Verstoß gegen Cyber Resilience Act: Herstellern und Importeuren droht Verkaufsstopp in der EU

Der Cyber Resilience Act (CRA) kommt: Erfüllen Hersteller und Importeure nicht alle sicherheitskritischen Auflagen für Produkte, kann das CE-Zeichen entzogen werden, was einem Verkaufsstopp gleichkommt. Was fällt unter CRA? Alles, was mit einem IT-Netzwerk oder dem Internet verbunden ist.

Kommt mit CRA ein weiteres Bürokratie-Monster aus Brüssel auf Unternehmen zu? Kann man so sehen, aber überflüssig ist das Gesetz keinesfalls. Denn für viele Hersteller von IoT-Geräten vor allem aus Asien endet die Pflicht, ihre Firmware bei Sicherheitslücken nachzubessern, wenn der Verbraucher das Gerät gekauft hat. Hersteller sollen während des gesamten Lebenszyklus eines vernetzten Produkts für die Cybersicherheit verantwortlich bleiben, so will es die EU. Daher hat das Europäische Parlament im März den Cyber Resilience Act verabschiedet. Nun wird die finale Version in den nächsten Wochen veröffentlicht, ab da haben betroffene Unternehmen und Importeure drei Jahre Zeit, die Bestimmungen des CRA umzusetzen.

Die brauchen sie auch, denn das Gesetz kann mitunter tief in die Produktionsprozesse eingreifen. "Unternehmen sollten zeitnah prüfen, inwieweit die Anforderungen des CRA die eigenen Produkte betreffen und wie schnellstmöglich eine umfassende Konformität sichergestellt werden kann. Dazu sind Anpassungen in den eigenen Produktions- und Entwicklungsprozessen notwendig", sagt Cybersecurity-Experte Jan Wendenburg, Geschäftsführer von Onekey.

Die von der EU angedrohten Sanktionen bei Sicherheitslücken sind empfindlich: Bußgelder für Unternehmen, Geldstrafen für Geschäftsführer, Hersteller, Händler und Importeure kann sogar die CE-Kennzeichnung entzogen werden, also ein Verkaufsstopp auf dem gesamten EU-Markt.

CRA Readiness Assessment

Mit dem CRA wird das Prinzip "Security by Design" Gesetz: Künftig reicht es nicht mehr aus, die Konformität eines Produkts mit digitalen Elementen erst zum Zeitpunkt des Inverkehrbringens sicherzustellen. Vielmehr ist eine kontinuierliche Risikobewertung erforderlich - und die sofortige Behebung von Sicherheitslücken.

Beim Zukauf von Komponenten von Drittanbietern und Open-Source-Komponenten müssen Hersteller eine Due Diligence durchführen, um das Endprodukt durch den Einbau dieser Bestandteile nicht zu gefährden. Bislang fehlten den Unternehmen jedoch viele Informationen über die grundlegenden Anforderungen des CRA sowie einheitliche Standards.

Auch das soll sich nun ändern: "Die EU-Kommission hat bereits horizontale Standards für zentrale Tätigkeiten und Sicherheitsanforderungen sowie vertikale Standards für wichtige und kritische Produkte - insgesamt 42 - angekündigt. Damit - und mit den entsprechenden Tools wie unserem Compliance Wizard - können Unternehmen schneller analysieren, was umgesetzt werden muss, um Compliance mit dem CRA zu erreichen", erklärt Wendenburg. eine Firma bietet den Compliance Wizard an, der eine umfassende Cybersicherheitsbewertung von Produkten ermöglichen soll. Auch spezielle Schulungen, so gennannte CRA Readiness Assessment, führen die Experten der Düsseldorfer Beratungsfirma an.

Dokumentationspflicht mit SBOM

Onekey geht in einer Pressemitteilung auch auf Dokumentationspflichten ein, die der CRA vorschreibt. So müssen Hersteller künftig auch die Software Bill of Materials (SBOM) führen und generell die gesamte Lieferkette hinsichtlich der Sicherheit von Produkten und Komponenten analysieren. Automatisierung sei hier der Schlüssel für produktgerechte Prozesse, die sich nicht negativ auf die Handelspreise auswirken sollten, so Onekey. Bei diesem digitalen Dokument handelt es sich um eine Gesamtliste aller in einem Produkt verwendeten Softwarekomponenten - auch der versteckten.

Betroffen: Alles, was mit einem IT-Netzwerk oder dem Internet verbunden ist

"Hersteller, Importeure und Händler sollten wissen, dass diese SBOM immer aktuell sein muss. Jeder Patch oder jedes Update erfordert daher eine idealerweise automatisierte Aktualisierung der SBOM", rät Jan Wendenburg von Onekey. Zudem sei vielen Unternehmen noch nicht klar, was alles unter den Begriff 'Produkte mit digitalen Elementen" fällt. Wendenburg klärt auf: "Mobile Geräte wie Laptops, Smartwatches, Smart-Home-Devices wie Thermostate oder intelligente Stromzähler und vor allem der immens große und besonders risikobehaftete Bereich der industriellen Steuerungen bis hin zum Kraftfahrzeug fallen darunter: Also alles, was mit einem IT-Netzwerk oder dem Internet verbunden ist", fasst Wendenburg zusammen.

Onekey bezeichnet sich als "Europas führender Spezialist für Product Cybersecurity & Compliance Management". Man biete eine "einzigartige Kombination aus einer automatisierten Product Cybersecurity & Compliance Platform (PCCP) mit Expertenwissen und Consulting Services an - Cybersecurity und Compliance vom Produkt Einkauf, Design, Entwicklung, Produktion bis zum End-of-Life.