Die Cybersicherheit tritt in der europäischen Produktregulierung in eine neue Phase ein. Nach dem EU Cyber Resilience Act (CRA)ist Cybersicherheit nicht mehr nur ein Thema der Informationstechnologie oder ein freiwilliges Produktmerkmal. Für ein breites Spektrum an Hardware- und Softwareprodukten, die auf dem Markt der Europäischen Union in Verkehr gebracht werden, wird sie zu einer wesentlichen Anforderung der Produktkonformität.
Die Verordnung (EU) 2024/2847 führt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementenein und bindet Cybersicherheitsrisikobewertung, sichere Produktentwicklung, Schwachstellenmanagement, technische Dokumentation und Konformitätsbewertung in den regulatorischen Lebenszyklus digitaler Produkte ein.
Das Ergebnis ist eine wichtige Entwicklung für Hersteller, Softwareanbieter, Einführer, Händler und Organisationen, die vernetzte Produkte nach Europa liefern.
Cybersicherheit wird zur Anforderung der Produktkonformität
Produktkonformität wurde in Europa traditionell mit Bereichen wie elektrischer Sicherheit, Maschinensicherheit, elektromagnetischer Verträglichkeit, Druckgeräten und anderen regulierten Produkteigenschaften in Verbindung gebracht.
Der Cyber Resilience Act überträgt dieses regulatorische Denken konsequent auf die Cybersicherheit.
Hersteller von Produkten im Anwendungsbereich des CRA müssen zunehmend nachweisen, dass Cybersicherheit bei Planung, Konstruktion, Entwicklung, Herstellung, Auslieferung und Wartung des Produkts systematisch berücksichtigt wurde.
Statt in erster Linie als interne technische Funktion behandelt zu werden, wird Cybersicherheit zunehmend Teil der Nachweise für Produktkonformität und europäischen Marktzugang.
Was ist der EU Cyber Resilience Act?
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen.
Ihr Zweck ist es, einen gemeinsamen Cybersicherheitsrahmen für ein breites Spektrum an Hard- und Software zu schaffen, die auf dem Markt der Europäischen Union bereitgestellt werden.
Ein Produkt mit digitalen Elementen kann ein Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen sowie gesondert in Verkehr gebrachte Software- oder Hardwarekomponenten umfassen – vorbehaltlich des Anwendungsbereichs und der Ausnahmen der Verordnung.
Die Relevanz des CRA reicht weit über klassische Cybersicherheitsprodukte hinaus. Vernetzte Industrieausrüstung, Netzwerkgeräte, Software, intelligente Geräte, IoT-Produkte und viele andere digital gestützte Produkte können unter den Rechtsrahmen fallen.
Welche Produkte können betroffen sein?
Der Anwendungsbereich des CRA ist bewusst weit gefasst, weil digitale Funktionen heute in modernen Produkten und Infrastrukturen allgegenwärtig sind.
Je nach ihren Merkmalen und ihrer bestimmungsgemäßen Verwendung können betroffene Produkte unter anderem sein:
Die Anwendbarkeit muss daher auf Produktebene bewertet werden und darf nicht allein aus der Branchenzugehörigkeit des Herstellers abgeleitet werden.
Die Verantwortung der Hersteller wächst
Der CRA überträgt den Herstellern erhebliche Verantwortung.
Bei Konzeption, Entwicklung und Herstellung eines Produkts mit digitalen Elementen muss der Hersteller sicherstellen, dass die anwendbaren grundlegenden Cybersicherheitsanforderungen erfüllt werden.
Eine wichtige Grundlage dieses Prozesses ist die Cybersicherheitsrisikobewertung.
Diese Bewertung bestimmt, wie die anwendbaren Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus umgesetzt werden, und wird Teil der technischen Konformitätsdokumentation des Produkts.
Produkt, digitale Elemente, Verwendungszweck und vorhersehbare Verwendung festlegen.
Bedrohungen, Schwachstellen und mögliche Folgen im Zusammenhang mit dem Produkt ermitteln.
Bestimmen, welche Cybersicherheitsanforderungen des CRA gelten und wie sie erfüllt werden.
Geeignete Cybersicherheitsmaßnahmen in Produktarchitektur und Lebenszyklus umsetzen.
Prüfung, Validierung und technische Nachweise der Umsetzung festlegen.
Schwachstellenbehandlung, Updates und regulatorische Meldungen nach dem Inverkehrbringen aufrechterhalten.
Security by Design und Security by Default
Einer der zentralen Grundsätze des CRA ist, dass Cybersicherheit bereits während der Produktentwicklung berücksichtigt und nicht erst nachträglich hinzugefügt werden sollte, wenn ein Produkt auf den Markt kommt.
Produkte mit digitalen Elementen müssen so konzipiert, entwickelt und hergestellt werden, dass sie auf Grundlage der ermittelten Risiken ein angemessenes Cybersicherheitsniveau gewährleisten.
Je nach Produkt und anwendbaren Anforderungen kann dies Aspekte wie sichere Konfigurationen, Zugriffskontrolle, Vertraulichkeit und Integrität von Daten, Verringerung der Angriffsfläche, Resilienz, Sicherheitsüberwachung und Behebung von Schwachstellen umfassen.
Die Cybersicherheitsrisikobewertung rückt in den Mittelpunkt
Der CRA verpflichtet Hersteller, für Produkte in seinem Anwendungsbereich eine Cybersicherheitsrisikobewertung durchzuführen.
Diese Bewertung sollte nicht als isoliertes Dokument behandelt werden, das unmittelbar vor der Markteinführung erstellt wird.
Sie muss Entscheidungen in allen relevanten Phasen des Produktlebenszyklus prägen.
- den Verwendungszweck und die vernünftigerweise vorhersehbare Verwendung des Produkts;
- die Architektur und die digitalen Schnittstellen des Produkts;
- mögliche Cybersicherheitsbedrohungen und Angriffsszenarien;
- bekannte und vorhersehbare Schwachstellen;
- Hardware- und Softwarekomponenten Dritter;
- Abhängigkeiten von Ferndiensten und Datenverarbeitung;
- mögliche Folgen einer Kompromittierung der Cybersicherheit; sowie
- Maßnahmen, die zur Verringerung der ermittelten Risiken umgesetzt wurden.
Cybersicherheit ist im Rahmen des CRA nicht einfach ein Merkmal, das am Ende der Entwicklung geprüft wird. Sie wird zu einer Konformitätsanforderung über den gesamten Produktlebenszyklus, die von der Konstruktion bis zur Unterstützung nach dem Inverkehrbringen berücksichtigt werden muss.
Schwachstellenmanagement endet nicht mit dem Verkauf des Produkts
Eines der wichtigsten Merkmale des Cyber Resilience Act ist sein Lebenszyklusansatz.
Von Herstellern wird erwartet, dass sie Prozesse zur Ermittlung, Dokumentation, Behebung und Kommunikation von Schwachstellen ihrer Produkte einrichten.
Die Schwachstellenbehandlung wird damit zu einer fortlaufenden Konformitätstätigkeit statt zu einer einmaligen Maßnahme vor dem Inverkehrbringen.
Prozesse zur Entdeckung und Entgegennahme von Informationen über Cybersicherheitsschwächen einrichten.
Schweregrad, Ausnutzbarkeit und mögliche Auswirkungen auf betroffene Produkte bewerten.
Geeignete Korrekturen, Patches oder Sicherheitsupdates entwickeln und bereitstellen.
Nutzern, Kunden und relevanten Beteiligten geeignete Sicherheitsinformationen bereitstellen.
Eskalations- und Meldeprozesse für Vorfälle und Schwachstellen aufrechterhalten, die den Pflichten des CRA unterliegen.
Sicherstellen, dass die Pflichten des Schwachstellenmanagements während des gesamten anwendbaren Unterstützungszeitraums fortbestehen.
Cybersicherheit wird Teil der CE-Kennzeichnung
Eine der bedeutendsten Folgen des CRA ist die Einbindung der Cybersicherheit in den europäischen Rahmen der Produktkonformität.
Bevor ein betroffenes Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr gebracht wird, muss der Hersteller das geeignete Konformitätsbewertungsverfahren durchführen.
Wurde die Konformität mit den anwendbaren Anforderungen nachgewiesen, stellt der Hersteller die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnungan.
Sicherheit wird häufig vorrangig als technisches oder IT-Thema behandelt.
Sicherheitsanforderungen, Nachweise und Konformitätsbewertung werden Teil des formalen Konformitätsprozesses.
Nicht jedes Produkt folgt demselben Konformitätsweg
Der CRA sieht je nach Produkt und dessen Einstufung unterschiedliche Möglichkeiten der Konformitätsbewertung vor.
Viele Produkte können, sofern die anwendbaren Voraussetzungen erfüllt sind, ein Konformitätsverfahren auf Grundlage der internen Kontrolle nutzen.
Die Verordnung benennt jedoch auch Kategorien wichtiger und kritischer Produkte mit digitalen Elementen , für die andere oder anspruchsvollere Konformitätsverfahren gelten können.
Die korrekte Produkteinstufung wird daher zu einer frühen und wichtigen Konformitätsentscheidung.
Prüfung und technische Nachweise gewinnen zunehmend an Bedeutung
Produktkonformität beruht auf objektiven Nachweisen.
Für die CRA-Konformität müssen Hersteller gegebenenfalls nachweisen, wie Cybersicherheitsanforderungen umgesetzt und durch geeignete technische Dokumentation, technische Analysen und Prüfungen verifiziert wurden.
- Aufzeichnungen zur Cybersicherheitsrisikobewertung;
- Dokumentation von Produktarchitektur und Sicherheitskonzept;
- Software- und Komponenteninformationen;
- Aufzeichnungen zur Schwachstellenanalyse;
- Sicherheitsverifizierung und -validierung;
- gegebenenfalls Penetrationstests oder andere Cybersicherheitsprüfungen;
- technische Spezifikationen und anwendbare Normen;
- Aufzeichnungen zu Korrekturmaßnahmen und Schwachstellenbehebung;
- Produktanleitungen und Sicherheitsinformationen; sowie
- Nachweise der Konformitätsbewertung.
Auch die Lieferkette ist wichtig
Moderne digitale Produkte bestehen selten ausschließlich aus Technologie, die von einem einzigen Hersteller entwickelt wurde.
Softwarebibliotheken, eingebettete Komponenten, Anwendungen Dritter, Cloud-Dienste und extern bezogene Hardware können Teil der endgültigen Produktarchitektur werden.
Der CRA hat daher wichtige Auswirkungen auf Cybersicherheit in der Lieferkette und Komponentenmanagement.
Der Meldemeilenstein im September 2026
Zwar gelten die Hauptpflichten des CRA ab dem 11. Dezember 2027, doch eine besonders wichtige Anforderung greift erheblich früher.
Ab dem 11. September 2026sind Hersteller verpflichtet, bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, die die Sicherheit von Produkten mit digitalen Elementen beeinträchtigen.
Organisationen sollten Dezember 2027 daher nicht als einzigen maßgeblichen Termin betrachten.
Verfahren für Schwachstellenmanagement, Eskalation und regulatorische Meldungen erfordern schon jetzt Aufmerksamkeit.
Zeitplan zur Umsetzung des Cyber Resilience Act
Der Cyber Resilience Act ist in Kraft getreten.
Die Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen gelten seitdem.
Die Meldepflichten nach Artikel 14 für bestimmte Schwachstellen und schwerwiegende Vorfälle gelten ab diesem Datum.
Die Hauptbestimmungen des Cyber Resilience Act gelten vollständig.
Was Hersteller jetzt tun sollten
Die Übergangszeit sollte genutzt werden, um die CRA-Anforderungen in bestehende Produktentwicklungs- und Konformitätsprozesse einzubinden, statt bis zum endgültigen Geltungsbeginn zu warten.
Hardware, Software und Komponenten ermitteln, die als Produkte mit digitalen Elementen gelten können.
Produktmerkmale, Geschäftsmodell, bestimmungsgemäße Verwendung und anwendbare Ausnahmen prüfen.
Feststellen, ob Produkte unter die allgemeinen, wichtigen oder kritischen CRA-Kategorien fallen.
Bestehende Produktentwicklungs- und Sicherheitsmaßnahmen mit den anwendbaren CRA-Anforderungen vergleichen.
Die Cybersicherheitsrisikoanalyse in Produktplanung, Entwicklung, Verifizierung und Änderungsmanagement integrieren.
Sicherstellen, dass Cybersicherheitsanforderungen, Prüfungen, Risikoentscheidungen und Konformitätsnachweise belegt werden können.
Prozesse für Erkennung, Behebung, Updates, Eskalation und regulatorische Meldungen vorbereiten.
Feststellen, welche Prüfungen, technischen Bewertungen, Zertifizierungen oder Bewertungen durch Dritte erforderlich sein können.
Von der Cybersicherheitstechnik zum Marktzugang
Der Cyber Resilience Act ist mehr als eine weitere Cybersicherheitsvorschrift.
Er führt die Cybersicherheit in die etablierte Welt der Konformitätsbewertung von Produkten
ein. Hersteller müssen Cybersicherheitstechnik zunehmend mit Risikobewertung, Produktprüfung, technischer Dokumentation, regulatorischer Konformität, Konformitätsbewertung und CE-Kennzeichnung verbinden.
Diese Verzahnung ist besonders wichtig für Organisationen in internationalen Lieferketten, deren Produkte Komponenten, Software, technische Ressourcen und Fertigungstätigkeiten aus mehreren Ländern enthalten können.
Am besten auf den CRA vorbereitet sind daher Unternehmen, die Cybersicherheit nicht als gesonderte technische Aufgabe behandeln, sondern als integrierten Bestandteil von Produktqualität, Konformität und Lebenszyklusmanagement.
Ist Ihr Produktportfolio bereit für den Cyber Resilience Act?
Die CRA-Bereitschaft beginnt mit dem Verständnis, welche Produkte betroffen sind, welche Anforderungen gelten und welcher Konformitätsweg geeignet ist.
Eine frühzeitige Bewertung kann regulatorische Lücken, Prüfanforderungen, Bedarf an technischer Dokumentation und Pflichten zum Schwachstellenmanagement aufdecken, bevor sie zu Hindernissen für den Marktzugang werden.
Der Cyber Resilience Act markiert einen grundlegenden Wandel: Cybersicherheit entwickelt sich von einer wünschenswerten Produkteigenschaft zu einer nachweisbaren Konformitätsanforderung für den Zugang zum europäischen Markt.