Cyber Resilience Act (CRA)

Der Cyber Resilience Act (CRA) ist eine Verordnung der Europäischen Union, die darauf abzielt, die Cybersicherheit von Produkten mit digitalen Elementen zu verbessern. Der CRA zielt darauf ab, die Sicherheit und Widerstandsfähigkeit vernetzter Produkte und Software zu erhöhen, indem klare Anforderungen und Pflichten für Hersteller, Händler und andere Akteure entlang der Lieferkette festgelegt werden.

 

Anforderungen an Unternehmen

Unternehmen, die Produkte mit digitalen Elementen herstellen oder vertreiben, müssen folgende Anforderungen erfüllen:

  • Sicherheits- und Risikoanalyse: Unternehmen sind verpflichtet, Sicherheitsrisiken während des gesamten Lebenszyklus ihrer Produkte zu analysieren. Diese Analyse muss sowohl in der Entwurfsphase als auch bei jeder Änderung oder Aktualisierung des Produkts erfolgen.
  • Sicherheitsdesign: Unternehmen müssen sicherstellen, dass ihre Produkte von Anfang an mit einer Sicherheitsarchitektur entwickelt werden. Dies beinhaltet die Implementierung von Sicherheitsmaßnahmen, die potenzielle Bedrohungen und Schwachstellen minimieren.
  • Fortlaufende Überwachung und Wartung: Unternehmen müssen Systeme zur fortlaufenden Überwachung der Cybersicherheit ihrer Produkte einrichten. Sie sind auch verpflichtet, regelmäßige Sicherheitsupdates bereitzustellen und Sicherheitslücken schnell zu beheben.
  • Informationspflichten: Unternehmen müssen Nutzer über potenzielle Sicherheitsrisiken und -vorkehrungen informieren. Dies umfasst auch die Bereitstellung von klaren Anweisungen zur sicheren Nutzung des Produkts.
  • Notfallmaßnahmen: Im Falle eines Sicherheitsvorfalls müssen Unternehmen unverzüglich geeignete Maßnahmen ergreifen, um die Auswirkungen zu minimieren. Sie müssen außerdem die zuständigen Behörden und betroffenen Nutzer informieren.
  • Dokumentation und Berichterstattung: Unternehmen müssen umfassende technische Unterlagen erstellen und aufbewahren, die alle Sicherheitsmaßnahmen und -prüfungen dokumentieren. Diese Dokumentation muss den Behörden auf Anfrage zur Verfügung gestellt werden.

 

Notwendige Schritte zur Umsetzung

Unternehmen, die unter den CRA fallen, müssen eine Reihe von Schritten unternehmen, um die Anforderungen zu erfüllen:

  1. Bewertung der aktuellen Sicherheitspraktiken: Unternehmen müssen eine umfassende Analyse ihrer bestehenden Sicherheitsmaßnahmen durchführen, um Schwachstellen zu identifizieren und sicherzustellen, dass diese den Anforderungen des CRA entsprechen.
  2. Implementierung von Sicherheitsdesigns: Entwicklungsprozesse müssen so angepasst werden, dass Sicherheitsmaßnahmen von Beginn an integriert werden. Dies kann bedeuten, dass zusätzliche Schulungen für Entwicklungsteams notwendig sind.
  3. Einrichtung von Monitoring- und Update-Systemen: Unternehmen müssen Systeme implementieren, die eine fortlaufende Überwachung der Sicherheit ermöglichen und sicherstellen, dass Sicherheitsupdates schnell und effizient ausgerollt werden.
  4. Einbeziehung der Stakeholder: Festlegung von Mitarbeitern an verantwortungsvollen Schlüsselstellen.
  5. Erstellung von Dokumentationsprozessen: Unternehmen sollten robuste Prozesse zur Erstellung und Pflege der erforderlichen Dokumentationen einführen. Dies ist wichtig für die Nachweisbarkeit der Einhaltung der CRA-Vorgaben.
  6. Schulung der Mitarbeiter: Unternehmen müssen sicherstellen, dass alle relevanten Mitarbeiter über die neuen Anforderungen informiert und entsprechend geschult werden.
  7. Kontinuierlichen Verbesserung: Kontrolle und Anpassung der Systeme, um Cyber-Bedrohungen widerstandsfähig zu begegnen.

 

Welche Unternehmen müssen die Anforderungen umsetzen und ab wann?

Der CRA betrifft grundsätzlich alle Unternehmen, die Produkte mit digitalen Elementen innerhalb der Europäischen Union entwickeln, herstellen, importieren oder vertreiben. Dazu gehören:

  • Hersteller von Software und Hardware mit digitalen Funktionen, die in der EU verkauft oder verwendet werden sollen.
  • Importeure und Händler, die Produkte mit digitalen Elementen in der EU vertreiben.
  • Dienstleister, die digitale Produkte, Systeme oder Software innerhalb der EU bereitstellen.

Die Verordnung ist so ausgestaltet, dass sie auf alle Produkte mit digitalen Elementen unabhängig vom Unternehmensstandort anwendbar ist, sofern die Produkte auf dem EU-Markt angeboten werden.

Umsetzungsfrist: Die Verordnung trat in Kraft, nachdem sie im EU-Amtsblatt veröffentlicht wurde, wobei Unternehmen ab diesem Zeitpunkt eine Übergangsfrist von 24 Monaten haben, um die Anforderungen des CRA vollständig umzusetzen. Das genaue Datum hängt vom Zeitpunkt der endgültigen Verabschiedung ab, aber Unternehmen sollten sich darauf vorbereiten, dass die Anforderungen spätestens 2026 in vollem Umfang gelten.

Unternehmen sollten daher jetzt mit den Vorbereitungen beginnen, um die Anforderungen rechtzeitig umzusetzen und Sanktionen zu vermeiden.