Das EU-Gesetz zur Cyber-Resilienz: Planung für die Einhaltung

Das EU-Gesetz zur Cyber-Resilienz (CRA) legt strenge Anforderungen an die Cybersicherheit für alle Produkte mit digitalen Elementen fest, die auf dem europäischen Markt verkauft werden, und stellt sicher, dass sie sowohl in der Designphase als auch während ihres gesamten Lebenszyklus cyber-sicher bleiben.

Genehmigt am 12. März 2024 vom Europäischen Parlament, erfordert diese Gesetzgebung die Bereitschaft zur Einhaltung von Herstellern, Händlern und Importeuren in der gesamten EU. Nach der formellen Verabschiedung des Gesetzes durch den Rat haben Hersteller 36 Monate Zeit, um die Einhaltung zu erreichen.

Dieser Artikel wird die wichtigsten Komponenten und Schritte für die Einhaltung des Cyber-Resilience Acts skizzieren und Ihnen helfen, Ihre Lieferkette vorzubereiten und die Strafen bei Nichteinhaltung zu vermeiden.

Warum die Einhaltung des EU-Gesetzes zur Cyber-Resilienz wichtig ist

Die Einhaltung des CRA ist entscheidend, um Ihre Produkte – und Verbraucher – vor Cyberangriffen zu schützen und die Strafen bei Nichteinhaltung zu vermeiden.

Das CRA behandelt zwei wesentliche Themen. Erstens bekämpft es die weit verbreiteten Schwachstellen in der Cybersicherheit von digitalen Produkten aufgrund niedriger Cybersicherheitsstandards und stellt sicher, dass die Hersteller während des gesamten Lebenszyklus ihres Produkts für die Cybersicherheit verantwortlich bleiben. Zweitens zielt es darauf ab, den Zugang und das Verständnis der Nutzer für Cybersicherheitsinformationen zu verbessern und ermöglicht es ihnen, fundierte Entscheidungen über die Cybersicherheit der von ihnen genutzten Produkte zu treffen und wie diese sicher einzurichten sind.

Das Nichteinhalten der Cybersicherheitsverpflichtungen kann zu rechtlichen Konsequenzen, einschließlich Geldstrafen, führen und sich negativ auf Ihren Ruf und den Marktzugang innerhalb der EU auswirken. Während die genauen Strafen von den einzelnen Mitgliedstaaten festgelegt werden, ist es entscheidend, Ihre Abläufe an die Bestimmungen des Gesetzes anzupassen, um solche Strafen zu vermeiden.

Geltungsbereich des Gesetzes

Das CRA gilt für Hersteller von Hardware- und Softwareprodukten mit digitalen Elementen, die in der EU verkauft werden. Dies umfasst unter anderem Geräte und Komponenten wie:

• Laptops

• Smartphones

• Festplatten

• Intelligente Lautsprecher

• Router

• Switches

• Mobile Anwendungen

• Firewalls

• Videospiele

• Firmware

• Betriebssysteme

• Computerprozessoren (CPUs)

Unter dem CRA unterliegen Hersteller und Entwickler dieser Produkte den Cybersicherheitsanforderungen, die sowohl die Designphase als auch die Sicherheitsupdates regulieren.

Die folgenden Produkttypen sind nicht vom Geltungsbereich des CRA abgedeckt:

• Software, die als Teil einer Dienstleistung bereitgestellt wird

• Nicht-kommerzielle Open-Source-Software

• Produkte mit digitalen Elementen, die ausschließlich für nationale Sicherheits- oder Verteidigungszwecke entwickelt oder modifiziert wurden

• Produkte, die bereits von anderen EU-Gesetzen abgedeckt sind, wie medizinische Geräte, Flugzeuge und Fahrzeuge.

Diese Ausnahmen helfen, regulatorische Überschneidungen zu vermeiden und sicherzustellen, dass Produkte im angemessensten Rahmen für ihre spezifischen Anwendungsfälle und Risiken reguliert werden.

Anforderungen des Cyber-Resilienz-Gesetzes

Anhang I des CRA legt wesentliche Cybersicherheitsanforderungen für Hersteller fest, um die Fähigkeit der Produkte zu unterstützen, Cyberangriffen standzuhalten und sicher zu funktionieren.

Unter Teil I müssen Hersteller sicherstellen:

• Their products do not have known “exploitable vulnerabilities” when put on the market

• Schwachstellen können durch Sicherheitsupdates, einschließlich automatischer Updates (von denen sich Nutzer leicht abmelden oder verschieben können, wenn gewünscht), adressiert werden

• Ihre Produkte schützen die Vertraulichkeit gespeicherter Informationen

• Ihre Produkte sind so gestaltet, entwickelt und produziert, dass sie Angriffe begrenzen und negative Auswirkungen minimieren, sollten Angriffe auftreten

Unter Teil II müssen Hersteller:

• Schwachstellen mit einer Software-Stückliste identifizieren und dokumentieren

• Schwachstellen schnell adressieren und beheben, einschließlich durch Bereitstellung von Sicherheitsupdates

• Regelmäßig die Sicherheit ihrer Produkte testen und überprüfen

• Informationen über nach einem Sicherheitsupdate behobene Schwachstellen teilen und öffentlich offenlegen und eine Richtlinie zur koordinierten Schwachstellenerkennung erstellen

Anhang II des CRA legt Anforderungen an die Informationen und Anweisungen fest, die den Nutzern für Produkte mit digitalen Elementen bereitgestellt werden müssen, einschließlich, aber nicht beschränkt auf:

• Den Namen, das Markenzeichen, die Postadresse und die Kontaktinformationen des Herstellers

• Wo die Richtlinie des Herstellers zur koordinierten Schwachstellenerkennung zu finden ist

• Wie relevante Sicherheitsupdates installiert werden können

• Wie Benutzerdaten sicher entfernt werden können.

• Wie automatische Sicherheitsupdates deaktiviert werden können

Die oben dargelegten Anforderungen sind eine Zusammenfassung der wichtigsten Anforderungen im CRA, jedoch keine umfassende Liste. Für die vollständige Liste der Anforderungen siehe den vollständigen angenommenen Text des CRA.

Schritte zur Einhaltung

Hersteller müssen die folgenden Schritte durchlaufen, um die Einhaltung sicherzustellen.

1. Risikobewertung: Identifizieren und bewerten Sie Cybersicherheitsrisiken für Ihre digitalen Produkte.

2. Design-Integration: Integrieren Sie wesentliche Cybersicherheitsmaßnahmen während des Produktdesigns und der Entwicklung.

3. Konformitätsbewertung: Wählen Sie zwischen Selbsteinschätzung und Drittbewertung basierend auf dem Risikoprofil Ihres Produkts. Das Gesetz teilt die abgedeckten Produkte in drei Kategorien ein. „Standard“-Produkte sind jene ohne Cybersicherheitsanfälligkeiten. Hersteller von Standardprodukten können eine Selbsteinschätzung ihrer Cybersicherheitsanfälligkeiten durchführen.

Die verbleibenden Produkte, aufgelistet in Anhang III und IV, werden als „Wichtig“ oder „Kritisch“ eingestuft, da sie höhere Risikostufen aufweisen. Diese Produkte werden weiter in zwei Risikoklassen unterteilt, Klasse I und Klasse II. Klasse I-Produkte, wie Passwort-Manager oder biometrische Leser, können einem EU-Standard entsprechen, um die Einhaltung sicherzustellen, oder eine Drittbewertung durchlaufen, um die Konformität mit dem Gesetz zu demonstrieren. Klasse II-Produkte, wie Betriebssysteme oder Firewalls und Router für industrielle Zwecke, müssen Drittbewertungen durchlaufen, um die Konformität aufgrund ihres höheren Sicherheitsrisikos zu demonstrieren.

Die europäischen Standardisierungsorganisationen werden technische Standards für viele der abgedeckten Produktkategorien erstellen

4. Konformitätserklärung: Entwerfen Sie eine EU-Erklärung, die bestätigt, dass Ihr Produkt die CRA-Anforderungen erfüllt und die in Anhang V dargelegten Informationen enthält.

5. CE-Kennzeichnung: Bringen Sie die CE-Kennzeichnung an Ihrem Produkt an als Symbol der Einhaltung.

6. Sicherheitsupdates: Definieren Sie eine Unterstützungszeitraum (der festgelegte Zeitraum, in dem Hersteller verpflichtet sind, Sicherheitsupdates bereitzustellen und Schwachstellen für ihre digitalen Produkte zu verwalten, im Zusammenhang mit der voraussichtlichen Nutzungsdauer des Produkts) und stellen Sie kontinuierlich die notwendigen Sicherheitsupdates bereit.

7. Verwaltungsmanagement: Ein System zur Verwaltung und Behebung von Schwachstellen etablieren.

8. Nutzerinformationen: Benutzer klar über die Cybersicherheitsfunktionen und den Unterstützungszeitraum Ihres Produkts informieren.

Planung für CRA-Compliance mit QIMA/CCLab

Während Sie daran arbeiten, die Konformität mit dem EU-Cyber Resilience Act zu erreichen, kann die Partnerschaft mit QIMA/CCLab Ihre Reise erheblich vereinfachen. QIMA/CCLab bietet spezialisierte Cybersicherheitsdienste, die darauf zugeschnitten sind, um sicherzustellen, dass Ihre Produkte die strengen CRA-Standards erfüllen.

Mit fachkundiger Anleitung bei Risikobewertungen, Konformitätsbewertungen, Schwachstellenmanagement und elektronischem Produkttest kann QIMA/CCLab in jedem Schritt unterstützen, von der Designintegration bis zur Markteinführung Ihres Produkts.

Für weitere Informationen zu Cybersicherheitsvorschriften in der EU lesen Sie unser Whitepaper: Cybersicherheit für IoT und darüber hinaus: Einhaltung der EU-Vorschriften