Seit dem 11. September gelten die ersten gesetzlichen Verpflichtungen des Cyber Resilience Acts (CRA). Hersteller digitaler Produkte sind nunmehr dazu angehalten, Prozesse zu implementieren, um aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle fristgerecht zu identifizieren und zu melden. Laut dem Verband der Elektrotechnik Elektronik Informationstechnik (VDE) können bei Verstößen gegen diese Meldepflichten Sanktionen durch die Marktaufsichtsbehörden erfolgen. Diese können Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes umfassen.
Schnelle Prozesse erforderlich
Alexander Matheus (Bild), Senior Expert Smart Technologies und Information Security beim Dienstleistungsunternehmen VDE Institut, führt dazu aus: „Ab sofort müssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden können“. Gemäß den Vorgaben des CRA sind insbesondere Sicherheitslücken, die aktiv ausgenutzt werden, sowie Vorfälle, welche die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen, meldepflichtig. Da die Reaktionszeitfenster für die Übermittlung dieser Meldungen an die zuständigen Stellen kurz bemessen sind, seien definierte Prozesse und Verantwortlichkeiten innerhalb der Unternehmen erforderlich.
Anforderungen an die Marktfähigkeit und Konformität
Die Verordnung sieht vor, dass Produkte mit digitalen Elementen künftig nur dann eine CE-Kennzeichnung erhalten und auf dem europäischen Markt in Verkehr gebracht werden dürfen, wenn sie die festgelegten Cybersecurity-Anforderungen erfüllen. Dies betrifft eine Vielzahl von Produktgruppen, darunter vernetzte Haushaltsgeräte, industrielle Steuerungssysteme, Softwareprodukte sowie Komponenten im Internet der Dinge. Für die betroffenen Unternehmen resultiert daraus ein organisatorischer und technischer Anpassungsbedarf, der neben einem erhöhten Dokumentationsaufwand auch die Modifikation von Entwicklungsprozessen und die Einführung eines kontinuierlichen Schwachstellenmanagements umfasst. Zudem steigt die Relevanz der Überwachung von Lieferanten und Zulieferern.
Unterstützung bei der CRA-Umsetzung
Obwohl ein Großteil der Anforderungen erst ab Dezember 2027 bindend ist, empfiehlt das VDE Institut die frühzeitige Umsetzung. Dafür bietet die Firma verschiedene Dienstleistungen an. Das Spektrum umfasst CRA-Readiness Assessments, Betroffenheitsanalysen und Gap-Analysen sowie Unterstützung bei Risikobewertungen und der Prüfung technischer Dokumentationen. Darüber hinaus führt die Organisation Prüfungen von Produkten und Systemen sowie Cybersecurity-Tests durch, um Schwachstellen zu identifizieren und Sicherheitsanforderungen zu bewerten.
