Der Cyber Resilience Act im Überblick

Es ist der erste EU-weite Rechtsakt mit verbindlichen und einheitlichen Regelungen für die Cyber-Security von vernetzten Produkten, wurde von den Organen der EU beschlossen und soll die Cybersecurity-Resilienz von Produkten, die im EU-Raum hergestellt oder in diesen eingeführt werden, stärken.
 
Der CRA regelt dabei die technischen und organisatorischen Anforderungen für die IT-Security vernetzter Produkte. Insbesondere werden Dokumentations-, Melde- und Informationspflichten betrachtet. 
 
Die vollständige Umsetzung des CRA ist ab Dezember 2027 verpflichtend.

Die Verordnung regelt „Produkte mit digitalen Elementen“ (PDE). Das ist ein breit gefasstes Feld an Software und Hardware, die als Produkt auf den EU-Markt kommen. Damit lässt sich Software in zwei Kategorien einteilen:

• Produkt (wird installiert)

• Service (wird genutzt, z.B. im Browser)

In dieser groben Unterteilung gibt es für die Unterscheidung erschwerende Feinheiten. In unserem Webinar zum Cyber Resilience Act haben wir anhand von Beispielen gezeigt, dass die Unterscheidung von mehreren Faktoren abhängig ist. Einige dieser Beispiel sind:

• Webseite im Browser 

• Dieselbe Anwendung, aber als Desktop-App 

• Smart-Home App mit Cloud Backend 

• Gerät und Software 

Hersteller ist, wer das Produkt unter eigenem Namen oder eigener Marke auf den EU-Markt bringt. Das gilt auch, wenn Unternehmen ein Produkt entwickeln lassen oder kostenlos bereitstellen. Produkte aus Nicht-EU-Staaten werden genauso erfasst, sobald sie auf den EU-Markt kommen. Hier ist der Nicht-EU-Anbieter Hersteller oder derjenige, der das fremde Produkt unter eigenem Namen vermarktet oder wesentlich verändert.

Das Ziel der Hersteller ist der Erhalt des CE-Siegels für ihre digitalen Hard- oder Softwareprodukte. Dieses erfordert die Ausstellung einer Konformitätserklärung, die die Konformität des Produktes mit den Anforderungen aus dem CRA bestätigt. 
Hersteller von Standardprodukten ohne Risikoklasse können diese Erklärung selbst ausstellen. Risikoklassen-Produkte erfordern eine externe Prüfung. Für eine Konformitätserklärung müssen Hersteller die folgenden Pflichten erfüllen: 

• Hersteller müssen eine Risikobewertung ihres Produkts durchführen und diese dokumentieren. Dabei sollten insbesondere auch mögliche Einfallstore und Schwachstellen analysiert werden.

• Hersteller müssen geeignete Maßnahmen ergreifen, um Sicherheitslücken ihrer Produkte zu schließen und diese genau dokumentieren. Ausnahmen für Sicherheitslücken müssen explizit begründet werden.

• Bei Softwareprodukten muss eine Software Bill of Materials (SBOM) angefertigt und laufend aktualisiert werden. Diese enthält alle Software-Bestandteile und dokumentiert insbesondere die eingesetzten Drittanbieter-Bibliotheken.

• Die technische Dokumentation sollte in ihrer Gesamtheit die Analyse der möglichen Sicherheitslücken, die Maßnahmen, welche diese schließen und die SBOM enthalten. Sie ist die Grundlage zum Erhalt einer Konformitätserklärung und muss während des gesamten Produktlebenszyklus fortlaufend aktualisiert werden.

• Hersteller von vernetzten Produkten sind durch den CRA verpflichtet über die Dauer einer vorher festgelegten Support-Periode (mind. 5 Jahre) Sicherheits-Updates zur Verfügung zu stellen.

• Der CRA verpflichtet Hersteller zudem aktiv ausgenutzte Schwachstellen im Produkt oder schwerwiegende Sicherheitsvorfälle zu melden. Die Frühwarnung muss innerhalb von 24 Stunden erfolgen. Weiterführende Meldungen umfassen: 

  • Vollständige Meldung zum Vorfall innerhalb von 72 Stunden 

  • Maßnahmen zur Korrektur oder Minderung des Risikos innerhalb von 14 Tagen 

  • Ein Abschlussbericht über den Vorfall innerhalb eines Monats

Ist Software vom Cyber Resilience Act betroffen, greift die Risikobewertung. Sie ist das Fundament des gesamten CRA-Prozesses. Zudem ist sie Pflicht und über den gesamten Lebenszyklus zu pflegen und zu dokumentieren. Zugleich bestimmt sie, welche Anforderungen aus CRA Anhang I das Produkt betreffen und wie streng geprüft wird. Es wird allerdings geschätzt, dass 90% der Produkte in die unterste Sicherheitsklasse „Standard“ gehören. Diese Sicherheitsklassen sind:

• Standard – Die meisten Apps und Geräte. Es ist erlaubt eine Selbstprüfung durchzuführen und selbst eine EU-Konformitätserklärung auszustellen. 

• Wichtig, Klasse I – smarte Schlösser/Kameras, Health-Wearables, Passwort-Manager 

• Wichtig, Klasse II – Firewalls, manipulationssichere Mikroprozessoren 

• Kritisch – Smartcards, Smart-Meter-Gateway

Die Klasse bestimmt, ob eine Selbstprüfung möglich ist, in welchem Umfang und ob harmonisierte Normen genutzt werden müssen.

Stellen die Marktaufsichtsbehörden (in Deutschland das BSI) Verstöße gegen den Cyber Resilience Act fest, kann dies empfindliche Strafen nach sich ziehen:

• bis zu 5 Mio. € oder 1 % des letzten Jahresumsatzes bei Weitergabe von falschen, unvollständigen oder irreführenden Informationen

• bis zu 10 Mio. € oder 2 % des letzten Jahresumsatzes bei Verstoß gegen Pflichten der Konformitätsbewertung, der Dokumentations- und Informationspflichten

• bis zu 15 Mio. € oder 2,5 % des letzten Jahresumsatzes bei Nichteinhaltung der Cybersecurity-Anforderungen oder Anforderungen an das Schwachstellen-Management

Die Strafen können je nach Art, Schwere des Verstoßes, Größe und Marktanteil der Organisation und anderen Kriterien jeweils unterschiedlich ausfallen.

Der Cyber Resilience Act ist seit dem 10.12.2024 in Kraft. Diese Termine sind jetzt entscheidend: 

• 11.09.2026: Meldepflichten für Schwachstellen und Vorfälle. Auch für Produkte, die bereits auf dem Markt sind. 

• 11.12.2027: Volle Anwendung aller Pflichten 

Bei bestehenden Produkten müssen möglichst bald Prozesse in Gang gesetzt werden, um den Meldepflichten nachzukommen. Wer jedoch ein Produkt entwickelt, das Ende 2027 auf den Markt kommen soll, sollte die vollen Anforderungen bereits jetzt in die Entwicklung einplanen.