Cybersicherheit für Produkte

Cyber Resilience Act - Ein Überblick

Stand:

Ziel des Cyber Resilience Act (CRA) ist es, unsichere Hard‑ und Software in Europa systematisch zu reduzieren und Sicherheitsrisiken für Verbraucher, Unternehmen und kritische Infrastrukturen zu verringern. Die Verordnung richtet sich also an die Cybersicherheit der Produkte.

Vortragsaufzeichnungen des DIHK

Die Veranstaltungen wurden von Rechtsinformatiker Karsten U. Bartels gestaltet.
Aufzeichnungen der Reihe "Cybersicherheitsgesetze und jetzt?"
Der CRA ist in zwei Module mit jeweils zwei Stunden Vortragsdauer gegliedert. Die Inhalte werden kompakt und mit der Expertise eines IT-Juristen vermittelt, der sich eng am Gesetzestext orientiert. Gleichzeitig erfolgt die Einordnung in den Unternehmensalltag, sodass die praktischen Auswirkungen und Handlungserfordernisse für Unternehmen deutlich werden. Für Unternehmen, die unmittelbar vom CRA betroffen sind oder über die Lieferkette ihrer Auftraggeber indirekt mit den Anforderungen konfrontiert werden, bieten die Aufzeichnungen eine wertvolle Orientierung.
Der CRA ist seit dem 10. Dezember 2024 geltendes Recht in allen EU-Mitgliedsstaaten - mit den geltenden Übergangsfristen:
Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen gemeldet werden.
Ab dem 11. Dezember 2027 müssen alle CRA-Anforderungen vollständig Anwendung finden! (Gilt für alle Produkte, die ab diesen Zeitpunkten in Verkehr gebracht werden.)
Wenn ein Produkt mit digitalen Funktionen entwickelt oder vertrieben wird – z. B. eine App, ein smartes Gerät oder eine Software – dann muss zukünftig der Nachweis erbracht werden, dass dieses Produkt cybersicher ist. Hersteller müssen die Konformität mit den Anforderungen des CRA erklären. Die Art der Konformitätserklärung ist abhängig von den Produktkategorien:

Produktkategorien, die der CRA kennt

Alle Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vorhersehbare Verwendung eine Datenverbindung mit dem Internet erfordert, werden in drei Kategorien aufgeteilt:

Standardprodukte

Das sind alle Produkte die nicht als wichtige oder kritische Produkte eingestuft sind.
Dazu zählen: Smartphones, Tablets, Software/Apps für Businessanwendungen, Gaming, Smart-Home-Geräte, IoT-Sensoren, digital vernetzte Unterhaltungselektronik
Die Konformitätsbewertung führt der Hersteller selbst durch und verantwortet diese auch selbst. (Art. 32)

Wichtige Produkte

Diese Kategorie ist in zwei Klassen eingeteilt und beschreibt Produkte, die besonders relevant für die Gesundheit und Sicherheit von Nutzern sind.
Klasse I: Identitäts-, Passwort- und Netzwerk-Manager, Virenscanner, Betriebssysteme, Home-Automation mit Sicherheitsfunktionen (Türschlösser, Kameras)
Klasse II: Firewalls, manipulationssichere Mikroprozessoren und Mikrocontroller, Hypervisors, Container-Runtime-Systeme
Für diese Klassen ist in der Regel die Konformität durch eine notifizierende Stelle (BSI) festzustellen - Das Selbstbewertungsverfahren kann auf die Klasse I angewendet werden, wenn z.B. harmonisierte Normen Anwendung finden und vollständig erfüllt werden.

Kritische Produkte

Ein Angriff auf Produkte dieser Kategorie würde zum Beispiel eine ganze Branche, kritische Infrastruktur oder ganze Lieferketten lahmlegen.
Beispiele sind: Smart-Meter-Gateways und andere fortgeschrittenen Security-Geräte, Smartcards inkl. Secure Elements, Hardware-Geräte mit Sicherheitsboxen
Für diese Produkte muss ausnahmslos die Konformität durch eine notifizierende Stelle (BSI) festgestellt werden!
Ausgenommen sind Produkte die schon branchenspezifischen Regulierungen unterliegen: Medizinprodukte, In-Vitro-Diagnostika, Kraftfahrzeuge, Zivilluftfahrt, Schiffsausrüstung, Ersatzteile (die nach denselben Spezifikationen hergestellt werden), Verteidigungsprodukte bzw. Nationale Sicherheit

Was ist neu?

Cybersicherheit über den gesamten Produktlebenszyklus

Grundlegende Cybersicherheitsanforderungen (Anhang 1) müssen berücksichtigt werden – also über die Entwicklung, die Herstellung, den Betrieb und die Wartung der Produkte.
Dazu muss die voraussichtliche Nutzungsdauer festgelegt und dokumentiert werden!

Nur sichere Produkte dürfen in Verkehr gebracht werden

Das heißt unter anderem:
  • Ausnutzbare Schwachstellen dürfen nicht bekannt sein, wenn das Produkt auf den Markt gebracht wird.
  • Die Standardkonfiguration muss sicher sein und Schutz vor unbefugtem Zugriff bieten.
  • Die Integrität und Sicherheit von gespeicherten, übermittelten oder weiterverarbeiteten Daten muss gewährleistet werden – das betrifft auch den Zugriff über externe Schnittstellen.

Sicherheitsupdates und Support werden Pflicht

Hersteller müssen Schwachstellen unverzüglich behandeln und Sicherheitsupdates während der festgelegten Nutzungsdauer gewährleisten, mindestens aber 5 Jahre. Die Sicherheit muss regelmäßig getestet und überprüft werden.

Schwachstellenmanagement

Hersteller müssen eine Strategie bzw. ein Verfahren etablieren, um die Offenlegung von Schwachstellen zu koordinieren – das beinhaltet die Meldung von intern oder extern, die Bearbeitung, die Behebung, die Dokumentation und die Meldung an Nutzer und Marktüberwachungsbehörden (In Deutschland das BSI).

Hersteller müssen die Konformität mit dem CRA erklären

Der Umfang der technischen Dokumentation muss um die Bewertung der Cybersicherheitsrisiken über den gesamten Produktlebenszyklus, den voraussichtlichen Nutzungszeitraum und die Softwarestückliste (SBOM) erweitert werden.

Pflichten der Hersteller

Die Vorteile für Nutzer sind offensichtlich, denn im Jahr 2025 entstand ein Gesamtschaden von mehr als 200 Mrd. Euro durch Cyberangriffe allein in Deutschland. Besonders für die Hersteller ergeben sich jedoch aus dem CRA deutlich größere Aufwände von der Entwicklung bis zum Ende des Lebenszyklus. Hervorzuheben sind:

Durchgehende Risikoanalyse – sichere Produktentwicklung

Von Beginn an sollte die Konzeption und Entwicklung dokumentiert und die möglichen Risiken bewertet werden. Die Festlegung der Nutzungsdauer und Kategorisierung des Produktes wird zum elementaren Bestandteil des Konzepts.

Vollständiges Schwachstellenmanagement etablieren

Diese Anforderung bedingt ein hohes Maß an Standardisierung und Kommunikation – also die klare Verteilung von Rollen und Verantwortlichkeiten in der Organisation, strukturierte transparente Prozesse und eine nachvollziehbare und durchgängige Dokumentation der Produktarbeit.

Sicherheitsupdates über den gesamten Produktlebenszyklus

Hersteller müssen Sicherheitsaktualisierungen für den gesamten Unterstützungszeitraum gewährleisten. Dazu können öffentliche Softwarearchive unterhalten werden, um Nutzern den Zugang zu historischen Versionen zu erleichtern.

Umfangreichere technische Dokumentation

Der Nachweis der Einhaltung aller Sicherheitsanforderungen, die Risikoanalyse inkl. der Neubewertung bei Produktanpassungen, die Softwarestückliste (SBOM) und nicht zuletzt die Nachweise zu behobenen Schwachstellen gehen über den bekannten Umfang einer technischen Dokumentation weit hinaus.

Meldepflichten für Schwachstellen und Sicherheitsvorfälle

Zu guter Letzt darf die Meldung von aktiv ausgenutzten Schwachstellen oder Sicherheitsvorfällen nicht vergessen werden – sie muss integraler Bestandteil der Produktpflege werden.
Meldepflichten für Hersteller - Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden (Art. 14): Die Erstmeldung hat innerhalb von 24 Stunden zu erfolgen I Eine detaillierte Meldung muss Innerhalb von 72 Stunden folgen I Ein Abschlussbericht ist spätestens nach 14 Tagen einzureichen! Gemeldet wird über ein EU-weites Meldesystem (CRA Single Reporting Plattform – SRP), dass bis zum 11. September 2026 produktiv bereitstehen wird.

Handlungsempfehlungen für Hersteller

  1. Das eigene Produktportfolio überprüfen und eine erste Einordnung in die Produktkategorien vornehmen (CRA Infomaterial des BSI)
  2. Lebensdauer der Produkte realistisch abschätzen und Updatefähigkeit beurteilen
  3. Abhängigkeit von Zulieferern und Komponenten analysieren
  4. Entwicklungs- und Qualitätssicherungsprozesse überarbeiten (CRA sinnvoll integrieren)
Das EU-Projekt SECURE unterstützt KMU direkt bei der Umsetzung der Anforderungen - eine Anmeldung auf der Plattform ist erforderlich um sich für einen kommenden Call zu bewerben.