Finale Verabschiedung des Cyber Resilience Act – Das erwartet betroffene Unternehmen

​​​​​​​​​​​​​​​​veröffentlicht am 28​. November 2024

Aufgrund der steigenden Anzahl an Cyberangriffen auf Geräte des Internet of Things und den daraus resultierenden Folgen für die Wirtschaft und das soziale Leben hat der Rat der Europäischen Union im Oktober 2024 den Cyber Resilience Act (CRA) verabschiedet. Dieser legt einheitliche Cybersicherheitsstandards für Produkte mit digitalen Elementen fest, welche auf dem europäischen Binnenmarkt vertrieben werden. Von der Verordnung betroffen sind Hersteller, Importeure und Händler, welche die verfügten Anforderungen für die von ihnen produzierten oder vertriebenen Produkte bis spätestens November 2027 erfüllen müssen. Bei Zuwiderhandlung gegen die Verordnung drohen den betroffenen Unternehmen empfindliche Bußgelder oder in schweren Fällen sogar ein Verkaufsverbot. Nachfolgender Artikel beschreibt die Hintergründe, Anforderungen, Sanktionen und wichtigsten Meilensteine in der Realisierung des CRA.
 
Der Rat der Europäischen Union hat im Oktober 2024 offiziell den Cyber Resilience Act (CRA) verabschiedet. Dieser ergänzt die auf EU-Ebene bereits bestehenden Rechtsvorschriften und Verordnungen wie bspw. die NIS-2-Richtline oder den Cybersecurity Act und bildet einen zentralen Bestandteil der europäischen Cybersicherheitsstrategie.
 
Auf Basis der Verordnung werden europaweit einheitliche Cybersicherheitsstandards für Produkte mit digitalen Elementen verfügt, die auf dem europäischen Binnenmarkt in den Warenverkehr gebracht werden. Neben Unternehmen, die solche Güter produzieren fallen unter die Verordnung auch Importeure und Händler, die entsprechende Produkte unter dem Namen oder der Marke eines außerhalb der EU ansässigen Unternehmens auf den EU-Markt einführen oder vermarkten bzw. diese als Bestandteil einer Lieferkette bereitstellen, ohne deren Beschaffung zu verändern. Betroffen sind alle Hard- und Softwareprodukte des Internet of Things (IoT). Darunter fallen Güter, welche lokal oder via Internet direkt oder indirekt mit einem Netzwerk oder anderen Produkten verbunden werden können. Explizite Einschränkungen bzgl. des Verwendungszweckes gibt es nicht. Beispiele für Produkte mit digitalen Elementen sind nach der Verordnung neben Firewalls, Switches, Laptops, Chipkarten und Festplatten auch Betriebssysteme, Firmware, Mobile-Apps, Passwort-Manager, Smart Meter, PC-Spiele sowie Prozessoren.
 
Ausgenommen von der CRA sind nicht-kommerzielle Produkte und solche die bereits durch andere Verordnungen der EU reguliert sind. Neben Kraftfahrzeugen zählen hierzu medizinische Geräte und In-vitro Diagnostika, Produkte der Luftfahrt sowie Geräte, die für den Schutz der nationalen Sicherheit oder militärische Zwecke entwickelt wurden. Gleichwohl müssen sich auch Unternehmen aus diesen Bereichen mit dem CRA beschäftigen. So sind bspw. im Ökosystem vieler medizinischer Produkte andere Geräte, Apps oder Cloud-Dienste enthalten, die bisher nicht durch die bestehenden Verordnungen abgedeckt sind, aber Bestandteil des neuen CRA sind.
 

Ausgangspunkt und Ziele des CRA

Ausgangspunkt des CRA war ein Vorschlag der Europäischen Kommission im September 2022 als Reaktion auf das starke Wachstum an IoT-Geräten in Verbindung mit der gleichzeitig steigenden Anzahl an Cyberangriffe auf diese. Der WannaCry Ransomeware-Angriff, der Computerwurm Stuxnet oder die Malware Miari sind nur drei der bekanntesten Cyberangriffe des letzten Jahrzehnts und führten zur Infizierung hunderttausender Computer weltweit und daraus resultierend zu schwerwiegenden Störungen wirtschaftlicher und sozialer Tätigkeiten. Ende des Jahres 2020 schätzte man die durch die Cyberkriminalität jährlich anfallenden Kosten für die Weltwirtschaft auf 5,5 Billion EUR, Tendenz steigend. Vonseiten der EU ist diese Entwicklung zum einen auf das geringe Maß an Cybersicherheit und die hohe Geräteanfälligkeit von Produkten mit digitalen Elementen, in Verbindung mit der teilweise inkonsistenten Bereitstellung von Updates und Patches zur Behebung von Schwachstellen und Sicherheitslücken sowie einem mangelnden Support, zurückzuführen. Zum anderen haben viele User ein unzureichendes Verständnis oder einen mangelnden Informationszugang, um sich über die Cybersicherheitsmerkmale eines Produktes angemessen zu informieren oder diese auf eine sichere Art und Weise zu bedienen.
 
Mit Hilfe des CRA soll diesen Problemen begegnet werden und zielt darauf ab, Endverbraucher und Unternehmen durch die Festlegung ganzheitlicher und verbindlicher Cybersicherheitsanforderungen besser zu schützen und die Resilienz der Produkte mit digitalen Elementen nachhaltig zu verbessern.
 
Die Verordnung stellt sicher, dass Hersteller, die Produkte mit digitalen Elementen verkaufen, eine Sorgfaltspflicht für diese haben. Die Cybersicherheit der Hardware- und Softwareprodukte muss über den gesamten Lebenszyklus gewährleistet werden, sodass diese nicht nur weniger Schwachstellen aufweisen, sondern auch eine geringere Angriffsfläche für Cybersicherheitsattacken sowie unbefugte Datenzugriffe, -änderungen und -manipulationen bieten. Weiterhin erhalten die Verbraucher transparentere und umfassendere Informationen in Bezug auf die Sicherheit der von ihnen gekauften Produkte und stärkt dadurch deren Vertrauen in eine sichere Verwendung.
 
Der durch den CRA entstehende Rechtsrahmen soll zu einer Harmonisierung des europäischen Binnenmarktes führen, die Verbreitung sicherer Technologien begünstigen und Innovationen fördern. Dadurch birgt die Verordnung nicht nur Pflichten für die Unternehmen, sondern auch Chancen. Unternehmen können sich durch die hohen Sicherheitsstandards und das gestärkte Vertrauen in die Produkte mit digitalen Elementen auf den internationalen Märkten als Vorreiter im Bereich der Cybersicherheit etablieren und daraus Marktchancen und Wettbewerbsvorteile generieren.
 

Pflichten der betroffenen Unternehmen

Der CRA sieht vor, dass die Produkte mit digitalen Elementen sowohl den Prinzipien des „Security by Design” als auch des „Security by Default” folgen. Nach dem Security-by-Design-Ansatz müssen Unternehmen bereits von Beginn an ihrer Produktentwicklung und des Software-Designs die Einhaltung von Sicherheitsanforderungen beachten. Ziel muss es sein, ein Produkt zu entwickeln, welches bis zur Marktreife frei von etwaigen Schwachstellen ist und sich robust gegenüber Sicherheitsbedrohungen und anderen Angriffen verhält. Darauf aufbauend, geht es gemäß des Security-by-Default-Ansatzes darum, dass die konfigurierten und entwickelten Sicherheitsmaßnahmen sowie Bausteine so in das Hardware- oder Softwareprodukt integriert sind, dass diese über den kompletten Lebenszyklus im Hintergrund wirken, ohne dass sich der Benutzer hierum aktiv kümmern muss. Hierzu bedarf es von Seiten der Hersteller einerseits eines umfassenden und robusten Updatemanagements inkl. der Bereitstellung regelmäßiger Sicherheitsupdates, um auftretende Sicherheitslücken zeitnah schließen zu können. Andererseits müssen sie die verbauten Komponenten regelmäßigen Risikobewertungen unterziehen, damit sichergestellt ist, dass deren Einsatz nicht die Cybersicherheit des gesamten Produktes gefährdet.
 
Vor Markteinführung sind die Hersteller und Importeure zudem verpflichtet, jedes ihrer Produkte mit digitalen Elementen einer Konformitätsbewertung zu unterziehen. Im Zuge dieser müssen die Unternehmen u. a. mittels technischer Dokumente, Baumuster, Quelltexten und den von ihnen etablierten Verfahren zum Schwachstellen- und Risikomanagement sowie Compliance bewerten, ob sie über geeignete Rahmenbedingungen und Prozesse verfügen, um den Anforderungen aus der CRA genüge zu leisten sowie die Sicherheit und Leistungsfähigkeit ihrer Produkte dauerhaft gewährleisten zu können. Abhängig von der Kritikalität, werden die Produkte mit digitalen Elementen nach der Verordnung unterschiedlich klassifiziert und müssen nicht nur im Rahmen der Konformitätsbewertung mit ansteigender Cybersicherheitsrelevanz strengere Anforderungen erfüllen. Eine Übersicht der Klassifizierung kann nachfolgendem Schaubild entnommen werden: