Cyber Resilience Act : Ihr praktischer Leitfaden
Ob Sie ein US-amerikanischer Gerätehersteller sind, der den europäischen Markt erschließen möchte, oder ein europäischer Hersteller, der ein bestehendes Portfolio verwaltet – der CRA verändert grundlegend, was es bedeutet, ein vernetztes Produkt auf den Markt zu bringen.
Diese Seite führt Sie durch die vier Phasen: vom Verständnis der Regulierung bis zur Aufrechterhaltung der Konformität über den gesamten Produktlebenszyklus von bis zu 10 Jahren.
Entdecken Sie die 4 Schritte zur CRA-Konformität
Schritt 1 - Geltungsbereich, Anforderungen und Fristen
Wer ist betroffen? (Eine global wirksame Verordnung)
Der CRA gilt für alle »Produkte mit digitalen Elementen« (PDE), die auf dem europäischen Markt bereitgestellt werden – unabhängig vom Sitz des Herstellers. In der Praxis betrifft dies jedes Gerät mit einem Prozessor, das mit einem Netzwerk oder einem anderen Gerät verbunden ist: vom einfachen Sensor bis zum industriellen Gateway oder medizinischen Monitor.
Für US-amerikanische und internationale OEMs : Der Zugang zum europäischen Markt erfordert nun eine strategische Anpassung. Anders als in den USA – wo weitgehend freiwillige Rahmenwerke gelten (NIST IR 8425, U.S. Cyber Trust Mark) – ist der CRA eine rechtsverbindliche Verordnung. Er führt zudem verpflichtende Anforderungen zur Schwachstellenbehandlung und Marktüberwachung ein – über Maßnahmen wie die Executive Order 14028 hinaus.
Technische Klassifizierung (Anhang III)
Standard (Großteil der Produkte) :
Die meisten Produkte fallen in diese Kategorie und unterliegen einem Konformitätsbewertungsverfahren per Selbstbewertung.
Wichtige Produkte:
- Klasse I Umfasst Identitätsmanagementsysteme, Browser und bestimmte netzwerkbezogene Komponenten. Diese Produkte können ohne externe Stelle bewertet werden, sofern eine harmonisierte Norm angewendet wird.
- Klasse II Umfasst Betriebssysteme (Linux/RTOS), Hypervisoren und kryptografische Infrastruktur. Diese Produkte erfordern zwingend eine Konformitätsbewertung durch eine notifizierte Stelle.
Kritische Produkte:
Chipkarten, intelligente Messgeräte, HSMs: Diese Produkte erfordern eine externe Bewertung gemäß einem geeigneten europäischen Cybersicherheitszertifizierungsschema (EUCC).
Die 15 wesentlichen technischen Anforderungen (Anhang I)
- Sicherheit durch Voreinstellung: Minimale Angriffsoberfläche und keine generischen Standardpasswörter
- Zugangskontrolle : Robuste Authentifizierung und Verhinderung unbefugter Zugriffe
- Vertraulichkeit : Geeignete Verschlüsselung gespeicherter und übertragener Daten
- Integrität : Mechanismen wie Secure Boot zur Verhinderung der Ausführung nicht autorisierter Software
- Datenminimierung : Verarbeitung nur der für den Verwendungszweck des Produkts notwendigen Daten
- Schwachstellenbehandlung : Prozesse zur Identifizierung, Verwaltung und Behebung von Schwachstellen über den gesamten Lebenszyklus
- Sichere Entwicklung & Auslieferung : Keine bekannten ausnutzbaren Schwachstellen zum Zeitpunkt der Markteinführung
- SBOM: Fähigkeit zur Bereitstellung einer Software-Stückliste (maschinenlesbar, soweit zutreffend)
- Updates: Fähigkeit zur sicheren und zuverlässigen Bereitstellung von Sicherheitsupdates
- Sicheres Dekommissionieren :Fähigkeit zur sicheren Löschung oder zum Schutz von Nutzerdaten am Lebensende
- Vorfallsmeldung : Meldung aktiv ausgenutzter Schwachstellen und Sicherheitsvorfälle an die zuständigen Behörden innerhalb der vorgeschriebenen Fristen (Erstmeldung binnen 24 h)
- Verfügbarkeit & Resilienz : Schutz der Verfügbarkeit wesentlicher und grundlegender Funktionen, auch nach einem Vorfall, einschließlich durch Resillienz- und Abwehrmaßnahmen gegen Denial-of-Service-Angriffe
- Netzwerkschutz : Minimierung der negativen Auswirkungen der Produkte selbst oder verbundener Geräte auf die Verfügbarkeit von Diensten anderer Geräte oder Netzwerke
- Begrenzung der Angriffsoberfläche : Konzipierung, Entwicklung und Herstellung des Produkts mit dem Ziel, Angriffsoberflächen einschließlich externer Schnittstellen zu begrenzen
- Sicherheitsüberwachung : Bereitstellung sicherheitsbezogener Informationen durch Aufzeichnung und Überwachung relevanter interner Aktivitäten, einschließlich des Zugriffs auf oder der Änderung von Daten, Diensten oder Funktionen, mit einer Opt-out-Möglichkeit für den Nutzer
Wichtige Fristen
CRA vs. RED : der Paradigmenwechsel
Viele Hersteller konzentrieren sich derzeit auf die Funkanlagenrichtlinie (RED) Artikel 3.3 (verpflichtend ab 2025). Während die RED auf drahtlose Schnittstellen abzielt, erweitert der CRA vergleichbare Sicherheitsprinzipien auf alle Produkte mit digitalen Elementen.
Wichtiger Hinweis : Ab Dezember 2027 wird der CRA die Cybersicherheitsanforderungen der RED (den delegierten RED-Rechtsakt) ersetzen. Die Erfüllung der RED-Anforderungen ist ein solider Ausgangspunkt, doch der CRA führt weitergehende und strengere Pflichten ein – insbesondere in den Bereichen Schwachstellenmanagement, Lebenszyklussicherheit und Software-Transparenz (SBOM).
Die CRA in 2 Minuten erklärt!
Weitere
Inhalte entdecken
Schritt 2 - Strategie & Risk Assessment
Der CRA schreibt eine dokumentierte Cybersicherheits-Risikobeurteilung vor. Bei Witekio übersetzen wir diese gesetzliche Anforderung in eine dreistufige technische Methodik – mit einem pragmatischen Ansatz, der Compliance ermöglicht, ohne Ihre F&E zu blockieren :
Angriffspfad-Mapping
Wirkungsanalyse der Gegenmaßnahmen
Definition von Sicherheitszielen
Strafen vermeiden und die Sicherheit verbessern
Schritt 3 - Security by Design
Architektur und Kernsicherheit
Validierung und SBOM
Langzeitsupport und OTA
Weitere
Inhalte entdecken
Schritt 4 -Langzeitwartung und CVE-Management
Die CRA verlangt von den Herstellern, dass sie während der gesamten voraussichtlichen Lebensdauer ihrer Produkte Sicherheitsunterstützung leisten, oft noch mehrere Jahre nach der Markteinführung. Wir bieten Ihnen die Infrastruktur, um diese Anforderungen zu erfüllen.
Kontinuierliche Überwachung
Hardware-spezifisches Triage
Langfristiges Patch-Management
Sie wissen nicht, wo Sie anfangen sollen?
Wir verwandeln Ihre Gerätevision in Realität
4 Länder
ISO 27001 zertifiziert
