Wissen · Regulatorik
Cyber Resilience Act (CRA): Pflichten für Software und vernetzte Produkte
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) führt EU-weit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein – von Software und Apps bis zu vernetzter Hardware. Hersteller müssen Sicherheit über den gesamten Lebenszyklus gewährleisten (Security by Design), Sicherheitsupdates bereitstellen, Schwachstellen behandeln und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle melden. Die Anforderungen greifen gestaffelt, mit voller Anwendung nach einer Übergangszeit.
- Rechtsgrundlage
- Verordnung (EU) 2024/2847 (CRA)
- Gegenstand
- Produkte mit digitalen Elementen (HW + SW)
- Kernpflichten
- Security by Design, Updates, SBOM, Schwachstellenmanagement
- Meldung
- ausgenutzte Schwachstellen & schwere Vorfälle
- Anwendung
- gestaffelt, volle Geltung nach Übergangszeit
Was der CRA regelt
Der CRA gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und eine direkte oder indirekte Datenverbindung haben können. Erfasst sind Hardware und Software gleichermaßen. Ziel ist, dass solche Produkte über ihren Lebenszyklus hinweg sicher sind – nicht nur zum Zeitpunkt des Verkaufs.
Bestimmte Produktkategorien gelten als besonders kritisch (wichtige und kritische Produkte) und unterliegen strengeren Konformitätsbewertungsverfahren.
Pflichten der Hersteller
Hersteller müssen grundlegende Cybersicherheitsanforderungen erfüllen: Security by Design und by Default, ein Schwachstellenmanagement über den Support-Zeitraum, die Bereitstellung von Sicherheitsupdates, eine Software-Stückliste (SBOM), sichere Standardkonfiguration und die Dokumentation der Konformität mit CE-Kennzeichnung.
Neu sind Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind an die zuständige Stelle (ENISA/CSIRT) innerhalb kurzer Fristen zu melden. Auch nach dem Verkauf besteht die Pflicht, Sicherheitslücken über den festgelegten Unterstützungszeitraum zu beheben.
Zeitplan und Vorbereitung
Der CRA gilt gestaffelt: Zunächst greifen einzelne Pflichten (u. a. die Meldepflichten), die vollständige Anwendung folgt nach einer mehrjährigen Übergangszeit. Unternehmen, die Software oder vernetzte Produkte herstellen, sollten früh ein Inventar ihrer Produkte aufbauen, Sicherheitsprozesse (Schwachstellenmanagement, Update-Fähigkeit, SBOM) etablieren und die Konformität vorbereiten.
Das CRA-Modul in MGMSYS unterstützt die Erfassung der Produkte mit digitalen Elementen, das Schwachstellen- und Update-Management sowie die Nachweisführung für die Konformität.
Häufige Fragen
- Für wen gilt der Cyber Resilience Act?
- Für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – also Software und vernetzte Hardware, die auf dem EU-Markt bereitgestellt werden. Bestimmte kritische Produktkategorien unterliegen strengeren Konformitätsbewertungen.
- Welche Pflichten bringt der CRA?
- Security by Design und by Default, Schwachstellenmanagement über den Support-Zeitraum, Bereitstellung von Sicherheitsupdates, eine Software-Stückliste (SBOM), CE-Konformität sowie Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
- Ab wann gilt der CRA?
- Gestaffelt: Einzelne Pflichten (u. a. Meldepflichten) greifen früher, die vollständige Anwendung folgt nach einer mehrjährigen Übergangszeit. Hersteller sollten die Vorbereitung frühzeitig starten.
- Muss ich nach dem Verkauf Updates liefern?
- Ja. Hersteller müssen Sicherheitslücken über einen festgelegten Unterstützungszeitraum beheben und Sicherheitsupdates bereitstellen – die Sicherheit muss über den Lebenszyklus gewährleistet sein, nicht nur zum Verkaufszeitpunkt.