Cyber Resilience Act: Die Auswirkungen auf Hersteller vernetzter Produkte
Herstellerpflichten, SBOM, 5 Jahre Sicherheitsupdates und CE-Kennzeichnung: Alles, was der CRA f\u00fcr vernetzte Produkte \u00e4ndert.
Der Cyber Resilience Act (CRA) ist die europäische Verordnung, die die Sicherheit digitaler Produkte grundlegend verändern wird. Ende 2024 verabschiedet, stellt er erstmals verbindliche Cybersicherheitsanforderungen an alle Produkte mit digitalen Elementen, die in der EU verkauft werden. IoT-Hersteller stehen in der ersten Reihe.
Was der CRA von Herstellern verlangt
Verpflichtende Security by Design
Schluss mit Firmware mit fest codierten Passwörtern und standardmäßig offenen Ports. Der CRA verlangt:
-
Keine bekannten Schwachstellen zum Zeitpunkt der Markteinführung
-
Sichere Standardkonfiguration: keine Standard-Zugangsdaten, Verschlüsselung aktiviert
-
Minimierte Angriffsfläche: nur notwendige Ports und Dienste
-
Integritätsschutz für gespeicherte und übertragene Daten
-
Protokollierung relevanter Sicherheitsereignisse
Das SBOM: Herzstück der Transparenz
Jeder Hersteller muss ein Software Bill of Materials (SBOM) bereitstellen, das alle Softwarekomponenten seines Produkts auflistet, einschließlich Open-Source-Bibliotheken. Das SBOM muss den Marktüberwachungsbehörden zur Verfügung gestellt und in einem maschinenlesbaren Format (SPDX oder CycloneDX) erstellt werden.
Das ist ein grundlegender Wandel. Wenn eine kritische Schwachstelle in einer Bibliothek wie Log4j entdeckt wird, ermöglicht das SBOM die sofortige Identifikation aller betroffenen Produkte. ThreatClaw integriert SBOM-Generierung und -Analyse in seine Überwachungspipeline.
Sicherheitsupdates für mindestens 5 Jahre
Der CRA verpflichtet Hersteller, kostenlose Sicherheitsupdates während der gesamten vorgesehenen Produktlebensdauer bereitzustellen, mindestens jedoch für 5 Jahre. Patches müssen ohne unangemessene Verzögerung und möglichst automatisch bereitgestellt werden.
Schwachstellenmeldung: 24h an ENISA
Hersteller müssen jede aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden an ENISA melden, mit einem detaillierten Bericht innerhalb von 72 Stunden. Die Benachrichtigung der Nutzer muss ohne unberechtigte Verzögerung erfolgen.
CE-Kennzeichnung um Cybersicherheit erweitert
Die CE-Kennzeichnung, bisher mit physischer Sicherheit und elektromagnetischer Verträglichkeit verbunden, wird künftig auch die Cybersicherheits-Compliance umfassen. Ein vernetztes Produkt, das nicht CRA-konform ist, darf in der EU nicht mehr verkauft werden.
Produkte werden in Kategorien eingeteilt:
-
Standard: Selbstbewertung durch den Hersteller
-
Klasse I (Passwortmanager, VPN, Heimrouter): Selbstbewertung mit harmonisierten Normen oder Drittprüfung
-
Klasse II (Firewalls, HSM, Betriebssysteme): verpflichtende Drittprüfung
-
Kritisch (Sicherheitskomponenten für wesentliche Infrastrukturen): europäische Zertifizierung
Zeitplan und Sanktionen
Die Pflichten zur Schwachstellenmeldung gelten ab September 2026. Sämtliche Anforderungen treten im Dezember 2027 in Kraft. Sanktionen können 15 Millionen Euro oder 2,5% des weltweiten Umsatzes erreichen.
Wie Sie sich jetzt vorbereiten
-
Einen automatisierten SBOM-Generierungsprozess einführen
-
Die Sicherheitslage Ihrer vernetzten Produkte auditieren
-
Einen Schwachstellenmanagementprozess implementieren (Entdeckung, Triage, Behebung)
-
Einen sicheren Update-Mechanismus planen (signiertes OTA)
-
Ihre Teams im Secure Development Lifecycle schulen
Entdecken Sie unsere Kompetenzen und unsere Angebote zur Begleitung Ihrer CRA-Compliance.
FAQ
Gilt der CRA für Open-Source-Software?
Nicht-kommerzielle Open-Source-Software ist ausgenommen. Ein kommerzielles Produkt, das Open Source integriert, unterliegt jedoch dem CRA. Open-Source-"Stewards" haben reduzierte Dokumentationspflichten.
Was ist ein SBOM und warum ist es wichtig?
Ein Software Bill of Materials ist die vollständige Liste der Softwarekomponenten eines Produkts. Es ermöglicht die schnelle Identifikation von Produkten, die von einer Schwachstelle in einer Drittkomponente betroffen sind.
Sind bereits auf dem Markt befindliche Produkte betroffen?
Ja, wenn der Hersteller sie weiterhin verkauft oder nach Inkrafttreten der Verordnung Updates bereitstellt. Produkte am Ende ihres Lebenszyklus müssen eindeutig gekennzeichnet werden.
Wie verhält sich der CRA zur DSGVO?
Der CRA ergänzt die DSGVO. Der Schutz personenbezogener Daten gehört zu den wesentlichen Anforderungen des CRA. Ein Produkt, das nicht CRA-konform ist, verstößt wahrscheinlich auch gegen die DSGVO.
Verwandte Artikel
Mirai-Vermächtnis, IP-Kameras, Router, Rekord-DDoS-Botnets 2025, ungepatchte Firmware, Cyber Resilience Act, Netzwerksegmentierung und Abwehrmaßnahmen.
Eine rohe Liste aus IPs, Domains und Hashes ist leicht zu finden und nahezu wertlos. Der Wert liegt in der Auswahl des richtigen Feeds und in seinem Betrieb: Lizenz, Korroboration, Alterung und die Regel, die verhindert, dass Sie Ihr eigenes CDN blockieren.
Eine CVE erscheint, das Security-Advisory ist öffentlich, aber es existiert noch kein Nuclei-Template. So schreiben Sie ein sauberes: von der Tatsache ausgehen, die Matcher bauen und vor allem beweisen, dass es auf einem verwundbaren Ziel auslöst, ohne bei einem gepatchten Alarm zu schlagen.
Ein Bericht beschreibt eine Angriffstechnik oder die Ausnutzung einer CVE. Sie wollen sie in Ihren Logs erkennen. So schreiben Sie eine Sigma-Regel, die auf das echte Verhalten auslöst, ohne das SOC mit Fehlalarmen zu überfluten, und wie Sie es beweisen.