Der Cyber Resilience Act (CRA) ist die EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen. Hersteller müssen Secure-by-Design, Schwachstellenmanagement über den Lebenszyklus und eine CE-Kennzeichnung für Cybersicherheit nachweisen.
Definition
Der CRA (Verordnung (EU) 2024/2847) legt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, also Hard- und Software, die direkt oder indirekt mit einem Netzwerk verbunden sind. Hersteller müssen Sicherheit bereits in der Entwicklung berücksichtigen (Secure by Design), Schwachstellen über den gesamten Produktlebenszyklus managen, eine Software-Stückliste (SBOM) führen und Sicherheitsupdates bereitstellen. Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind an die Behörden zu melden. Vor dem Inverkehrbringen ist eine Konformitätsbewertung durchzuführen und die CE-Kennzeichnung anzubringen. Die Verordnung gilt vollständig ab Dezember 2027 und sieht Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor.
Praxisbezug
Ein Hersteller vernetzter Messgeräte richtet ein Schwachstellenmanagement ein, erstellt eine SBOM für seine Firmware und definiert einen Update-Prozess. Vor der vollständigen Anwendung des CRA bereitet er die Konformitätsbewertung und die CE-Kennzeichnung für Cybersicherheit vor.
Normbezug
Verordnung (EU) 2024/2847 (CRA)