Cyber Resilience Act (CRA)

Der EU Cyber Resilience Act (CRA) ist eine Verordnung der Europäischen Union, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen (sowohl Hardware als auch Software) festlegt, die auf dem EU-Markt verkauft werden. Er soll sicherstellen, dass diese Produkte über ihren gesamten Lebenszyklus hinweg ein hohes Sicherheitsniveau aufweisen, indem er Hersteller verpflichtet:
• Sicherheit in alle Phasen des Produktlebenszyklus zu integrieren, einschließlich Design, Entwicklung, Auslieferung und Wartung,
• die Grundsätze Secure by Design und Secure by Default umzusetzen,
• Schwachstellen zu melden und Cybersicherheitsrisiken zu managen,
• nach der Auslieferung Updates und Patches bereitzustellen,
• Dokumentation zur Sicherheitshärtung der Produkte bereitzustellen.

Der CRA gilt für alle Produkte mit digitalen Elementen, einschließlich vernetzter Hardware (z. B. Smartphones, IoT-Geräte, Router) und Software (z. B. Betriebssysteme, Anwendungen, Softwarebibliotheken), sofern diese direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Vom Geltungsbereich ausgenommen sind bestimmte Produkte, die bereits durch andere Regelwerke abgedeckt sind, wie Medizinprodukte und Kraftfahrzeuge, sowie Open-Source-Software, die für nichtkommerzielle Zwecke entwickelt wurde. Das Portfolio von Moxa an industriellen Kommunikationsgeräten fällt in den Geltungsbereich des CRA und umfasst Schlüsselkategorien wie sichere Industrierouter, Ethernet Switches, Server für serielle Geräte und Netzmanagement-Software.

Die Hersteller müssen vor dem Inverkehrbringen eines Produkts eine Risikobewertung für die Cybersicherheit durchführen, sicherstellen, dass das Produkt die wesentlichen Cybersicherheitsanforderungen erfüllt, und während des gesamten Lebenszyklus des Produkts Sicherheitsupdates und Maßnahmen zur Behebung von Schwachstellen bereitstellen. Außerdem müssen sie technische Unterlagen erstellen, eine Konformitätsbewertung durchführen, die CE-Kennzeichnung anbringen und ausgenutzte Schwachstellen oder schwere Sicherheitsvorfälle an die zuständigen Behörden melden.

Harmonisierte Normen im Rahmen des CRA sind europäische Normen, die von den anerkannten Europäischen Normungsorganisationen (ESOs) – CEN, CENELEC und ETSI – auf ausdrückliches Ersuchen der Europäischen Kommission erarbeitet werden. Diese Normen sind für die Umsetzung des Cyber Resilience Act (CRA) von zentraler Bedeutung, da sie die in der Verordnung festgelegten grundlegenden Cybersicherheitsanforderungen in detaillierte technische Spezifikationen übertragen. Die Normungsarbeit ist im Gange und baut auf bestehenden internationalen und europäischen Normen auf. Die horizontalen Normen sollen bis August 2026 verfügbar sein, die sicherheitsspezifischen horizontalen Normen hingegen erst im Oktober 2027, die vertikalen Normen bis Oktober 2026. (Quelle: www.cencenelec.eu)

Hersteller müssen ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden; alle weiteren CRA-Anforderungen (einschließlich der Konformität vor dem Inverkehrbringen) gelten ab dem 11. Dezember 2027.

Unternehmen können bei Nichteinhaltung des CRA mit hohen Geldbußen belegt werden. Bei schwerwiegenden Verstößen können die Strafen bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist. Für andere Verstöße gelten niedrigere Bußgelder.

Die CRA- und die NIS2-Richtlinie zielen beide darauf ab, die Cybersicherheit in Europa zu verbessern, haben aber unterschiedliche Schwerpunkte. Der Schwerpunkt von NIS2 liegt auf der Sicherheit von Netzen und Informationssystemen für kritische Infrastrukturen und Anbieter wesentlicher Dienste. Der CRA legt den Fokus auf die Sicherheit der digitalen Produkte selbst und verankert Sicherheitsaspekte bereits ab der Design-Phase.

Eine SBOM (Software Bill of Materials) ist wie eine Zutatenliste für Software und führt alle in einem Produkt verwendeten Softwarekomponenten und Bibliotheken auf. Der CRA verlangt, dass Hersteller eine SBOM erstellen, um das Schwachstellenmanagement zu erleichtern, schreibt jedoch derzeit nicht vor, dass sie öffentlich zugänglich gemacht werden muss. Die vollständige SBOM muss den benannten Stellen und Marktüberwachungsbehörden auf Anfrage zur Verfügung gestellt werden, um die regulatorische Durchsetzung zu unterstützen.

Mit der 24-Stunden-Meldepflicht für Schwachstellen wird der Umgang mit Schwachstellen von einer internen Praxis zu einer gesetzlichen Pflicht. Das erfordert eine schnelle Erkennung, Bewertung, Koordination und Reaktion auf Cyberbedrohungen. Erhält ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss er dies innerhalb von 24 Stunden über die zentrale Meldeplattform des CRA melden.
Unternehmen wie Moxa, die folgende Praktiken umsetzen, können ihre Sicherheitspflichten zuverlässig erfüllen:
• In den gesamten Produktlebenszyklus integriertes Security Engineering
• Praktiken zur koordinierten Offenlegung von Schwachstellen
• Dediziertes Incident Management durch ein erfahrenes PSIRT
• Kontinuierliche Überwachung von Schwachstellen
• Solides SBOM-Management
• Klare Eskalationsverfahren
Die Zusammenarbeit mit Lieferanten, die über etablierte Mechanismen für SDL, Schwachstellenmanagement, SBOM-Management und Incident Response verfügen, hilft Maschinenbauern, Cybersicherheitsrisiken zu senken und ihre Pflichten nach dem Inverkehrbringen zu vereinfachen.