Einhaltung des EU Cyber ​​Resilience Act (CRA): Ein umfassender Leitfaden

Vernetzte Produkte finden zunehmend Einzug in nahezu alle Konsumgüter- und Industrieproduktkategorien. Intelligente Haushaltsgeräte, Sicherheitskameras, Wearables, Netzwerkgeräte, mobile Anwendungen, eingebettete Software und Cloud-basierte Produkte können allesamt Cybersicherheitsrisiken bergen, wenn sie nicht sicher konzipiert, gewartet und aktualisiert werden.

Die Europäische Union hat mit Folgendem reagiert: Cyber ​​Resilience Act, offiziell bekannt als Verordnung (EU) 2024/2847.

Der Cyber ​​Resilience Act (CRA) führt verbindliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte ein, die auf dem EU-Markt in Verkehr gebracht werden. Er wandelt Cybersicherheit von einer weitgehend freiwilligen technischen Praxis in eine formale Produktkonformitätsverpflichtung um.

Die Hersteller müssen Cybersicherheitsrisiken bewerten, Sicherheit in das Produkt einbauen, ihre Einhaltung dokumentieren, Schwachstellen verwalten, Sicherheitsupdates bereitstellen und gegebenenfalls aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden.

Bei vielen Produkten wird die Einhaltung der CRA-Vorschriften auch Teil des CE-Kennzeichnungsverfahrens werden.

Was ist der EU-Cyberresilienz-Act?

Der Cyber ​​Resilience Act ist eine horizontale EU-Produkt-Cybersicherheitsverordnung. Er gilt allgemein für Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem Markt der Europäischen Union angeboten werden.

Ziel ist es, die sichere Entwicklung und den sicheren Erhalt von Produkten während ihrer gesamten Nutzungsdauer zu gewährleisten. Darüber hinaus sollen Nutzern klarere Informationen zur Produktsicherheit, zu verfügbaren Updates und zur Dauer des Cybersicherheitssupports bereitgestellt werden.

Die CRA befasst sich mit zwei wiederkehrenden Problemen auf dem Markt für digitale Produkte:

1. Produkte werden häufig mit unzureichenden Cybersicherheitsvorkehrungen oder bekannten Sicherheitslücken auf den Markt gebracht.
2. Es kann vorkommen, dass Hersteller nach dem Verkauf eines Produkts unzureichende Sicherheitsupdates, Informationen zu Schwachstellen oder Kundensupport bereitstellen.

Gemäß dem Cybersecurity Regulation Act (CRA) müssen Hersteller Cybersicherheit bei der Planung, dem Design, der Entwicklung, der Produktion, der Auslieferung und der Wartung eines Produkts berücksichtigen. Cybersicherheit beschränkt sich daher nicht mehr auf einen abschließenden Penetrationstest oder eine Überprüfung vor der Markteinführung. Sie muss in den gesamten Produktlebenszyklus integriert werden.

Weitere Informationen finden Sie in der Zusammenfassung des Cyber ​​Resilience Act der Europäischen Kommission.

Wann findet der Cyber ​​Resilience Act Anwendung?

Das CRA trat am in Kraft 10. Dezember 2024, Die Anforderungen gelten jedoch stufenweise.

• 11. Juni 2026: Die Bestimmungen über die Benachrichtigung von Konformitätsbewertungsstellen treten in Kraft.
• 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle treten in Kraft.
• 11. Dezember 2027: Die meisten übrigen CRA-Anforderungen werden uneingeschränkt anwendbar.

Produkte, die vor dem 11. Dezember 2027 auf dem EU-Markt in Verkehr gebracht wurden, unterliegen den Hauptanforderungen der CRA grundsätzlich nur dann, wenn sie nach diesem Datum einer wesentlichen Änderung unterzogen werden. Die ab dem 11. September 2026 geltenden Meldepflichten können sich jedoch auch auf Produkte auswirken, die bereits auf dem EU-Markt verfügbar sind.

Hersteller sollten nicht bis Dezember 2027 warten, um mit den Vorbereitungen zu beginnen. Die Einrichtung eines sicheren Entwicklungsprozesses, die Erstellung einer Software-Stückliste, die Durchführung von Cybersicherheitstests und die Implementierung von Verfahren zur Meldung von Sicherheitslücken können viel Zeit in Anspruch nehmen.

Welche Produkte fallen unter die CRA?

Die CRA gilt im Allgemeinen für eine Produkt mit digitalen Elementen deren beabsichtigter Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk beinhaltet.

Ein Produkt mit digitalen Elementen kann Folgendes umfassen:

• Ein Hardwareprodukt
• Ein Softwareprodukt
• Hardware- oder Softwarekomponenten werden separat verkauft
• Eingebettete Firmware
• Für die Ausführung einer der Funktionen des Produkts sind Remote-Datenverarbeitungslösungen erforderlich.

Die Fernverarbeitung von Daten kann einen vom Hersteller kontrollierten Cloud-Dienst umfassen, dessen Fehlen das Produkt daran hindern würde, eine seiner vorgesehenen Funktionen zu erfüllen.

Beispiele für potenziell abgedeckte Produkte

Je nach Funktion und Art der Lieferung können unter die CRA fallende Produkte Folgendes umfassen:

• IoT-Geräte
• Smart-Home-Produkte
• Vernetzte Haushaltsgeräte
• Intelligente Sicherheitskameras und Alarmsysteme
• Intelligente Schlösser
• Vernetztes Spielzeug
• Tragbare Geräte
• Router, Modems und Netzwerk-Switches
• Computer, Smartphones und Tablets
• Externe Speichergeräte
• Netzwerkschnittstellenprodukte
• Industrielle Steuerungsprodukte
• Vernetzte Sensoren
• Zugangskontrollsysteme
• Betriebssysteme
• Mobile- und Desktop-Anwendungen
• Passwortmanager
• Software für virtuelle private Netzwerke
• Firewalls
• Antiviren- und Malware-Erkennungssoftware
• Eingebettete Software und Firmware
• Softwarebibliotheken und kommerzielle Softwarekomponenten
• Videospiele und andere eigenständige Software

Die Definition ist bewusst weit gefasst. Ein Produkt muss nicht zwingend direkt mit dem Internet verbunden sein. Eine indirekte Verbindung zu einem anderen Gerät oder Netzwerk kann ausreichend sein.

Ein Bluetooth-fähiges Produkt, das sich mit einer Smartphone-Anwendung verbindet, kann beispielsweise unter die CRA fallen, selbst wenn das Produkt selbst keine direkte Verbindung zum Internet herstellt.

Gilt die CRA auch für eigenständige Software?

Ja. Auch eigenständige Software, die auf dem EU-Markt angeboten wird, kann unter die Bestimmungen des CRA fallen.

Dies kann Folgendes umfassen:

• Mobile Anwendungen
• Desktop-Anwendungen
• Betriebssysteme
• Sicherheitssoftware
• Kommerzielle Softwarebibliotheken
• Geräteverwaltungssoftware
• Netzwerkmanagement-Tools
• Software, die über Download-Plattformen verkauft wird
• Software wird ohne separates physisches Produkt geliefert

Ob Software unter den Versicherungsschutz fällt, hängt davon ab, wie sie geliefert wird, ob sie im Rahmen einer kommerziellen Tätigkeit zur Verfügung gestellt wird und ob ein spezifischer Ausschluss vorliegt.

Software, die vollständig als Dienstleistung angeboten wird, kann eine detailliertere Prüfung erfordern. Die CRA reguliert im Allgemeinen nicht jede Software-as-a-Service-Vereinbarung, jedoch können Funktionen zur Ferndatenverarbeitung, die für die Ausführung einer Funktion eines erfassten Produkts erforderlich sind, zusammen mit digitalen Elementen Bestandteil des Produkts sein.

Welche Produkte sind ausgeschlossen?

Bestimmte Produktkategorien sind von anderen branchenspezifischen EU-Rechtsvorschriften ausgenommen oder werden durch diese geregelt.

Je nach den Umständen können Ausnahmen für Produkte gelten, die unter die folgenden Gesetze fallen:

• Medizinprodukte
• In-vitro-Diagnostika
• Zivile Luftfahrt
• Kraftfahrzeuge
• Bestimmte Schiffsausrüstung
• Produkte, die ausschließlich für nationale Sicherheits- oder Verteidigungszwecke entwickelt wurden
• Bestimmte freie und Open-Source-Software, die außerhalb einer kommerziellen Tätigkeit angeboten wird

Die Behandlung von Open-Source-Software erfordert besondere Sorgfalt. Software, die außerhalb einer kommerziellen Tätigkeit zur Verfügung gestellt wird, kann ausgenommen sein, während kommerziell vertriebene Open-Source-Produkte und bestimmte Open-Source-Software-Betreuer Verpflichtungen gemäß der kanadischen Steuergesetzgebung (CRA) unterliegen können.

Ein Produkt sollte nicht allein deshalb als ausgeschlossen gelten, weil es einer anderen EU-Rechtsvorschrift unterliegt. Hersteller müssen prüfen, ob die andere Rechtsvorschrift die relevanten Cybersicherheitsanforderungen konkret abdeckt und ob die Cybersicherheitsreform (CRA) eine vollständige oder teilweise Ausnahme vorsieht.

Wer ist der Hersteller gemäß CRA?

Der Hersteller ist die natürliche oder juristische Person, die ein Produkt mit digitalen Elementen entwickelt, herstellt oder herstellen lässt und dieses Produkt unter ihrem eigenen Namen oder ihrer eigenen Marke vermarktet.

Ein Unternehmen kann daher auch dann als Hersteller gelten, wenn:

• Das physische Produkt wird von einem externen Hersteller gefertigt.
• Die Software wird von einem externen Auftragnehmer entwickelt.
• Die Firmware wird von einem anderen Unternehmen geliefert.
• Das Unternehmen importiert ein Fertigprodukt und vertreibt es unter eigener Marke.
• Die Entwicklungsarbeiten werden an Softwareingenieure oder technische Dienstleister ausgelagert.

Die Auslagerung der Entwicklung führt nicht zur Auslagerung der rechtlichen Verantwortung des Herstellers.

Das Unternehmen, das das Produkt unter seinem Namen oder seiner Marke auf den Markt bringt, muss sicherstellen, dass das Gesamtprodukt, einschließlich Software- und Hardwarekomponenten von Drittanbietern, den Anforderungen der CRA entspricht.

Was sind die wichtigsten Verpflichtungen des Herstellers gemäß CRA?

Die Hersteller tragen die Hauptverantwortung für die Einhaltung der Vorschriften.

Bevor ein Hersteller ein Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr bringt, muss er im Allgemeinen Folgendes beachten:

1. Prüfen Sie, ob das Produkt in den Anwendungsbereich des CRA fällt.
2. Ermitteln Sie, ob es sich bei dem Produkt um ein Standardprodukt, ein wichtiges Produkt oder ein kritisches Produkt handelt.
3. Führen Sie eine Cybersicherheitsrisikobewertung durch.
4. Das Produkt soll unter Einhaltung der grundlegenden Cybersicherheitsanforderungen entworfen, entwickelt und hergestellt werden.
5. Bei der Integration von Komponenten von Drittanbietern ist die gebotene Sorgfalt walten zu lassen.
6. Prozesse zum Umgang mit Sicherheitslücken einrichten.
7. Ermitteln und dokumentieren Sie den Produktsupportzeitraum.
8. Bereiten Sie die erforderliche technische Dokumentation vor.
9. Führen Sie die entsprechende Konformitätsbewertung durch.
10. Bereiten Sie die EU-Konformitätserklärung vor und unterzeichnen Sie sie.
11. Bringen Sie die CE-Kennzeichnung an.
12. Stellen Sie die erforderlichen Produktinformationen und Sicherheitshinweise bereit.
13. Überwachen Sie Schwachstellen und Vorfälle, nachdem das Produkt auf den Markt gebracht wurde.
14. Stellen Sie während des Supportzeitraums Sicherheitsupdates bereit.
15. Ergreifen Sie Korrekturmaßnahmen, wenn ein Produkt nicht den Vorschriften entspricht oder ein Cybersicherheitsrisiko darstellt.
16. Halten Sie die geltenden Fristen für die Meldung von Sicherheitslücken und Vorfällen ein.

Der Hersteller muss die Einhaltung der Vorschriften durch Aufzeichnungen, Verfahren und technische Nachweise belegen können. Eine allgemeine Aussage, dass ein Produkt sicher ist, genügt nicht.

Wesentliche Cybersicherheitsanforderungen

Anhang I des CRA enthält die wesentlichen Cybersicherheitsanforderungen.

Diese Anforderungen lassen sich in zwei Hauptbereiche unterteilen:

• Cybersicherheitseigenschaften des Produkts
• Anforderungen an den Umgang mit Schwachstellen

Sicherheit durch Design und standardmäßig

Produkte müssen so konzipiert, entwickelt und hergestellt werden, dass ein dem jeweiligen Risiko angemessenes Maß an Cybersicherheit gewährleistet ist.

Je nach Produkt können hierfür Maßnahmen erforderlich sein, die Folgendes umfassen:

• Sichere Standardkonfigurationen
• Authentifizierung
• Zugangskontrolle
• Vertraulichkeit
• Verschlüsselung
• Datenintegrität
• Service- und Systemverfügbarkeit
• Schutz vor unberechtigtem Zugriff
• Schutz vor Manipulation
• Reduzierung der Angriffsfläche
• Begrenzung der exponierten Schnittstellen
• Sichere Kommunikation
• Widerstandsfähigkeit gegen Denial-of-Service-Angriffe
• Sicherheitsprotokollierung und -überwachung
• Sichere Datenlöschung
• Reduzierung unnötiger Datenverarbeitung
• Schutz vor bekannten Angriffstechniken
• Sichere Aktualisierungsmechanismen
• Wiederherstellung nach Sicherheitsvorfällen

Die geeigneten Kontrollmaßnahmen hängen vom Produkt, seinem Verwendungszweck, dem vernünftigerweise vorhersehbaren Missbrauch, der Betriebsumgebung und den potenziellen Folgen eines erfolgreichen Cyberangriffs ab.

Keine bekannten ausnutzbaren Schwachstellen

Ein Produkt darf nicht auf den Markt gebracht werden, wenn bekannte, ausnutzbare Sicherheitslücken vorliegen.

Dies erfordert mehr als einen einmaligen Test unmittelbar vor der Markteinführung. Hersteller benötigen einen Prozess zur Identifizierung, Bewertung, Priorisierung und Behebung von Schwachstellen, die Folgendes betreffen:

• Proprietäre Software
• Firmware
• Betriebssysteme
• Open-Source-Bibliotheken
• Softwarekomponenten von Drittanbietern
• Kommunikationsprotokolle
• Hardwarekomponenten
• Cloud-Abhängigkeiten
• Mobile Anwendungen
• Anwendungsprogrammierschnittstellen

Sichere Updates

Sofern Sicherheitsupdates erforderlich sind, müssen die Hersteller diese unverzüglich und in der Regel während der Supportperiode kostenlos zur Verfügung stellen.

Bei vielen Produkten sollten Sicherheitsupdates standardmäßig automatisch installiert werden, sofern dies technisch möglich ist. Benutzer sollten die automatische Installation in der Regel über einen klaren und leicht zugänglichen Mechanismus verzögern oder deaktivieren können.

Sicherheitsupdates sollten, wo immer möglich, von Funktionsupdates getrennt werden. Dadurch wird verhindert, dass Benutzer gezwungen werden, nicht damit zusammenhängende Funktionsänderungen zu akzeptieren, nur um eine wichtige Sicherheitskorrektur zu erhalten.

Cybersicherheitsrisikobewertung

Die Cybersicherheitsrisikobewertung ist eines der zentralen CRA-Dokumente.

Es sollte keine allgemeine IT-Sicherheits-Checkliste sein. Sie muss sich auf das spezifische Produkt, seine Komponenten, den Verwendungszweck, die absehbare Nutzung, die Benutzer, die Daten, die Konnektivität und die Betriebsumgebung beziehen.

Was die Risikobewertung umfassen sollte

Eine geeignete Risikobewertung kann Folgendes berücksichtigen:

• Produktarchitektur
• Hardware- und Softwarekomponenten
• Kommunikationstechnologien
• Netzwerkschnittstellen
• Cloud-Dienste
• Mobile Anwendungen
• Benutzerrollen und Berechtigungen
• Authentifizierungsmethoden
• Verarbeitete oder gespeicherte Daten
• Verschlüsselung und Schlüsselverwaltung
• Aktualisierungsmechanismen
• Drittanbieterabhängigkeiten
• Potenzielle Bedrohungsakteure
• Angriffsvektoren
• Bekannte Schwächen
• vorhersehbarer Missbrauch
• Folgen des Kompromisses
• Bestehende Sicherheitskontrollen
• Restrisiken
• Erforderliche Tests
• Maßnahmen zum Umgang mit Schwachstellen
• Marktüberwachung

Wann die Risikobewertung aktualisiert werden sollte

Die Bewertung muss in die Produktgestaltung und -entwicklung einfließen. Sie sollte auch bei wesentlichen Änderungen überprüft werden, wie zum Beispiel:

• Ein größeres Software-Update
• Eine neue Produktfunktion
• Eine Änderung der Produktarchitektur
• Die Integration einer neuen Drittanbieterkomponente
• Eine bedeutende neue Bedrohung
• Entdeckung einer aktiv ausgenutzten Sicherheitslücke
• Eine Änderung des bestimmungsgemäßen Verwendungszwecks des Produkts
• Eine wesentliche Änderung der Cloud- oder Netzwerkinfrastruktur

Die Risikobewertung ist Bestandteil der technischen Dokumentation und kann von den Marktüberwachungsbehörden angefordert werden.

Software-Stückliste

A Software-Stückliste, Eine sogenannte SBOM (Software Business Object Manager) ist ein strukturiertes Inventar der in einem Produkt enthaltenen Softwarekomponenten.

Informationen, die üblicherweise in einem SBOM enthalten sind

Ein SBOM kann Folgendes identifizieren:

• Proprietäre Softwaremodule
• Open-Source-Bibliotheken
• Drittanbieterabhängigkeiten
• Firmware-Komponenten
• Komponentennamen
• Komponentenversionen
• Lieferanten
• Lizenzen
• Abhängigkeitsbeziehungen
• Referenzen zu bekannten Schwachstellen
• Paketbezeichner

Das SBOM hilft dem Hersteller festzustellen, ob seine Produkte betroffen sind, wenn eine Sicherheitslücke in einer Komponente eines Drittanbieters entdeckt wird.

Warum das SBOM gepflegt werden muss

Wenn beispielsweise festgestellt wird, dass eine weit verbreitete Softwarebibliothek eine kritische Sicherheitslücke enthält, sollte der Hersteller diese schnell identifizieren können:

• Welche Produkte verwenden die betroffene Bibliothek?
• Welche Produktversionen sind betroffen?
• Ob die anfällige Funktion erreichbar oder ausnutzbar ist
• Ob ein Korrektur-Update erforderlich ist
• Welche Kunden oder Behörden müssen informiert werden?
• Ob die Meldepflichten gegenüber der CRA ausgelöst werden

Ein SBOM ist nutzlos, wenn es nur einmal erstellt und nie aktualisiert wird. Hersteller benötigen eine Versionskontrolle und einen Prozess zur Pflege des SBOM im Zuge von Softwareänderungen.

Anforderungen an den Umgang mit Schwachstellen

Die Einhaltung der CRA-Vorschriften besteht auch nach dem Inverkehrbringen des Produkts fort.

Die Hersteller müssen Prozesse einrichten, um Folgendes zu gewährleisten:

• Schwachstellen identifizieren
• Schwachstellenberichte erhalten
• Dokumentierte Schwachstellen
• Beurteilen Sie deren Schweregrad und Ausnutzbarkeit
• Überwachen Sie Schwachstellen, die Komponenten von Drittanbietern betreffen.
• Produktsicherheit testen und überprüfen
• Beheben Sie Schwachstellen unverzüglich
• Sicherheitsupdates sicher verteilen
• Informieren Sie die Nutzer über verfügbare Korrekturen.
• Informationen über behobene Sicherheitslücken sollten gegebenenfalls öffentlich zugänglich gemacht werden.
• Die Vertraulichkeit der Informationen über die Sicherheitslücke sollte bis zur Verfügbarkeit einer Korrektur gewahrt werden.
• Pflegen Sie eine koordinierte Richtlinie zur Offenlegung von Sicherheitslücken.

Koordinierte Offenlegung von Schwachstellen

Die Hersteller sollten eine klare und aktiv überwachte Methode veröffentlichen, über die Sicherheitsforscher, Kunden und andere Beteiligte Schwachstellen melden können.

Der Prozess sollte Folgendes ermitteln:

• Der Meldekontakt
• Die Informationen, die Reporter liefern sollten
• Der Bestätigungsprozess des Herstellers
• Erwartete Reaktionszeiten
• Erwartungen an die Vertraulichkeit
• Wie der Hersteller die Offenlegung koordiniert
• Wie Sicherheitsforscher behandelt werden
• Wie Korrekturen und Hinweise veröffentlicht werden

Meldepflichten gegenüber der CRA ab September 2026

Die Meldepflichten gemäß Artikel 14 gelten ab 11. September 2026.

Hersteller müssen bestimmte aktiv ausgenutzte Sicherheitslücken und schwerwiegende Vorfälle über die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) betriebene CRA-Meldeplattform melden.

Meldefristen

Der Meldeprozess umfasst im Allgemeinen Folgendes:

• Eine Frühwarnung innerhalb von 24 Stunden
• Eine detailliertere Benachrichtigung innerhalb von 72 Stunden
• Ein Abschlussbericht innerhalb der geltenden gesetzlichen Frist

Aktiv ausgenutzte Schwachstellen

Bei einer aktiv ausgenutzten Sicherheitslücke ist der Abschlussbericht in der Regel spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme erforderlich.

Schwere Sicherheitsvorfälle

Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht in der Regel innerhalb eines Monats nach der 72-Stunden-Meldung erforderlich.

Die Meldefrist beginnt, sobald der Hersteller von der betreffenden Schwachstelle oder dem Vorfall Kenntnis erlangt. Hersteller benötigen daher interne Eskalationsverfahren, die eine schnelle Weiterleitung der Informationen an die zuständigen Compliance- und Sicherheitsbeauftragten gewährleisten.

Eine von einem Kundendienstteam, einem externen Forscher, einem Vertriebspartner, einem Softwarelieferanten oder einer ausländischen Entwicklungsabteilung entdeckte Sicherheitslücke kann denselben rechtlichen Meldeprozess auslösen wie eine Sicherheitslücke, die vom zentralen Cybersicherheitsteam des Herstellers entdeckt wird.

Was ist eine aktiv ausgenutzte Sicherheitslücke?

Eine aktiv ausgenutzte Sicherheitslücke ist nicht bloß eine theoretische Schwäche oder jeder Eintrag in einer Sicherheitslückendatenbank.

In der Praxis muss der Hersteller beurteilen, ob verlässliche Beweise dafür vorliegen, dass ein Angreifer die Sicherheitslücke in einem System ohne die Erlaubnis des Systembesitzers ausgenutzt hat.

Diese Unterscheidung ist wichtig, weil die Meldepflicht gegenüber der CRA an die aktive Ausnutzung geknüpft ist und nicht einfach an das Vorhandensein jeder potenziellen Sicherheitslücke.

Allerdings müssen Hersteller im Rahmen ihrer allgemeinen Verpflichtungen zum Umgang mit Sicherheitslücken auch solche Schwachstellen identifizieren, bewerten und beheben, die nicht aktiv ausgenutzt werden.

Supportzeitraum und Sicherheitsupdates

Die Hersteller müssen einen Supportzeitraum festlegen, in dem Sicherheitslücken behoben und Sicherheitsupdates bereitgestellt werden.

Faktoren, die den Unterstützungszeitraum beeinflussen

Der Unterstützungszeitraum muss Faktoren wie die folgenden berücksichtigen:

• Die erwartete Nutzungsdauer
• Art und Zweck des Produkts
• Angemessene Nutzererwartungen
• Das Betriebsumfeld
• Die Dauer, für die ähnliche Produkte normalerweise unterstützt werden
• Die Verfügbarkeit von Ersatzteilen oder angeschlossenen Diensten
• Die mit der Einstellung des Supports verbundenen Cybersicherheitsrisiken

Das Enddatum des Supportzeitraums, einschließlich Monat und Jahr, muss den Nutzern zum Zeitpunkt des Kaufs klar mitgeteilt werden.

Hersteller sollten den Supportzeitraum nicht als reine Marketingaussage ohne operative Grundlage betrachten. Sie müssen über die technischen und organisatorischen Fähigkeiten verfügen, um Schwachstellen zu überwachen, Updates zu entwickeln und diese während des gesamten angegebenen Zeitraums zu verteilen.

Langfristige Lieferantenvereinbarungen

Dies kann langfristige Vereinbarungen mit folgenden Partnern erfordern:

• Softwareentwickler
• Firmware-Anbieter
• Cloud-Anbieter
• Komponentenhersteller
• Entwickler mobiler Anwendungen
• Cybersicherheitsüberwachungsdienste
• Prüflaboratorien
• Hosting- und Infrastrukturanbieter

Produktinformationen und Gebrauchsanweisung

Produkte, die unter die CRA fallen, müssen mit klaren Informationen und Anweisungen versehen sein.

Je nach Produkt müssen die Informationen möglicherweise Folgendes umfassen:

• Rechtsname des Herstellers
• Eingetragener Handelsname oder Warenzeichen
• Postanschrift
• E-Mail-Adresse oder andere digitale Kontaktinformationen
• Produkttyp, Charge, Seriennummer oder sonstige Kennung
• Zweckbestimmung
• Wesentliche Produktfunktionen
• Eigenschaften der Cybersicherheit
• Sicherheitsinstallationsanleitung
• Anweisungen zur sicheren Konfiguration
• Hinweise für den sicheren Betrieb
• Informationen zu relevanten Sicherheitsupdates
• Anleitung zur Installation von Updates
• Informationen zu automatischen Aktualisierungen
• Anleitung zum Deaktivieren automatischer Updates, sofern zutreffend
• Ende des Unterstützungszeitraums
• Kontakt für die Meldung von Sicherheitslücken
• Informationen zur koordinierten Offenlegung von Sicherheitslücken
• Anleitung zum sicheren Entfernen von Benutzerdaten
• Relevante Cybersicherheitswarnungen oder -beschränkungen

Die Anweisungen müssen klar, verständlich und gut lesbar sein. Sie müssen in einer Sprache bereitgestellt werden, die Benutzer und zuständige Behörden in dem Mitgliedstaat, in dem das Produkt verkauft wird, leicht verstehen können.

Technische Dokumentation

Die Hersteller müssen vor dem Inverkehrbringen eines betroffenen Produkts eine technische Dokumentation erstellen.

Die technische Dokumentation sollte darlegen, wie das Produkt die Anforderungen der CRA erfüllt und sollte normalerweise Folgendes enthalten:

• Allgemeine Produktbeschreibung
• Produktidentifizierung
• Zweckbestimmung
• Zielgruppe
• Produktversionen
• Hardwarearchitektur
• Softwarearchitektur
• Firmware- und Softwareversionen
• Kommunikationsschnittstellen
• Netzwerkarchitektur
• Abhängigkeiten von der Remote-Datenverarbeitung
• Informationen zu Design und Entwicklung
• Cybersicherheitsrisikobewertung
• Bewertung der wesentlichen Anforderungen
• Angewandte Normen oder technische Spezifikationen
• Beschreibungen der Sicherheitskontrollen
• Testpläne und Testberichte
• Schwachstellenanalysen
• Penetrationstestberichte, sofern relevant
• Software-Stückliste
• Sichere Entwicklungsaufzeichnungen
• Aktualisierungs- und Patch-Management-Verfahren
• Verfahren zum Umgang mit Schwachstellen
• Richtlinie zur koordinierten Offenlegung von Sicherheitslücken
• Begründung der Unterstützungsperiode
• Produktetiketten
• Benutzeranleitung
• Konformitätsbewertungsaufzeichnungen
• EU-Konformitätserklärung
• Angaben zur benannten Stelle, sofern zutreffend

Die Dokumentation muss so detailliert sein, dass die Behörden die Konformität des Produkts beurteilen können.

Eine Sammlung von Zertifikaten ohne klaren Bezug zum Produkt, den Risiken und den Anforderungen der CRA stellt im Allgemeinen keine ausreichende technische Dokumentation dar.

Produktklassifizierung gemäß CRA

Die CRA verwendet je nach Art und Risikoprofil des Produkts unterschiedliche Konformitätsbewertungsverfahren.

Produkte lassen sich im Allgemeinen in eine der folgenden Gruppen einteilen:

• Standardprodukte
• Wichtige Produkte, Klasse I
• Wichtige Produkte, Klasse II
• Kritische Produkte

Die Klassifizierung hängt davon ab, ob das Produkt die Kernfunktionalität einer in Anhang III oder Anhang IV aufgeführten Kategorie aufweist.

Standardprodukte

Produkte, die nicht als wichtig oder kritisch eingestuft werden, durchlaufen im Allgemeinen den Standardweg.

Die Hersteller dieser Produkte können normalerweise ein internes Kontrollsystem, auch Modul A genannt, zur Beurteilung der Konformität nutzen.

Dies bedeutet nicht, dass keine Bewertung oder Prüfung erforderlich ist. Der Hersteller muss weiterhin:

• Führen Sie die Cybersicherheitsrisikobewertung durch.
• Erfüllen Sie die grundlegenden Cybersicherheitsanforderungen
• Technische Dokumentation erstellen
• Geeignete technische Nachweise beschaffen
• Führen Sie die erforderlichen Tests durch.
• Verfahren zum Schwachstellenmanagement einrichten
• EU-Konformitätserklärung vorbereiten
• Bringen Sie die CE-Kennzeichnung an.

Selbstbewertung bedeutet, dass der Hersteller die Verantwortung für die Konformitätsbewertung übernimmt. Sie entbindet ihn jedoch nicht von den zugrunde liegenden technischen Verpflichtungen.

Wichtige Produkte, Klasse I

Klasse I umfasst bestimmte Produkte mit bedeutenden Cybersicherheitsfunktionen oder solche, deren Kompromittierung umfassendere Sicherheitsrisiken verursachen könnte.

Je nach ihrer Kernfunktionalität können Beispiele hierfür sein:

• Identitätsmanagementsysteme
• Produkte für die Verwaltung privilegierter Zugriffe
• Browser
• Passwortmanager
• Antivirenprodukte
• Produkte für virtuelle private Netzwerke
• Netzwerkmanagementsysteme
• Sicherheitsinformations- und Ereignismanagementsysteme
• Bootmanager
• Public-Key-Infrastrukturprodukte
• Betriebssysteme
• Router, Modems und Switches
• Smart-Home-Produkte mit Sicherheitsfunktionen
• Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen

Bei Produkten der Klasse I kann eine interne Kontrolle weiterhin möglich sein, wenn der Hersteller die entsprechenden harmonisierten Normen, gemeinsamen Spezifikationen oder ein anwendbares europäisches Cybersicherheitszertifizierungssystem vollständig anwendet.

Sofern diese Wege nicht verfügbar sind oder nicht vollständig genutzt werden, kann eine Konformitätsbewertung durch Dritte mittels einer benannten Stelle erforderlich sein.

Wichtige Produkte, Klasse II

Klasse II umfasst wichtige Produkte mit höherem Risiko.

Je nach ihrer Kernfunktionalität können Beispiele hierfür sein:

• Hypervisoren
• Container-Laufzeitsysteme
• Firewalls
• Einbruchserkennungssysteme
• Einbruchspräventionssysteme
• Manipulationssichere Mikroprozessoren
• Manipulationssichere Mikrocontroller

Produkte der Klasse II erfordern im Allgemeinen eine Konformitätsbewertung durch Dritte mittels einer benannten Stelle oder eines anwendbaren europäischen Cybersicherheitszertifizierungssystems.

Kritische Produkte

Kritische Produkte werden gesondert in Anhang IV aufgeführt und unterliegen den strengsten Konformitätsbewertungsanforderungen.

Hersteller sollten ein Produkt nicht allein anhand seines Handelsnamens klassifizieren. Die Klassifizierung richtet sich nach der Kernfunktionalität des Produkts und den gemäß CRA festgelegten technischen Beschreibungen.

Konformitätsbewertung

Bevor der Hersteller das Produkt auf den Markt bringen darf, muss er das entsprechende Konformitätsbewertungsverfahren durchführen.

Je nach Klassifizierung können folgende Optionen in Frage kommen:

• Interne Kontrolle
• EU-Typprüfung mit anschließender Konformitätsbescheinigung
• Vollständige Qualitätssicherung
• Bewertung durch Dritte durch eine benannte Stelle
• Ein anwendbares europäisches Cybersicherheitszertifizierungssystem

Die Möglichkeit der Selbstbewertung hängt von der Produktkategorie ab und, bei bestimmten Produkten der Klasse I, davon, ob die entsprechenden harmonisierten Normen oder andere anerkannte Konformitätswege vollständig angewendet wurden.

Hersteller sollten den Weg zur Konformitätsbewertung frühzeitig festlegen. Die späte Erkenntnis in der Produktentwicklung, dass die Einbindung einer benannten Stelle erforderlich ist, kann den Marktzugang verzögern.

Harmonisierte Standards

Es wird erwartet, dass harmonisierte europäische Standards eine wichtige Rolle bei der Einhaltung der CRA-Vorschriften spielen werden.

Wird eine einschlägige harmonisierte Norm im Amtsblatt der Europäischen Union zitiert und korrekt angewendet, kann dies eine Vermutung der Übereinstimmung mit den entsprechenden rechtlichen Anforderungen begründen.

Solange keine geeigneten Normen vorliegen, müssen die Hersteller die Einhaltung der Vorschriften weiterhin durch geeignete technische Methoden und Nachweise belegen.

Relevante bestehende Cybersicherheitsstandards und -rahmenwerke können je nach Produkt die Vorbereitung unterstützen. Die Verwendung eines anerkannten Standards belegt jedoch nicht automatisch die Einhaltung aller Verpflichtungen gemäß den Cybersecurity Regulations (CRA), es sei denn, er verfügt über den erforderlichen Rechtsstatus und deckt die relevanten Anforderungen ab.

Dokumentation der Verwendung von Standards

Hersteller sollten Folgendes dokumentieren:

• Welcher Standard oder welche Spezifikation wurde verwendet?
• Welche Version wurde angewendet?
• Welche CRA-Anforderungen deckt es ab?
• Ob es vollständig oder teilweise angewendet wurde
• Wie mit den festgestellten Anforderungen umgegangen wurde
• Welche Tests oder Beurteilungen wurden durchgeführt?

EU-Konformitätserklärung

Sobald die Konformität nachgewiesen ist, muss der Hersteller eine EU-Konformitätserklärung erstellen und unterzeichnen.

Mit dieser Erklärung bestätigt der Hersteller, dass er die Verantwortung für die Einhaltung der geltenden EU-Anforderungen durch das Produkt übernimmt.

Es sollte die in Anhang V geforderten Informationen enthalten, wie zum Beispiel:

• Produktname und Produktkennzeichnung
• Name und Anschrift des Herstellers
• Verantwortungserklärung
• Objekt der Deklaration
• Anwendbare EU-Rechtsvorschriften
• Relevante harmonisierte Normen oder Spezifikationen
• Informationen zur benannten Stelle, sofern zutreffend
• Zusätzliche Konformitätsinformationen
• Ausstellungsort und -datum
• Name, Position und Unterschrift der bevollmächtigten Person

Wenn mehrere EU-Rechtsvorschriften auf dasselbe Produkt Anwendung finden, kann der Hersteller in der Regel eine einzige EU-Konformitätserklärung erstellen, die alle anwendbaren Rechtsvorschriften abdeckt.

Beispielsweise kann ein vernetztes drahtloses Gerät auch unter die Funkanlagenrichtlinie, die RoHS-Richtlinie, die Anforderungen an die elektromagnetische Verträglichkeit und andere produktspezifische Rechtsvorschriften fallen.

Pflichten des Importeurs

Ein EU-Importeur, der ein Produkt eines Herstellers außerhalb der EU auf dem Unionsmarkt in Verkehr bringt, muss sich vergewissern, dass der Hersteller die geltenden Verpflichtungen gemäß dem Clean Air Act (CRA) erfüllt hat.

Der Importeur muss unter anderem Folgendes prüfen:

• Die entsprechende Konformitätsbewertung wurde durchgeführt.
• Die technische Dokumentation wurde erstellt
• Die EU-Konformitätserklärung ist verfügbar
• Das Produkt trägt das CE-Kennzeichen.
• Eine Produktkennzeichnung ist vorhanden.
• Es werden Herstellerinformationen bereitgestellt.
• Dem Produkt liegt eine Anleitung bei.
• Der Unterstützungszeitraum wird angegeben
• Es sind Prozesse zum Umgang mit Sicherheitslücken vorhanden.

Wenn der Importeur der Ansicht ist, dass das Produkt nicht den Vorschriften entspricht oder ein erhebliches Cybersicherheitsrisiko darstellt, darf er das Produkt nicht in Verkehr bringen, bis das Problem behoben ist.

Importeure müssen außerdem mit den Behörden kooperieren und haben gegebenenfalls Verpflichtungen, sobald sie von Schwachstellen erfahren, die das Produkt betreffen.

Pflichten des Vertriebspartners

Die Vertriebshändler müssen bei der Bereitstellung von Produkten auf dem EU-Markt die gebotene Sorgfalt walten lassen.

Sie müssen die relevanten formalen Konformitätsanforderungen überprüfen, einschließlich:

• Produktidentifizierung
• Angaben zu Hersteller und Importeur
• Erforderliche Benutzerinformationen
• Sicherheitsanweisungen
• Informationen zum Unterstützungszeitraum

Ein Händler darf ein Produkt, von dem er Grund zur Annahme hat, dass es nicht den Vorschriften entspricht, nicht weiter vertreiben. Er muss gegebenenfalls auch den Hersteller oder Importeur informieren und mit den Marktüberwachungsbehörden zusammenarbeiten.

EU-Bevollmächtigter

Ein außerhalb der Europäischen Union ansässiger Hersteller kann einen EU-Bevollmächtigter durch ein schriftliches Mandat.

Der Bevollmächtigte Vertreter kann im Namen des Herstellers bestimmte regulatorische Aufgaben wahrnehmen, wie zum Beispiel:

• Aufbewahrung der EU-Konformitätserklärung
• Bereitstellung der technischen Dokumentation für die Behörden
• Beantwortung begründeter behördlicher Anfragen
• Bereitstellung von Informationen zur Einhaltung der Vorschriften
• Zusammenarbeit mit den Marktüberwachungsbehörden
• Unterstützung der Rückverfolgbarkeit und der Kommunikation mit Aufsichtsbehörden
• Den Hersteller über behördliche Anfragen informieren

Die Ernennung eines Bevollmächtigten überträgt jedoch nicht die Kernverantwortung des Herstellers für das Produkt.

Verantwortlichkeiten, die beim Hersteller verbleiben

Der Hersteller bleibt verantwortlich für:

• Sicheres Produktdesign und -entwicklung
• Cybersicherheitsrisikobewertung
• Einhaltung der Grundvoraussetzungen
• Technische Dokumentation
• Konformitätsbewertung
• Schwachstellenmanagement
• Sicherheitsupdates
• Vorfallsmeldung
• Korrekturmaßnahme
• Kontinuierliche Produktkonformität

Wesentliche Änderungen

Wer eine wesentliche Änderung an einem Produkt vornimmt und dieses Produkt anschließend auf dem Markt anbietet, kann Herstellerverantwortung übernehmen.

Eine Änderung kann wesentlich sein, wenn sie die Einhaltung der grundlegenden Cybersicherheitsanforderungen durch das Produkt beeinträchtigt oder seinen vorgesehenen Zweck verändert.

Beispiele für potenziell wesentliche Änderungen

• Hinzufügen wichtiger vernetzter Funktionen
• Änderung der Authentifizierungsarchitektur
• Ersetzen des Betriebssystems
• Vorstellung einer neuen Cloud-Plattform
• Hinzufügen der Fernsteuerungsfunktion
• Aktivieren neuer Netzwerkschnittstellen
• Wesentliche Änderungen an sicherheitskritischer Software vornehmen
• Änderung der vorgesehenen Benutzergruppe oder Betriebsumgebung

Routinemäßige Sicherheitsupdates, die die Konformität wiederherstellen oder aufrechterhalten, sollten nicht automatisch als wesentliche Änderungen eingestuft werden. Dennoch sollten Hersteller und nachgelagerte Betreiber signifikante Produktänderungen dokumentieren und deren regulatorische Auswirkungen bewerten.

Überwachung nach der Markteinführung und Korrekturmaßnahmen

Die Einhaltung der CRA-Vorschriften ist eine fortlaufende Verpflichtung.

Nach der Markteinführung des Produkts muss der Hersteller weiterhin relevante Informationen zur Cybersicherheit überwachen.

Potenzielle Überwachungsquellen

Zu den Quellen können gehören:

• Interne Sicherheitstests
• Kundenbeschwerden
• Schwachstellenberichte
• Sicherheitsforscher
• Komponentenlieferanten
• Sicherheitswarnungen für Open-Source-Software
• Schwachstellendatenbanken
• Dienste für Bedrohungsanalyse
• Importeure und Händler
• Marktüberwachungsbehörden
• Teams zur Reaktion auf Computersicherheitsvorfälle
• ENISA-Kommunikation

Mögliche Korrekturmaßnahmen

Wenn sich herausstellt, dass ein Produkt nicht den Vorschriften entspricht oder ein Cybersicherheitsrisiko darstellt, muss der Hersteller möglicherweise Folgendes tun:

• Korrigieren Sie das Produkt
• Veröffentlichen Sie ein Sicherheitsupdate
• Bieten Sie eine alternative Lösung an.
• Betroffene Nutzer benachrichtigen
• Informieren Sie Importeure und Händler
• Benachrichtigen Sie die zuständigen Behörden.
• Produktverfügbarkeit einschränken
• Das Produkt zurückziehen
• Produkt zurückrufen

Die Reaktion sollte dem Risiko angemessen sein, Untätigkeit ist jedoch keine akzeptable Compliance-Strategie.

Aufbewahrung von Aufzeichnungen

Die Hersteller müssen die erforderlichen technischen Unterlagen und die EU-Konformitätserklärung für den geltenden Zeitraum gemäß CRA aufbewahren.

Ein solides Datenaufbewahrungssystem sollte Folgendes bewahren:

• Produktversionen
• Softwareversionen
• SBOM-Versionen
• Risikobewertungsversionen
• Testberichte
• Entscheidungen zur Schwachstellenanalyse
• Sicherheitswarnungen
• Korrekturmaßnahmenprotokolle
• Aktualisierungshistorie
• Vorfallberichte
• Behördenmitteilungen
• Konformitätserklärungen

Die Versionskontrolle ist besonders wichtig. Die Behörden müssen unter Umständen feststellen können, welche Software, Komponenten und Konformitätsnachweise zu einem bestimmten Zeitpunkt für eine bestimmte Produktversion galten.

Strafen bei Nichteinhaltung

Die CRA sieht erhebliche Verwaltungsstrafen vor.

Je nach Verstoß können die Strafen Folgendes betragen:

• Bis zu €15 Millionen oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei bestimmten schweren Verstößen.
• Bis zu €10 Millionen oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für sonstige Verpflichtungen
• Bis zu €5 Millionen oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für die Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen an benannte Stellen oder Marktüberwachungsbehörden.

Die Behörden können auch Korrekturmaßnahmen anordnen, den Verkauf von Produkten einschränken oder verbieten, die Rücknahme verlangen oder einen Rückruf anordnen.

Die wirtschaftlichen Folgen können daher über die Geldbuße hinausgehen. Verstöße können den Zugang zu EU-Distributoren, Online-Marktplätzen, Einzelhändlern, Kunden, Beschaffungsprogrammen und Versicherungsschutz beeinträchtigen.

Ein praktischer Leitfaden zur Einhaltung der CRA-Vorschriften

Schritt 1: Produktumfang bestätigen

Prüfen Sie, ob es sich bei dem Produkt um ein Produkt mit digitalen Elementen handelt und ob eine Ausnahmeregelung gilt.

Dokumentieren:

• Das Produkt
• Software und Firmware
• Konnektivität
• Funktionen zur Fernverarbeitung von Daten
• Zweckbestimmung
• Kommerzielles Versorgungsmodell
• Anwendbare Ausschlüsse

Schritt 2: Produkt klassifizieren

Ermitteln Sie, ob es sich bei dem Produkt um Folgendes handelt:

• Ein Standardprodukt
• Wichtig Klasse I
• Wichtig Klasse II
• Kritisch

Die Klassifizierung bestimmt das Verfahren zur Konformitätsbewertung.

Schritt 3: Lieferkette und Verantwortlichkeiten abbilden

Identifizieren:

• Legaler Hersteller
• Softwareentwickler
• Hardwarehersteller
• Komponentenlieferanten
• Cloud-Anbieter
• EU-Importeur
• Vertriebspartner
• EU-Bevollmächtigter
• Testanbieter
• Benannte Stelle, falls erforderlich

Die vertraglichen Verantwortlichkeiten sollten die rechtlichen Verpflichtungen des Herstellers unterstützen.

Schritt 4: Führen Sie die Cybersicherheitsrisikobewertung durch

Identifizieren Sie Cybersicherheitsbedrohungen, Schwachstellen, mögliche Auswirkungen und erforderliche Kontrollmaßnahmen.

Die Bewertung sollte das gesamte Produkt umfassen, einschließlich externer Komponenten und Cloud-Abhängigkeiten.

Schritt 5: Die wichtigsten Anforderungen erfassen

Erstellen Sie eine Konformitätsmatrix, die jede anwendbare CRA-Anforderung mit Folgendem verknüpft:

• Produktkontrolle
• Entwurfsspezifikation
• Verfahren
• Testergebnis
• Technisches Dokument
• Verantwortliche Person
• Hervorragende Leistung

Schritt 6: Etablierung des sicheren Entwicklungslebenszyklus

Dokumentieren Sie, wie die Cybersicherheit während folgender Vorgänge gehandhabt wird:

• Anforderungsdefinition
• Architektur
• Entwicklung
• Code-Überprüfung
• Komponentenauswahl
• Testen
• Freigeben
• Wartung
• Schwachstellenbehebung
• Lebensende

Schritt 7: SBOM vorbereiten und pflegen

Identifizieren Sie alle relevanten Softwarekomponenten und etablieren Sie einen Prozess zur Überwachung der diese Komponenten betreffenden Schwachstellen.

Schritt 8: Technische Tests abschließen

Je nach Produkt und Risiken können die Tests Folgendes umfassen:

• Schwachstellenscan
• Penetrationstests
• Quellcodeanalyse
• Software-Kompositionsanalyse
• Authentifizierungstest
• Verschlüsselungsüberprüfung
• Schnittstellentests
• Testen des Aktualisierungsmechanismus
• Fuzz-Testing
• Netzwerksicherheitstests
• Resilienztests
• Überprüfung der sicheren Konfiguration

Die Prüfung sollte auf dem Risikobewertungs- und Konformitätsverfahren basieren.

Schritt 9: Verfahren für Schwachstellen und Vorfälle festlegen

Bereiten Sie Verfahren vor für:

• Empfangsberichte
• Triage
• Schweregradbeurteilung
• Eskalation
• Sanierung
• Offenlegung
• Nutzerkommunikation
• ENISA-Bericht
• Behördenmitteilung
• Korrekturmaßnahme

Schritt 10: Ermitteln Sie den Unterstützungszeitraum

Definieren und begründen Sie, wie lange der Hersteller Sicherheitsupdates und die Behebung von Sicherheitslücken bereitstellen wird.

Stellen Sie sicher, dass die technischen Lieferanten und Entwicklungsressourcen für diesen Zeitraum verfügbar bleiben.

Schritt 11: Benutzerinformationen und Kennzeichnung vorbereiten

Rezension:

• Produktidentifizierung
• Herstellerinformationen
• Informationen für Importeure
• CE-Kennzeichnung
• Sicherheitsanweisungen
• Aktualisierungsanleitung
• Kontakt für Schwachstellen
• Ende der Unterstützung
• Anweisungen zum sicheren Löschen von Daten

Schritt 12: Zusammenstellung der technischen Dokumentation

Ordnen Sie die Beweismittel in einer strukturierten technischen CRA-Datei an.

Schritt 13: Konformitätsbewertung abschließen

Nutzen Sie die interne Kontrolle, eine benannte Stelle oder einen anderen zulässigen Weg gemäß der Produktklassifizierung.

Schritt 14: Unterzeichnung der EU-Konformitätserklärung

Der Hersteller sollte die Erklärung erst unterzeichnen, nachdem die entsprechende Bewertung abgeschlossen und die Konformität nachgewiesen wurde.

Schritt 15: Aufrechterhaltung der Einhaltung der Vorschriften nach der Markteinführung

Überwachen Sie Sicherheitslücken, stellen Sie Updates bereit, melden Sie relevante Ereignisse und aktualisieren Sie die Dokumentation, wenn sich das Produkt ändert.

Häufige Fehler bei der Einhaltung der CRA-Vorschriften

Die CRA als einmalige Zertifizierung behandeln

Die CRA erfordert die kontinuierliche Behebung von Sicherheitslücken, Sicherheitsupdates, Überwachung und Korrekturmaßnahmen.

Unter der Annahme, dass alle Produkte selbstzertifiziert werden können

Wichtige Produkte der Klasse II und kritische Produkte erfordern in der Regel eine Bewertung durch Dritte. Auch bei Produkten der Klasse I kann die Einbeziehung einer benannten Stelle erforderlich sein, wenn die relevanten anerkannten Spezifikationen nicht vollständig angewendet werden.

Sich ausschließlich auf Penetrationstests verlassen

Penetrationstests können zwar nützliche Erkenntnisse liefern, ersetzen aber nicht die Risikobewertung, den Prozess der sicheren Entwicklung, die Verfahren zur Schwachstellenanalyse, die technische Dokumentation oder die Supportverpflichtungen.

Komponenten von Drittanbietern ignorieren

Der Hersteller bleibt weiterhin für die Bewertung der Risiken verantwortlich, die durch integrierte Bibliotheken, Firmware, Chipsätze, Betriebssysteme und Cloud-Dienste entstehen.

Erstellen eines SBOM ohne Überwachung

Eine veraltete Komponentenliste bietet kein effektives Schwachstellenmanagementsystem.

Erklärung eines unrealistischen Unterstützungszeitraums

Der Hersteller muss in der Lage sein, während des gesamten angegebenen Zeitraums Sicherheitsupdates bereitzustellen und Schwachstellen zu beheben.

Fehlende Verbindung zwischen technischen Teams und Regulierungsabteilungen

Die 24-Stunden-Frist für Meldungen erfordert eine schnelle interne Kommunikation. Kundenservice, Entwicklung, Rechtsabteilung, Compliance-Abteilung und Management müssen den Eskalationsprozess kennen.

Vor dem Handeln auf harmonisierte Standards warten

Auch während sich Normen und zugehörige Leitlinien weiterentwickeln, bleiben die Hersteller für die Einhaltung der Vorschriften verantwortlich.

Wie EaseCert die Einhaltung der CRA-Vorschriften unterstützt

EaseCert bietet eine Bevollmächtigter Vertreter und Compliance-Dienst gemäß EU-Cyberresilienzgesetz für Hersteller von Produkten mit digitalen Elementen.

Der Service richtet sich insbesondere an Hersteller mit Sitz außerhalb der Europäischen Union, die Unterstützung bei der Einhaltung regulatorischer Bestimmungen und einen in der EU ansässigen Bevollmächtigten benötigen.

EaseCert CRA-Compliance-Dienstleistungen

Unser Service umfasst:

• Anwendbarkeitsprüfung des CRA
• Überprüfung des Produkt- und Softwareumfangs
• Produktklassifizierungsprüfung
• Überprüfung des Konformitätsbewertungsverfahrens
• Überprüfung der vorhandenen technischen Dokumentation
• Überprüfung der Cybersicherheitsdokumentation
• Analyse von Compliance-Lücken im Bereich Cybersicherheit
• Überprüfung des sicheren Softwareentwicklungszyklus
• Überprüfung der Produktidentifizierung und Rückverfolgbarkeit
• Überprüfung der Etiketten und CE-Kennzeichnungsinformationen
• Überprüfung der Benutzerdokumentation und Sicherheitsanweisungen
• Überprüfung der Verfahren zum Umgang mit Schwachstellen
• Überprüfung der Softwareaktualisierungs- und Wartungsverfahren
• Überprüfung der Software-Stückliste
• Überprüfung der Dokumentation zum Unterstützungszeitraum
• Überprüfung der EU-Konformitätserklärung
• Schriftlicher Compliance-Bericht und Empfehlungen
• Schriftliches Mandat für den EU-Bevollmächtigten
• Ernennung der EaseCert GmbH zum EU-Bevollmächtigten
• Aufbewahrung der EU-Konformitätserklärung und der technischen Dokumentation
• Regulierungsbehörde in der EU
• Unterstützung bei Anfragen der Marktüberwachungsbehörde
• Regulatorische Leitlinien während des gesamten Projekts

Wenn technische Cybersicherheitstests erforderlich sind, kann EaseCert Sie bei der Definition des Testumfangs unterstützen und die Koordination mit einem qualifizierten Cybersicherheitslabor oder technischen Anbieter übernehmen.

EaseCert führt keine Penetrationstests, Quellcodeanalysen oder Labortests zur Cybersicherheit durch und fungiert nicht als benannte Stelle. Der Hersteller bleibt für die Cybersicherheit des Produkts, die Konformitätsbewertung, die technische Genauigkeit, den Umgang mit Schwachstellen, Updates, Berichterstattung und die fortlaufende Einhaltung der Vorschriften verantwortlich.

Rolle des EU-Bevollmächtigten von EaseCert

Für zugelassene Produkte, die außerhalb der Europäischen Union hergestellt werden, kann die EaseCert GmbH als die EU-Bevollmächtigter.

Im Rahmen des vereinbarten Mandats kann EaseCert:

• Halten Sie die EU-Konformitätserklärung für die Behörden bereit.
• Halten Sie die erforderliche technische Dokumentation bereit.
• Begründete Anfragen nach Informationen zur Einhaltung der Vorschriften beantworten
• Kooperieren Sie mit den Marktüberwachungsbehörden
• Unterstützung von Rückverfolgbarkeitsprüfungen
• Unterstützung der Kommunikation mit Aufsichtsbehörden
• Informieren Sie den Hersteller über relevante behördliche Anfragen.

Die Beauftragung tritt in Kraft, sobald die Dokumentenprüfung abgeschlossen ist, die Produkte von EaseCert abgenommen wurden und das schriftliche Mandat von beiden Parteien unterzeichnet wurde.

Erhalten Sie Unterstützung bei der Einhaltung der CRA-Vorschriften und der Vertretung in der EU.

Beginnen Sie mit den Vorbereitungen für die CRA.

Der Cyber ​​Resilience Act schafft einen neuen Compliance-Rahmen für vernetzte Hardware, eigenständige Software, eingebettete Software und digitale Komponenten.

Für Hersteller besteht die größte Herausforderung nicht einfach in der Erstellung einer Konformitätserklärung. Die Einhaltung der Vorschriften erfordert eine enge Abstimmung zwischen Produktentwicklung, Cybersicherheit, Qualitätssicherung, Zulassungsabteilung, Kundendienst, Lieferkettenmanagement und der Geschäftsleitung.

Vier Fragen, die Hersteller beantworten sollten

1. Gilt die CRA für unser Produkt?
2. Welche Produktklassifizierung und welches Konformitätsbewertungsverfahren sind anzuwenden?
3. Verfügen wir über ausreichende Nachweise und technische Dokumentationen zum Thema Cybersicherheit?
4. Können wir das Produkt während des gesamten angegebenen Supportzeitraums überwachen, aktualisieren und unterstützen?

Hersteller mit Sitz außerhalb der Europäischen Union sollten außerdem prüfen, ob sie einen EU-Bevollmächtigten benötigen und wie sie Anfragen von EU-Marktüberwachungsbehörden bearbeiten werden.

EaseCert unterstützt internationale Hersteller mit CRA-Anwendbarkeitsprüfungen, Compliance-Gap-Analysen, Überprüfungen technischer Dokumentationen und Dienstleistungen als EU-Zulassungsbevollmächtigter.

Sehen Sie sich den EaseCert EU Cyber ​​Resilience Act Authorised Representative and Compliance Service an

Offizielle Quellen und weiterführende Literatur

Die folgenden offiziellen Quellen der Europäischen Union liefern den Rechtstext, die Durchführungshinweise und die weiterführenden Informationen zum EU-Cyberresilienzgesetz:

• Verordnung (EU) 2024/2847, Cyber ​​Resilience Act
  Der offizielle und rechtsverbindliche Text des Cyber ​​Resilience Act, veröffentlicht im Amtsblatt der Europäischen Union.
• Europäische Kommission: Cyberresilienzgesetz
  Die Hauptseite der Europäischen Kommission mit Informationen zu Zweck, Anwendungsbereich, Umsetzung und erwarteten Auswirkungen des Cyber ​​Resilience Act.
• Europäische Kommission: Zusammenfassung des Gesetzestextes zum Cyberresilienzgesetz
  Eine offizielle Zusammenfassung der CRA-Anforderungen, einschließlich Produktumfang, Pflichten der Wirtschaftsakteure, Konformitätsbewertung und Umsetzungsdaten.
• Europäische Kommission: Häufig gestellte Fragen zur Umsetzung des Cyber ​​Resilience Act
  Offizielle Antworten auf praktische Fragen zu Produktumfang, Software, Ferndatenverarbeitung, Supportzeiträumen, Berichterstattung und Implementierung.
• Europäische Kommission: Umsetzung des Cyber ​​Resilience Act
  Ein Überblick über den CRA-Implementierungsprozess, einschließlich Leitlinien, Standardisierungsaktivitäten und Ressourcen für Hersteller und andere Interessengruppen.
• ENISA: Einheitliche Meldeplattform des Cyber ​​Resilience Act
  Offizielle Informationen zu den Plattformen, die Hersteller ab dem 11. September 2026 zur Meldung aktiv ausgenutzter Sicherheitslücken und schwerwiegender Sicherheitsvorfälle nutzen werden.
• ENISA: Zuordnung der Anforderungen und Standards des Cyber ​​Resilience Act
  Eine ENISA-Studie, die bestehende Cybersicherheitsstandards mit den CRA-Anforderungen vergleicht und Bereiche identifiziert, die einer weiteren Standardisierung bedürfen.
• ENISA: Umsetzung des Cyber ​​Resilience Act durch das EU-Cybersicherheitszertifizierungssystem
  Eine offizielle Studie untersucht, wie das auf den europäischen Common Criteria basierende Cybersicherheitszertifizierungssystem die CRA-Konformitätsbewertung unterstützen kann.

Dieser Artikel enthält allgemeine regulatorische Informationen und stellt keine Rechtsberatung dar. Produktumfang, Klassifizierung, Konformitätsbewertung und Dokumentationsanforderungen müssen für jedes Produkt individuell geprüft werden.