Cyber Resilience Act (CRA): Was Unternehmen jetzt wissen müssen
Mit der zunehmenden Vernetzung von Industrieanlagen, Netzwerken und Software steigt auch das Risiko von Cyberangriffen. Um ein einheitliches Sicherheitsniveau für Produkte mit digitalen Komponenten zu schaffen, hat die Europäische Union den Cyber Resilience Act (CRA) eingeführt. Die Verordnung verpflichtet Hersteller dazu, Cybersicherheit über den gesamten Lebenszyklus eines Produkts hinweg zu berücksichtigen – von der Entwicklung bis zum Ende des Supports.
CRA und NIS2 – zwei Seiten derselben Medaille
Während die NIS2-Richtlinie Anforderungen an den sicheren Betrieb von Organisationen und kritischen Infrastrukturen stellt, konzentriert sich der CRA auf die Sicherheit der Produkte selbst. Beide Regelwerke ergänzen sich und stärken gemeinsam die Cybersicherheit entlang der gesamten Lieferkette.
Die wichtigsten Anforderungen des CRA
1. Secure by Design und Secure by Default
Produkte müssen von Anfang an sicher entwickelt werden. Sichere Standardeinstellungen, starke Authentifizierung und verschlüsselte Kommunikation werden zur Grundanforderung.
2. Sicherer Entwicklungsprozess
Hersteller müssen einen strukturierten Secure Development Lifecycle etablieren, der Risikoanalysen, sichere Programmierung, Tests und Dokumentation umfasst. Standards wie IEC 62443-4-1 bieten dabei eine bewährte Grundlage.
3. Schwachstellenmanagement
Sicherheitslücken müssen während des gesamten Produktlebenszyklus überwacht, bewertet und zeitnah behoben werden. Zudem sind Prozesse für die Meldung und Kommunikation von Sicherheitsvorfällen erforderlich.
4. Langfristiger Support
Hersteller müssen transparent angeben, wie lange Produkte mit Sicherheitsupdates versorgt werden und diesen Zeitraum auch einhalten.
5. Dokumentation und Nachweisführung
Um die Konformität nachzuweisen, sind umfassende technische Dokumentationen und Risikobewertungen erforderlich. Diese dienen sowohl Behörden als auch Betreibern als Nachweis für die Sicherheit eines Produkts.
Warum jetzt Handlungsbedarf besteht
Produkte mit bekannten ausnutzbaren Schwachstellen dürfen künftig nicht mehr auf dem EU-Markt angeboten werden. Unternehmen, die ihre Entwicklungs- und Beschaffungsprozesse frühzeitig anpassen, reduzieren das Risiko von Marktzugangsbeschränkungen, Verzögerungen und zusätzlichen Kosten.
Fazit
Der Cyber Resilience Act macht Cybersicherheit zu einer verbindlichen Produkteigenschaft. Für Hersteller bedeutet dies neue Anforderungen an Entwicklung, Support und Dokumentation. Betreiber profitieren von mehr Transparenz und einem höheren Sicherheitsniveau bei digitalen Produkten. Wer sich frühzeitig auf die neuen Vorgaben vorbereitet, schafft nicht nur regulatorische Sicherheit, sondern stärkt auch langfristig die eigene Cyberresilienz.
Produktneuheit: ProSoft ELX3 Edge Gateway
Für Unternehmen, die ihre OT- und IIoT-Infrastruktur zukunftssicher gestalten möchten, bietet das neue ProSoft ELX3 Edge Gateway von Belden eine leistungsstarke Lösung. Es vereint OT-Protokollkonvertierung, Secure Remote Access und die Ausführung benutzerdefinierter Docker-Container auf einer Hardware-Plattform und ermöglicht so eine sichere, flexible und effiziente Datenverarbeitung direkt am Netzwerkrand:
Benötigt Ihr Unternehmen Unterstützung bei der Umsetzung der CRA-Anforderungen? Gemeinsam mit unserem Partner Belden unterstützen wir Sie gerne bei der Bewertung Ihrer aktuellen Situation, der Entwicklung geeigneter Maßnahmen sowie bei der Auswahl und Implementierung CRA-konformer Lösungen.
