Verständnis des Cyber-Widerstandsgesetzes (CRA)

Das CRA gilt für eine extrem breite Produktkategorie, im Wesentlichen für alle Produkte, die digitale Komponenten enthalten oder mit ihnen interagieren. Dies schließt Geräte und Software ein:

• enthalten elektronische oder digitale Komponenten,

• Daten verarbeiten, übermitteln oder speichern

• auf die Netzwerk-Konnektivität verlassen, um effektiv zu funktionieren,

• Integrieren Sie Embedded-oder Standalone-Software.

Dieser Bereich umfasst alles von intelligenten Geräten, Routern, Wearables, Industrie-SPCs, medizinischer Software und angeschlossenen Fahrzeugen bis hin zu Enterprise-Sicherheitsplattformen, Firmware und Cloud-gesteuerten Systemen. Das CRA deckt sowohl Hardware als auch Software ab, einschließlich der über digitale Kanäle verteilten Produkte.

Die vier Ziele des CRA

Die Verordnung zielt darauf ab, ein zutiefst koordiniertes und transparentes Ökosystem der Sicherheit zu schaffen, dessen vier übergeordnete Ziele sind:

1. Die Reduzierung von Cybersicherheitsrisiken über den gesamten Lebenszyklus – Hersteller müssen Cybersicherheit von den frühesten Designentscheidungen über den Einsatz in der realen Welt und die langfristige Wartung ansprechen.

2. Harmonisierung der Anforderungen an die Netzsicherheit im EU-Binnenmarkt – Das CRA ersetzt fragmentierte nationale Initiativen durch gemeinsame Sicherheitsanforderungen.

3. Steigerung des Verbraucher- und Geschäftsvertrauens – Eine höhere und konsistente Basis der Sicherheit ermöglicht es dem Benutzer, konforme Produkte zu wählen.

4. Verbesserung der Transparenz und Rechenschaftspflicht – Hersteller, Importeure und Distributoren erhalten klar definierte rechtliche Verpflichtungen, wodurch Unklarheiten minimiert werden.

Das CRA funktioniert nicht isoliert: Es ergänzt die NIS2-Richtlinie, die EUCC (gemeinsame Kriterien für die Internetsicherheitszertifikat), die Funkausrüstungsrichtlinie (RED) und sektorspezifische Rahmenbedingungen, wie die Medizinprodukteverordnung (MDR). Zusammen bilden diese Politiken das Rückgrat des integrierten Ansatzes der EU zur Cybersicherheit.

Kernelemente der Compliance: Modul A und die Konformitätsvoraussetzung

Die Konformitätsbewertung im Rahmen des CRA stellt sicher, dass die Produkte die wesentlichen Anforderungen an die Sicherheit im Internet erfüllen, die in Anhang I aufgeführt sind. Dazu gehören sichere Entwicklungspraktiken, Umgang mit Schwachstellen, sichere Standardeinstellungen, Schutz vor unbefugtem Zugriff und Robustheit gegen bekannte Angriffsmethoden.

Modul A – interne Produktionskontrolle

Modul A ist einer der am weitesten anwendbaren Konformitätsbewertungsrouten. Es erfordert Hersteller:

• die interne Validierung der Cyber-Security-Anforderungen durchführen

• dokument-Entwicklungsprozesse, -steuerungen und -ergebnisse

• den Nachweis einer kontinuierlichen Einhaltung während des gesamten Lebenszyklus bewahren

• nachweisen, dass die Aktivitäten nach dem Markt (z.B. Patching, Anfälligkeit Antwort) den Erwartungen der Aufsichtsbehörden entsprechen.

Modul A stellt dem Hersteller die volle Verantwortung für die Implementierung eines strengen internen Kontrollsystems, das durch genaue technische Dokumentation unterstützt wird.

Konformitätsvermutung (PoC)

Ein Produkt erhält die Konformitätsvoraussetzung, wenn es mit harmonisierten europäischen Standards (hENs) übereinstimmt, die im Amtsblatt der Europäischen Union (OJEU)aufgeführt sind. Diese Standards werden derzeit von CEN, CENELEC und ETSI durch das gemeinsame Mandat M/606 entwickelt.

Sobald diese Standards abgeschlossen und angenommen sind:

• Hersteller, die sie korrekt anwenden, erhalten PoC,

• Marktüberwachungsbehörden müssen davon ausgehen, dass das Produkt wesentliche Anforderungen erfüllt, es sei denn, es wird etwas anderes angedeutet.

• Die Konformitätsbewertung wird in der gesamten EU berechenbarer und harmonisierter.

Da sich die HENs jedoch noch in der Entwicklung, ihrer endgültigen Struktur, ihres Details, und ihrer Abdeckung befinden sich nach wie vor Änderungen unterliegen. In Bereichen, in denen sie die Anhang-I-Anforderungen nicht vollständig abdecken, müssen Hersteller zusätzliche Risikoanalysen, Tests oder Auswertungen durch Dritte durchführen.

Modul A ermöglicht die interne Validierung der Compliance, während die Einhaltung anstehender harmonisierter Standards eine Konformität garantiert. Quelle: Freepik

Herstellerpflichten unter dem CRA

Das CRA führt einige der detailliertesten und kontinuierlichsten Verpflichtungen ein, die jemals vom EU-Recht gefordert wurden. Hersteller müssen Folgendes tun:

• Führen Sie Risikobewertungen für jeden Produkttyp und jede Version durch, einschließlich Gefahrenmodellierung und Angriffsflächenanalyse.

• Implementierung sicherer Entwicklungsprozesse, einschließlich sicherer Codierung, Testing, Code-Überprüfung und Konfigurationshärtung.

• Verwundbarkeitsmanagementsicherstellen, einschließlich koordinierter Offenlegungsprozesse (CVD), Überwachung und kontinuierlicher Sicherheitspatching.

• Bietet regelmäßige Sicherheitsupdates an und betreut den Support während der gesamten Produktlebensdauer.

• Erstelle eine umfassende technische Dokumentation gemäß Anhang II.

• Eine EU-Konformitätserklärung ausstellen und CE-Kennzeichnung vor Marktplatzierung anbringen.

• Benachrichtigen Sie Behörden unverzüglich über aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle.

Die Hersteller müssen außerdem sicherstellen, dass ihre Partner (Importeure, Entwickler, Integratoren, Distributoren) ihren eigenen CRA-Verpflichtungen nachkommen, was zu einer ökosystemweiten Rechenschaftspflicht führt.

Unabhängige Sicherheitslabors und Konformitätsbewertungsgremien spielen eine wesentliche Rolle bei der Überprüfung der Laufzeit der Cybersicherheitsprozesse der Hersteller und bieten strukturierte Tests und fachliche Beratung.

Schlussfolgerung

Das Cyber Resilience Act setzt eine neue Basis für Cybersicherheit für alle digitalen Produkte, die auf den EU-Markt gebracht werden. Sie verändert die Art und Weise, wie Hersteller ihre Produkte konzipieren und unterstützen und macht Cybersecurity zu einer rechtlichen Voraussetzung und nicht zu einer optionalen Verbesserung.

Wichtige bevorstehende Meilensteine sind:

• die Fertigstellung und Veröffentlichung harmonisierter Standards

• die Einrichtung von gemeldeten Gremien für CRA-Bewertungen,

• Ausrichtung von Lebenszyklusprozessen und Schwachstellen-Management-Workflows,

• Vorbereitung auf die volle Anwendbarkeit der CRA ab 11. Dezember 2027.

Organisationen, die jetzt mit der Anpassung beginnen, indem sie die sichere Entwicklung, die Qualität von Dokumentationen verbessern und Lebenszyklussicherheitsprozesse werden nicht nur die Einhaltung erreichen, sondern sich auch als vertrauenswürdige Führungskräfte in der sich entwickelnden europäischen digitalen Landschaft positionieren.

Wie QIMA CCLab CRA Compliance unterstützt

Als akkreditiertes Cybersicherheitslabor mit umfangreicher Erfahrung in der Bewertung digitaler Produkte und Sicherheitsstandards QIMA CCLab bietet umfassende Unterstützung für Hersteller, die sich auf die CRA-Konformität vorbereiten.

Unsere Dienstleistungen beinhalten:

• CRA Gap Analysis – Bewertung des aktuellen Zustands der Cybersicherheit im Vergleich zu CRA-Standards.

• Conformity Assessment Support – Hersteller durch Module A Dokumentation, interne Steuerungen und Lebenszyklusprozesse leiten.

• Testing and Consulting Based on hEN Development – Anpassung der Sicherheitspraktiken an die sich entwickelnden Standards von CEN/CENELEC/ETSI.

• Lebenszyklus und Schwachstellenmanagement Assessment – die Bewertung von Patching-Prozessen, Incident Response-Workflows und sichere Update-Mechanismen.

• Training und Capacity Building – Teams helfen dabei, CRA-Anforderungen zu verstehen und sie in sichere Design- und Entwicklungsworkflows zu integrieren.

QIMA CCLab agiert nicht nur als Testlabor, sondern auch als strategischer Partner Unterstützung von Unternehmen von frühen Konstruktionsstufen durch abschließende Evaluierung, die es ihnen ermöglichen, sichere, konforme und widerstandsfähige Produkte zu erstellen.

FAQ

Wann wird das Cyber Resilience Act (CRA) vollständig anwendbar?

Obwohl das CRA formell am 10. Dezember 2024 in Kraft getreten ist, wird es erst am 11. Dezember 2027 vollständig in Kraft treten. Diese dreijährige Übergangszeit ermöglicht es Herstellern, ihre Entwicklungs- und Supportprozesse anzupassen. Nach diesem Datum können Produkte mit digitalen Elementen, die nicht den Anforderungen der CRA entsprechen, nicht legal auf den EU-Markt gebracht werden.

Wie sind das Gesetz über die Funkgeräterichtlinie (RED-DA) und das CRA miteinander verbunden?

Sowohl die RED-DA als auch das CRA erzwingen verbindliche Anforderungen an die Netzsicherheit mittels CE-Kennzeichnung. Die RED-DA gilt für internetangeschlossene Funkgeräte, während die CRA für alle digitalen Produkte einschließlich Software gilt. Die RED-DA wird am 11. Dezember 2027 aufgehoben, am selben Tag, an dem das CRA vollständig anwendbar ist, erlaubt dem CRA Vorrang zu haben und ein einheitliches gestrafftes Cybersicherheits-Framework zu erstellen.

Wie unterstützen harmonisierte Standards (HEN) die CRA-Konformität?

Harmonisierte Standards bilden das technische Rückgrat für die Nachweis der CRA-Konformität. Die Serie EN 18031 – die ursprünglich für RED-DA verwendet wurde – wird voraussichtlich die Grundlage für zukünftige harmonisierte CRA-Standards bilden. Durch die Einhaltung dieser Normen, sobald sie im Amtsblatt der Europäischen Union veröffentlicht werden, können die Hersteller eine "Konformitätsvoraussetzung" erhalten. (Wichtiger Hinweis: Derzeit gibt es keine harmonisierten Standards im CRA, daher müssen Hersteller sich bis zum Abschluss auf alternative Bewertungsmethoden stützen).