Cyber Resilience Act: Neue Sicherheitsanforderungen für digitale Produkte

Wie der Cyber Resilience Act Herstellern digitaler Produkte konkrete Pflichten auferlegt

Dieser Beitrag zeigt Ihnen, welche Produkte vom Cyber Resilience Act betroffen sind und welche Anforderungen Hersteller künftig erfüllen müssen. Zudem erklären wir den zeitlichen Rahmen der Umsetzung.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt. Hersteller müssen künftig bereits während der Entwicklung Sicherheitsaspekte berücksichtigen und über den gesamten Produktlebenszyklus hinweg Sicherheitsupdates bereitstellen.

Welche Produkte der CRA betrifft

Der Cyber Resilience Act betrifft grundsätzlich alle Produkte mit digitalen Elementen, die in der EU auf den Markt gebracht werden, von vernetzten Haushaltsgeräten über Industriesteuerungen bis hin zu Standardsoftware. Bestimmte bereits anderweitig regulierte Produktkategorien, etwa Medizinprodukte, unterliegen teilweise abweichenden oder ergänzenden Regelungen.

Zentrale Anforderungen an Hersteller

Hersteller müssen Sicherheit bereits im Sinne von Security by Design in die Produktentwicklung integrieren, bekannte Schwachstellen über einen definierten Zeitraum durch Sicherheitsupdates beheben und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle an zuständige Behörden melden.

Zeitlicher Rahmen und praktische Bedeutung

Der Cyber Resilience Act sieht Übergangsfristen vor, bevor die Anforderungen vollständig verpflichtend werden, wobei sich Hersteller frühzeitig auf die notwendigen Anpassungen in Entwicklungsprozessen und Produktlebenszyklus-Management vorbereiten sollten. Für viele Hersteller bedeutet dies eine grundlegende Neuausrichtung bestehender Entwicklungs- und Wartungsprozesse.

Für Anbieter von Security-by-Design-Beratung und Schwachstellenmanagement-Lösungen bietet der Cyber Resilience Act aktuell erhebliches Marketingpotenzial, da viele Hersteller digitaler Produkte den konkreten Anpassungsbedarf für ihre eigenen Prozesse noch nicht vollständig überblicken.

CRA-Vorbereitung als Beratungsleistung positionieren – mit summ-it

Anbieter von Security-by-Design-Beratung profitieren vom aktuell hohen Orientierungsbedarf vieler Hersteller digitaler Produkte im Hinblick auf den Cyber Resilience Act.

summ-it entwickelt Content, der diesen Bedarf adressiert und Ihre Beratungsleistung frühzeitig sichtbar positioniert.

Kostenloses Erstgespräch vereinbaren

FAQ: Cyber Resilience Act

Welche Produkte fallen unter den Cyber Resilience Act?

Grundsätzlich alle Produkte mit digitalen Elementen, die in der EU auf den Markt gebracht werden, von vernetzten Konsumgeräten über Industriesteuerungen bis hin zu Standardsoftware, mit Ausnahmen für bereits anderweitig streng regulierte Produktkategorien.

Was bedeutet Security by Design im Kontext des CRA?

Hersteller müssen Sicherheitsaspekte bereits während der Produktentwicklung systematisch berücksichtigen, statt sie erst nachträglich zu ergänzen, was der übergeordneten Sicherheitsphilosophie von Security by Design entspricht.

Wie lange müssen Hersteller Sicherheitsupdates bereitstellen?

Der CRA verlangt die Bereitstellung von Sicherheitsupdates über einen definierten Zeitraum, der sich an der erwarteten Nutzungsdauer des jeweiligen Produkts orientiert, konkrete Fristen können je nach Produktkategorie variieren.

Müssen auch Softwarehersteller den Cyber Resilience Act beachten?

Ja, der CRA betrifft ausdrücklich auch Standardsoftware und nicht nur physische, vernetzte Geräte, sofern diese als Produkt mit digitalen Elementen in der EU vermarktet werden.

Welche Meldepflichten sieht der CRA vor?

Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle innerhalb festgelegter Fristen an die zuständigen Behörden melden, ähnlich den Meldepflichten anderer europäischer Cybersicherheitsregulierungen.

Gibt es Übergangsfristen für die Umsetzung des Cyber Resilience Act?

Ja, der CRA sieht gestaffelte Übergangsfristen vor, bevor die vollständigen Anforderungen verpflichtend werden, wodurch Hersteller Zeit erhalten, ihre Entwicklungs- und Wartungsprozesse entsprechend anzupassen.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.