-Prozess

Für Entwicklungsabteilungen bedeutet der CRA einen grundlegenden Perspektivwechsel. Cybersicherheit wird nicht länger als zusätzliche Funktion verstanden, sondern als Bestandteil des gesamten Produktdesigns. Schutzmechanismen wie Authentifizierung, Zugriffskontrollen, Datenschutz oder sichere Kommunikationsverfahren müssen bereits frühzeitig in Entwicklungsprozesse integriert werden. Dadurch lassen sich aufwendige Nachbesserungen kurz vor der Markteinführung vermeiden.

Gleichzeitig erleichtert dieser Ansatz die Erstellung regulatorischer Nachweise und schafft mehr Transparenz über Risiken innerhalb der Lieferkette. Dies gewinnt insbesondere vor dem Hintergrund der zunehmenden Nutzung von Open-Source-Komponenten und Drittanbieter-Software an Bedeutung.

Cybersicherheit endet zudem nicht mit der Auslieferung eines Produkts. Der CRA fordert ein kontinuierliches Schwachstellenmanagement über den gesamten Lebenszyklus hinweg. Sicherheitslücken müssen identifiziert, bewertet und gegebenenfalls behoben werden. Hersteller sind verpflichtet, während des definierten Supportzeitraums Sicherheitsupdates und Patches bereitzustellen. Regelmäßige Tests helfen dabei, die Wirksamkeit bestehender Schutzmaßnahmen zu überprüfen und Risiken frühzeitig zu erkennen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Neue Organisationsstrukturen werden unvermeidlich

Die Anforderungen des CRA betreffen nicht nur technische Bereiche, sondern auch interne Abläufe und Zuständigkeiten. Unternehmen müssen Prozesse etablieren, um Sicherheitsvorfälle und Schwachstellen systematisch zu erfassen und zu bearbeiten.

Ein wichtiger Bestandteil ist die sogenannte Coordinated Vulnerability Disclosure. Hersteller müssen in der Lage sein, externe Sicherheitsmeldungen entgegenzunehmen, zu bewerten und angemessen zu bearbeiten. Dazu gehören geeignete Meldewege ebenso wie klare Prozesse für die Priorisierung und Umsetzung notwendiger Maßnahmen.

Ebenso wichtig ist eine funktionierende Reaktionskette. Eingehende Meldungen müssen schnell bei den zuständigen Fachverantwortlichen ankommen, damit Sicherheitsupdates oder andere Gegenmaßnahmen zeitnah entwickelt, getestet und bereitgestellt werden können. Auch die Kommunikation mit Betroffenen, Partnern und gegebenenfalls Behörden gehört dazu.

Viele Unternehmen werden hierfür spezialisierte Strukturen wie ein Product Security Incident Response Team aufbauen müssen. Solche Teams bündeln die Verantwortung für die Bewertung von Schwachstellen und koordinieren technische sowie organisatorische Reaktionen.

Zusätzliche organisatorische Auswirkungen ergeben sich aus der Updatepflicht. Für die meisten Produkte müssen Hersteller Sicherheitsupdates mindestens fünf Jahre lang oder für die vorgesehene Produktlebensdauer bereitstellen.

Wer Sicherheit nicht dokumentiert, kann sie kaum nachweisen

Der CRA verlangt nicht nur sichere Produkte, sondern auch nachvollziehbare Nachweise über deren Sicherheit. Eine zentrale Rolle spielt dabei die Software Bill of Materials. Diese Software-Stückliste dokumentiert die eingesetzten Komponenten und schafft Transparenz innerhalb der Lieferkette. Im Schwachstellenmanagement ermöglicht sie eine schnellere Identifikation betroffener Systeme.

Darüber hinaus müssen Hersteller eine technische Dokumentation erstellen, die nachvollziehbar darlegt, wie die Anforderungen des CRA erfüllt werden. Diese Unterlagen sind bereits vor dem Inverkehrbringen bereitzustellen und anschließend mindestens zehn Jahre aufzubewahren.

Auch die CE-Kennzeichnung erhält eine erweiterte Bedeutung. Neben klassischen Sicherheitsaspekten umfasst sie künftig die Cybersicherheit. Hersteller müssen deshalb nachweisen können, dass die entsprechenden Anforderungen während des gesamten Supportzeitraums eingehalten werden. Zusätzlich verpflichtet der CRA Hersteller dazu, den Supportzeitraum transparent auszuweisen. Nutzer sollen erkennen können, wie lange Sicherheitsupdates verfügbar sein werden.

Abhängig von der jeweiligen Produktklasse kommen unterschiedliche Konformitätsbewertungsverfahren zur Anwendung. Während für viele Standardprodukte eine Selbstbewertung genügt, sind für wichtige oder kritische Produkte teilweise externe Prüfungen erforderlich. Dies beeinflusst Aufwand, Kosten und Markteinführungszeiten erheblich.

Die größten Risiken entstehen durch Nichtstun

Verstöße gegen die Verordnung können Bußgelder von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Darüber hinaus können falsche Angaben gegenüber Behörden zusätzliche Sanktionen auslösen.

Noch gravierender können Maßnahmen der Marktaufsicht sein. Dazu gehören etwa Vertriebsbeschränkungen oder Produktrückrufe. In Deutschland soll das Bundesamt für Sicherheit in der Informationstechnik entsprechende Aufgaben übernehmen.

Gleichzeitig befinden sich viele harmonisierte Normen noch in der Entwicklung. Unternehmen sollten jedoch nicht darauf warten, bis sämtliche Vorgaben vollständig ausformuliert sind. Die verbleibende Übergangszeit bietet die Möglichkeit, notwendige Prozesse, Kompetenzen und Sicherheitsstrukturen rechtzeitig aufzubauen.

Fazit: Der CRA verlangt einen ganzheitlichen Sicherheitsansatz

Der Cyber Resilience Act verändert die Rahmenbedingungen für die Entwicklung und den Betrieb digitaler Produkte grundlegend. Die Verordnung wirkt auf regulatorischer, technischer, organisatorischer und wirtschaftlicher Ebene. Hersteller müssen Sicherheit künftig über den gesamten Produktlebenszyklus hinweg berücksichtigen, nachweisen und dokumentieren.

Wer frühzeitig handelt, reduziert nicht nur regulatorische Risiken, sondern schafft zugleich die Voraussetzungen für nachhaltige und belastbare Sicherheitsprozesse. Unternehmen sollten deshalb die verbleibende Zeit nutzen, um die organisatorischen und technischen Grundlagen für eine erfolgreiche CRA-Compliance zu schaffen.

Über den Autor: Manne Kreuzer ist technischer Redakteur bei der TQ-Group und beschäftigt sich mit den technologischen Herausforderungen und Trends der Elektronik- und Embedded-Branche. Zu seinen Schwerpunkten zählen Embedded Computing, Cybersicherheit, Künstliche Intelligenz sowie industrielle Digitalisierungs- und Automatisierungslösungen.

(ID:50995160)

Weiterführende Inhalte