Die Cyberresilienz-Verordnung - Cyber Resilience Act
Der Cyber Resilience Act (CRA) der Europäischen Union ist am 9. Dezember 2024 in Kraft getreten und schafft verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, darunter Software, vernetzte Geräte und deren Komponenten.
Hersteller, Importeure und andere Wirtschaftsakteure müssen sicherstellen, dass Produkte über den gesamten Unterstützungs- und Wartungszeitraum hinweg sicher entwickelt, bereitgestellt und gepflegt werden. Die CE-Kennzeichnung umfasst dabei künftig auch die Einhaltung der einschlägigen Cybersicherheitsanforderungen des CRA.
Seit dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle. Die wesentlichen Verpflichtungen des CRA, insbesondere die Anforderungen an sichere Produkte und das Schwachstellenmanagement, werden ab dem 11. Dezember 2027 vollständig anwendbar.
Unternehmen, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen, sollten ihre Compliance-, Produktsicherheits- und Vulnerability-Management-Prozesse bereits heute an die Anforderungen des CRA anpassen. Dies erfordert in der Regel einige Vorbereitungen:
Implementieren Sie Security by Design in Planungs-, Entwurfs-, Entwicklungs-, Produktions-, Liefer- und Wartungsphasen. Als Importeur müssen Sie nachweisen, dass das bei der ENtwicklung eines Produkts die Cybersicherheit berücksichtigt wurde.
Stellen Sie Sicherheitsupdates für Produkte mindestens fünf Jahre lang zur Verfügung und weisen Sie Ihre Kunden in die Aktualisierung des Produkts ein.
Behandeln Sie Schwachstellen effektiv, wenn sie während der erwarteten Produktlebensdauer oder über einen Zeitraum von fünf Jahren auftreten. Es gibt Ausnahmen.
Melden Sie alle aktiv ausgenutzten Schwachstellen und Vorfälle.
Der Nachweis der Konformität mit dem Cyber Resilience Act (CRA) wird zunehmend durch Europäische Normen unterstützt. Harmonisierte Europäische Normen (hEN) bieten einen anerkannten Weg, die Konformität mit den entsprechenden Anforderungen des CRA nachzuweisen. Sobald ihre Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde, können sie eine Vermutungswirkung für die Konformität begründen.
Die Normen decken sowohl allgemeine Cybersicherheitsanforderungen als auch Anforderungen für bestimmte Produktkategorien ab. Horizontale Normen behandeln übergreifende Aspekte wie Cybersicherheitsgrundsätze, Risikobewertung, sichere Produktentwicklung und den Umgang mit Schwachstellen. Produktspezifische beziehungsweise vertikale Normen enthalten dagegen detailliertere Cybersicherheitsanforderungen und Kriterien für die Bewertung bestimmter Kategorien von Produkten mit digitalen Elementen.
Die ersten CRA-bezogenen Europäischen Normen befinden sich inzwischen in fortgeschrittenen Stadien des Normungs- und Genehmigungsprozesses. Insbesondere ETSI entwickelt die ETSI EN 304 6xx-Reihe, die unter anderem Produktkategorien wie Browser, VPNs, Netzwerkmanagementsysteme, SIEM-Systeme und Betriebssysteme abdeckt. Im August 2026 hat ETSI 17 vertikale CRA-Normen in das europäische Genehmigungsverfahren eingebracht, mit dem Ziel, diese als harmonisierte Europäische Normen zu verabschieden.
Hersteller sollten daher die für ihre Produkte relevanten Normen identifizieren und deren Status verfolgen. Auch Normenentwürfe können bereits wertvolle Hinweise für die praktische Umsetzung liefern. Die rechtliche Vermutungswirkung für die Konformität entsteht jedoch erst, wenn eine Norm formal harmonisiert und ihre Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde.
Mein Angebot
Ich biete Ihnen an, basierend auf technische Sicherheits- und Datenschutzkenntnisse, wissenschaftliche Forschung, praktische Erfahrungen in Technologieentwicklungen und meiner aktive Mitarbeit bei der Festlegung des Cyber-Resilienzgesetzes:
Security Engineering und Safety Compliance Umfassende IT Sicherheitstungen die definierte Sicherheitsanforderungen aber auch Datenschutzbestimmungen erfüllt werden und Verfahren zur Behandlung von Schwachstellen.
Umfassende Cybersicherheits- und Sicherheitstechnologie-Beratung Beratung zu einer breiten Palette von Themen, darunter Cybersicherheit, Softwareentwicklung, Governance, Compliance, Cloud, Open Source, Künstliche Intelligenz, technische Planung und technische Bewertung. Ich unterstütze Unternehmen, Organisationen und Einzelpersonen bei der Navigation in einer komplexen technischen IT Sicherheits-Landschaften.
Strategisches Cybersecurity Consulting Ich biete fachkundige Beratung zu strategischen und geschäftsbezogenen Cybersicherheits-Herausforderungen für Ihre Produkte, validiere Ihre Prozesse und helfe Ihnen, die Sicherheitsmaßnahmen des CRA an Ihren Geschäftszielen auszurichten.
Das ist alles recht abstrakt. Sprechen Sie mich an und wir konkretisieren Lösungen nach Ihrem Bedarf.