Cyber Resilience Act (CRA)
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, etwa vernetzte Geräte und Software. Er verpflichtet insbesondere Hersteller, Sicherheit bereits bei der Entwicklung zu berücksichtigen, Schwachstellen zu beheben und Sicherheitsupdates während des festgelegten Unterstützungszeitraums bereitzustellen.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, auch Cyberresilienz-Verordnung genannt, regelt die Cybersicherheit von Hardware und Software auf dem EU-Markt. Erfasst werden grundsätzlich Produkte, deren vorgesehene Nutzung eine direkte oder indirekte Verbindung mit Geräten oder Netzwerken umfasst.
Die Verordnung richtet sich insbesondere an Hersteller, Importeure und Händler. Für bestimmte Produktgruppen und nicht kommerziell bereitgestellte Open-Source-Software gelten Ausnahmen.
Wie funktioniert der Cyber Resilience Act?
Der CRA sieht Anforderungen von der Produktentwicklung bis zur Betreuung während des Unterstützungszeitraums vor:
- Sichere Entwicklung: Risiken bewerten und Schutzmaßnahmen frühzeitig einplanen.
- Sicherheitsupdates: Schwachstellen bearbeiten und erforderliche Updates bereitstellen.
- Konformität: Die Einhaltung der Anforderungen prüfen, dokumentieren und die CE-Kennzeichnung anbringen.
- Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die die Produktsicherheit beeinträchtigen.
Warum ist der Cyber Resilience Act wichtig?
Der CRA soll Sicherheitslücken in digitalen Produkten reduzieren und die Verantwortung der Anbieter stärken. Unternehmen erhalten damit bessere Grundlagen für ihre Beschaffung: Beispielsweise können sie beim Kauf eines Routers den ausgewiesenen Unterstützungszeitraum berücksichtigen und den späteren Austausch besser planen.