Noticia

Was ist der Cyber Resilience Act (CRA)?

Der Cyber Resilience Act (CRA) gemäß der Verordnung (EU) 2024/2847 ist eine Verordnung der Europäischen Union, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Dazu gehören Software, Anwendungen, IoT-Geräte, vernetzte Geräte sowie weitere digitale Produkte, die auf dem europäischen Markt bereitgestellt werden.

Ziel der Verordnung ist es, sicherzustellen, dass digitale Produkte bereits bei ihrer Entwicklung sicher gestaltet werden und während ihres gesamten Lebenszyklus sicher bleiben. Dadurch sollen Schwachstellen reduziert und Verbraucher, Unternehmen sowie öffentliche Verwaltungen besser vor Cyberbedrohungen geschützt werden.

Warum ist der CRA wichtig?

Digitale Produkte sind aus dem Alltag nicht mehr wegzudenken. Dennoch weisen viele Geräte und Anwendungen Sicherheitslücken auf, die von Cyberkriminellen ausgenutzt werden können, um Informationen zu kompromittieren, Dienste zu beeinträchtigen oder die Privatsphäre der Nutzer zu gefährden.

Der Cyber Resilience Act begegnet diesen Herausforderungen durch die Einführung eines gemeinsamen Cybersicherheitsrahmens für die gesamte Europäische Union. Dadurch soll das Vertrauen in digitale Produkte gestärkt und ein sichereres digitales Ökosystem geschaffen werden.

Wesentliche Anforderungen des CRA

Zu den wichtigsten Verpflichtungen der Verordnung gehören:

Berücksichtigung von Security by Design und Security by Default während der gesamten Produktentwicklung.
Management und Behebung von Schwachstellen während des gesamten Produktlebenszyklus.
Rechtzeitige Bereitstellung von Sicherheitsupdates.
Durchführung von Risikobewertungen vor dem Inverkehrbringen bestimmter Produkte.
Meldung aktiv ausgenutzter Schwachstellen sowie schwerwiegender Cybersicherheitsvorfälle an die zuständigen Behörden.
Bereitstellung klarer Informationen für Nutzer über Produktsupport und verfügbare Sicherheitsupdates.

Zeitplan der Umsetzung

Die Verordnung sieht eine schrittweise Anwendung vor:

10. Dezember 2024: Inkrafttreten der Verordnung (EU) 2024/2847.
11. September 2026: Die Verpflichtungen zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Cybersicherheitsvorfälle werden anwendbar.
11. Dezember 2027: Die wesentlichen Anforderungen des Cyber Resilience Act gelten vollständig.

Wen betrifft der CRA?

Der Cyber Resilience Act betrifft insbesondere:

Hersteller von Produkten mit digitalen Elementen.
Softwareentwickler.
Importeure und Händler digitaler Produkte.
Organisationen, die technologische Produkte auf dem Markt der Europäischen Union bereitstellen.

Empfehlung von CSIRT-CAN

CSIRT-CAN empfiehlt Organisationen, die Entwicklung dieser Verordnung aufmerksam zu verfolgen und ihre Auswirkungen frühzeitig zu bewerten. Die Einführung bewährter Cybersicherheitsmaßnahmen, ein kontinuierliches Schwachstellenmanagement sowie die Entwicklung sicherer Produkte tragen dazu bei, die digitale Resilienz zu stärken und Cyberrisiken zu reduzieren.