Startseite > Security > Cyber Resilience Act: Hersteller in der Pflicht

EU setzt neue IT-Sicherheitsmaßstäbe

Cyber Resilience Act: Hersteller in der Pflicht

21. November 2024, 7:20 Uhr | Diana Künstler

Am 20. November wurde der Cyber Resilience Act offiziell im Amtsblatt der EU veröffentlicht, womit der Countdown für die Umsetzung der IT-Sicherheitsvorschriften begonnen hat. Der CRA legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen in der EU fest.

Am 20. November 2024 wurde der Cyber Resilience Act (CRA)¹ der EU, auch bekannt als Verordnung 2024/2847, im Amtsblatt veröffentlicht. Mit der neuen Regelung gelten erstmals verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen, die auf den EU-Markt gebracht werden. Ziel ist es, weit verbreitete Sicherheitslücken und unzureichende Update-Mechanismen zu beseitigen, um die Resilienz digitaler Infrastrukturen zu stärken.

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Die nächsten CRA-Umsetzungsschritte
Nachdem der endgültige Text im Amtsblatt der EU veröffentlicht wurde, tritt er 20 Tage später in Kraft. Die Umsetzung des CRA wird in verschiedenen Etappen von Ende 2024 bis 2027 erfolgen¹⁺²: Juni 2026: Die Konformitätsbewertungsstellen (KBS) sind ermächtigt, die Konformität von Produkten mit den Anforderungen des CRA zu bewerten. September 2026: Die Hersteller von vernetzten Produkten unterliegen der Meldepflicht für Schwachstellen und Vorfälle. Dezember 2027: Alle CRA-Anforderungen gelten, einschließlich der Einhaltung der grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen eines Produkts, der Behandlung von Schwachstellen während des gesamten Lebenszyklus des Produkts und der Transparenz gegenüber den Nutzern.

Die nächsten CRA-Umsetzungsschritte

Nachdem der endgültige Text im Amtsblatt der EU veröffentlicht wurde, tritt er 20 Tage später in Kraft. Die Umsetzung des CRA wird in verschiedenen Etappen von Ende 2024 bis 2027 erfolgen¹⁺²:

Juni 2026: Die Konformitätsbewertungsstellen (KBS) sind ermächtigt, die Konformität von Produkten mit den Anforderungen des CRA zu bewerten.
September 2026: Die Hersteller von vernetzten Produkten unterliegen der Meldepflicht für Schwachstellen und Vorfälle.
Dezember 2027: Alle CRA-Anforderungen gelten, einschließlich der Einhaltung der grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen eines Produkts, der Behandlung von Schwachstellen während des gesamten Lebenszyklus des Produkts und der Transparenz gegenüber den Nutzern.

Neue Anforderungen an die Industrie

Der CRA verpflichtet Hersteller, Cybersicherheitsaspekte nicht nur in der Entwicklungsphase zu berücksichtigen, sondern über den gesamten Lebenszyklus eines Produkts hinweg sicherzustellen. Dabei werden Verantwortlichkeiten klar geregelt: Hersteller tragen die Hauptverantwortung für Sicherheitsupdates und die Behebung von Schwachstellen. Dies soll das Vertrauen in digitale Produkte langfristig stärken.

„Mit dem CRA geht die EU einen wichtigen Schritt für die Verbesserung der Cybersicherheit in einer zunehmend vernetzen digitalen Welt“, erklärt Prof. Dr. Norbert Pohlmann, Vorstand für IT-Sicherheit beim eco Verband. Der CRA habe das Potenzial, Europa als Vorreiter in der Cybersicherheit zu etablieren und globale Standards zu setzen, insbesondere im Bereich des Internets der Dinge (IoT).

Ein zentrales Thema bei der Verabschiedung des CRA war die Einbindung von Open-Source-Technologien. Laut Pohlmann stellt der gefundene Kompromiss einen Fortschritt dar, da er sowohl Sicherheitsanforderungen als auch Innovationsfreiheit berücksichtigt. Er betont jedoch, dass die Umsetzung weiterhin kritisch begleitet werden müsse, um Open-Source-Projekte vor übermäßigen bürokratischen Hürden zu bewahren.

Herausforderungen für kleinere Unternehmen

Eine besondere Herausforderung sieht Pohlmann in der differenzierten Risikokategorisierung, die der CRA vorsieht. Produkte werden in vier Risikoklassen eingeteilt, mit unterschiedlichen Anforderungen an die Sicherheitsmaßnahmen. Während diese Systematik für mehr Klarheit sorgt, könnten kleinere Unternehmen durch die Komplexität der Vorgaben belastet werden. „Es wird entscheidend sein, die Handhabbarkeit der Regelungen sicherzustellen und unnötige Bürokratie zu vermeiden“, mahnt der Experte.

Wegbereiter für globale Standards

Mit der Einführung des CRA setzt die EU erstmals ein europaweites Mindestmaß an Cybersicherheit durch. Laut Pohlmann sei dies nicht nur ein Gewinn für die Sicherheit von Endgeräten, sondern auch ein wichtiger Beitrag zur Stabilität der digitalen Infrastruktur. Der eco Verband sieht den CRA als „wichtigen Meilenstein“ und will sich aktiv dafür einsetzen, dass die Regelung praxistauglich umgesetzt wird, um die Balance zwischen Sicherheit und wirtschaftlicher Machbarkeit zu wahren.

^{1 https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html

2 https://www.linkedin.com/posts/stefan-hessel-itsec_cyberresilienceact-cybersicherheit-cra-activity-7264907863771254784-Xswa?utm_source=share&utm_medium=member_desktop}