EU Cyber Resilience Act (EU CRA) - Kundenstellungnahme

Der EU Cyber Resilience Act (EU CRA) wurde entwickelt, um die Sicherheit digitaler Produkte, einschließlich Software und vernetzter Geräte, zu verbessern. Der Rechtsakt legt klare und einheitliche Regeln fest, die Unternehmen bei der Bereitstellung dieser Produkte einhalten müssen. Diese verbindliche Verordnung verringert Risiken, indem sie Hersteller dazu verpflichtet, Sicherheit in ihre Produkte zu integrieren und identifizierte Cybersicherheitslücken im Feld umgehend zu beheben. Ziel ist es, durch die Förderung der Verfügbarkeit von Produkten mit „Secure by Default“-Ansatz eine sicherere digitale Umgebung für alle zu schaffen. Der EU CRA verlangt, dass Hersteller ab dem 11. Dezember 2027 konforme Produkte auf dem Markt der Europäischen Union bereitstellen. Hersteller sind außerdem verpflichtet, schwerwiegende Vorfälle und aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 den zuständigen nationalen Behörden oder Computer Security Incident Response Teams (CSIRTs) zu melden.

Der EU CRA schreibt vor, dass Produkte mit digitalen Elementen (PDEs), die mit anderen Geräten oder Netzwerken verbunden sind oder mit ihnen interagieren, in ihrer Konzeption, Entwicklung und Produktion grundlegende Anforderungen an die Cybersicherheit erfüllen müssen. Der Rechtsakt verlangt außerdem ein Schwachstellenmanagement über den gesamten Produktlebenszyklus hinweg. Die folgende Beschreibung bietet einen Überblick über die wichtigsten Verpflichtungen gemäß dem EU CR.

Die EU CRA kategorisiert PDEs in vier Gruppen mit unterschiedlichen Konformitätsbewertungsniveaus: „Common“, „Important Class I“, „Important Class II“ und „Critical“. „Important“ und „Critical“ PDEs sind in Anhang III und IV aufgeführt. „Important“ PDEs (z. B. Firewalls) und „Critical“ PDEs (z. B. Hardware Security Module, Smartcards) bieten wesentliche Cybersicherheitsfunktionen oder sind für wichtige Einrichtungen oder Lieferketten in der EU unverzichtbar. Sie erfordern die Einhaltung harmonisierter Normen und eine Zertifizierung durch Dritte.

Produkte werden nur dann in Anhang III oder IV aufgenommen, wenn ihre Kernfunktionen den angegebenen Typen entsprechen; kombinierte Produkte, wie etwa Maschinen, übernehmen die Kritikalitätsklassifizierung nicht. Trotz unterschiedlicher Konformitätsbewertungen bleiben die grundlegenden Cybersicherheitsanforderungen für Produkteigenschaften in allen Kategorien gleich.