Cyber Resilience Act (CRA)

European Union Product Cybersecurity Regulation

Der Cyber Resilience Act (CRA) schafft einen harmonisierten Rahmen für die Cybersicherheit von Produkten mit digitalen Elementen, die in der Europäischen Union in Verkehr gebracht werden. Es führt verbindliche Anforderungen ein, die sich auf sicheres Produktdesign, das Management von Cybersicherheitsrisiken, den Umgang mit Schwachstellen, Sicherheitsupdates sowie Verpflichtungen nach dem Inverkehrbringen über den gesamten Produktlebenszyklus hinweg erstrecken. Hersteller müssen nicht nur geeignete Cybersicherheitsmaßnahmen umsetzen, sondern auch die Einhaltung der Vorschriften anhand technischer Unterlagen und objektiver Nachweise belegen. Als Voraussetzung für die CE-Kennzeichnung betroffener Produkte unterstreicht der CRA die Bedeutung wiederholbarer Sicherheitsentwicklungsverfahren und einer evidenzbasierten Cybersicherheitsvalidierung über den gesamten Produktlebenszyklus hinweg.

Geltungsbereich:

Europäische Union

Typ:

Verordnung

Scope:

Produkte mit digitalen Elementen

Status:

In Kraft, vollständig 12/27

Wer ist betroffen?

cyber resilience act industry

Hersteller

cyber resilience act IoT

IoT Produkte

cyber resilience act software

Softwareanbieter

cyber resilience act automotive

Automobilzulieferer

cyber resilience act industry

Industrieanlagen

cyber resilience act importer

Importeure, Händler

* wenn das Produkt Daten abruft, verarbeitet, überträgt oder speichert, fällt es sehr wahrscheinlich in den Geltungsbereich.

Wesentliche Anforderungen

  • Secure by Design & by Default: Produkte müssen so konzipiert sein, dass Cybersicherheit ein zentrales Konstruktionsprinzip darstellt. Entsprechende Sicherheitsmaßnahmen sollten während des gesamten Entwicklungsprozesses integriert und standardmäßig aktiviert sein.
  • Cybersecurity Risk Assessment: Hersteller sind verpflichtet, Cybersicherheitsrisiken während des gesamten Produktlebenszyklus zu identifizieren, zu bewerten und zu mindern, wobei sowohl der bestimmungsgemäße Gebrauch als auch ein vernünftigerweise vorhersehbarer Missbrauch zu berücksichtigen sind.
  • Sicherheitsvalidierung und -tests: Es müssen geeignete Sicherheitsüberprüfungen durchgeführt werden, um nachzuweisen, dass die implementierten Sicherheitsmaßnahmen die identifizierten Risiken wirksam abdecken.
  • Vulnerability Handling: Organisationen müssen koordinierte Prozesse für den Umgang mit Sicherheitslücken einrichten, einschließlich Überwachung, Behebung und verantwortungsvoller Offenlegung von Sicherheitslücken.
  • Sicherheitsupdates und Lifecycle-Support: Hersteller sind dafür verantwortlich, Sicherheitsupdates bereitzustellen und die Cybersicherheit während der gesamten unterstützten Lebensdauer des Produkts aufrechtzuerhalten.
  • Technische Dokumentation und Konformitäts-Nachweise: Die technische Dokumentation muss die Einhaltung der CRA nachweisen, einschließlich Cybersicherheits-Risikobewertungen, Testmaßnahmen, implementierter Schutzmaßnahmen und entsprechender Belege.
  • Produktklassifizierung: Je nach Produktkategorie kann die CRA entweder eine Selbstbewertung durch den Hersteller oder die Einbeziehung einer benannten Stelle während des Konformitätsbewertungsverfahrens vorschreiben.
  • Konformitätsbewertung: Bevor ein Produkt auf den EU-Markt gebracht wird, müssen Hersteller das entsprechende Konformitätsbewertungsverfahren durchlaufen und eine EU-Konformitätserklärung ausstellen.
  • CE-Kennzeichnung: Die Einhaltung der CRA ist eine Voraussetzung für die CE-Kennzeichnung und das Inverkehrbringen der betroffenen Produkte auf dem Markt der Europäischen Union.

Herausforderungen bei der Umsetzung

Adaption regulatorischer Anforderungen

Die CRA legt fest, was erreicht werden muss, nicht jedoch, wie Organisationen dies umsetzen sollen. Die Umsetzung gesetzlicher Anforderungen in praktische technische Prozesse, Sicherheitstests und Compliance-Workflows stellt nach wie vor eine große Herausforderung dar – insbesondere bei der Integration von Cybersecurity in etablierte Entwicklungsumgebungen.

Nachweis der Konformität

Die bloße Umsetzung von Cybersecurity-maßnahmen reicht nicht aus. Unternehmen müssen ihre Konformität anhand objektiver Nachweise belegen, darunter dokumentierte Risikobewertungen, Ergebnisse von Sicherheits-tests, technische Dokumentation und andere überprüfbare Unterlagen, die im Rahmen der Konformitätsbewertung erforderlich sind.

Kontinuierliche Produktsicherheit

Der CRA verpflichtet Hersteller dazu, die Cybersicherheit ihrer Produkte über den gesamten Lebenszyklus hinweg sicherzustellen. Hersteller müssen während der gesamten unterstützten Lebensdauer ihrer Produkte Schwachstellen überwachen, Sicherheitsupdates bereitstellen und auf neu auftretende Bedrohungen reagieren, wobei sie stets die geltenden Vorschriften einhalten müssen.

Typischer Compliance-Prozess

A. Scope definieren

Stellen Sie fest, ob Ihre Produkte in den Geltungsbereich fallen, und ermitteln Sie die entsprechende Produktklassifizierung. Daraus ergeben sich die regulatorischen Verpflichtungen und der Weg zur Konformitätsbewertung.

Unsere erfahrenen Experten unterstützen Sie bei der Produktklassifizierung, bei der Beurteilung des Geltungsbereichs sowie bei der Festlegung einer effizienten Compliance-Strategie.

B. Ausgangslage bewerten

Führen Sie eine Gap-Analyse durch, um fehlende Prozesse, Sicherheitsmaßnahmen und Dokumentationen zu identifizieren. Nutzen Sie die Ergebnisse, um Ihre Umsetzungs-Roadmap und Cybersecurity-Strategie gezielt zu definieren.

Nutzen Sie über 100 Testcase-Templates, die gängigen Vorschriften und Technologien zugeordnet sind, um Ihre Compliance-Aktivitäten schneller und effizienter zu starten.

C. Sicherheitsmaßnahmen validieren

Überprüfen Sie, ob implementierte Sicherheitsmaßnahmen identifizierte Cyberrisiken wirksam minimieren. Wiederholbare Sicherheitstests belegen die Wirksamkeit technischer Schutzmaßnahmen.

Automatisieren Sie Sicherheitstests für ECUs und Embedded Systems. HydraVision erstellt skalierbare, nachvollziehbare Testergebnisse und reduziert den manuellen Testaufwand erheblich.

D. Compliance nachweisen

Erstellen Sie die technische Dokumentation und objektive Compliance-Nachweise für den CRA. Dokumentieren Sie Sicherheitstests und implementierte Schutzmaßnahmen vollständig und nachvollziehbar.

Erstellen Sie anpassbare Berichte und objektive Compliance-Nachweise für unterschiedliche Stakeholder. KI-gestützte Berichte reduzieren den Dokumentationsaufwand und beschleunigen die Kommunikation zwischen Entwicklungsteams.

E. Marktzugang vorbereiten

Schließen Sie die Konformitätsbewertung ab, erstellen Sie die EU-Konformitätserklärung und kennzeichnen Sie Ihr Produkt vor dem Inverkehrbringen mit der CE-Kennzeichnung.