Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Die Europäische Union hat mit dem neu erlassenen Cybersecurity Resilience Act (CRA) die Weichen für eine weltweite Reform der Cybersicherheit gestellt, offiziell am 20. November 2024 veröffentlicht. Wie die GDPR vor ihr wird diese Verordnung nicht nur europäische Unternehmen, sondern auch Organisationen und Einzelpersonen weltweit beeinflussen. Die globale Reichweite ergibt sich aus der Tatsache, dass es sich nur wenige Unternehmen leisten können, separate Produkte für die EU und andere Märkte zu produzieren. Die CRA stellt sicher, dass digitale Produkte auf der ganzen Welt die strengen Cybersicherheitsanforderungen erfüllen und zielt darauf ab, die Bedeutung von Sicherheitsbelangen von einem bloßen Nebengedanken zu einem Hauptanliegen zu machen.
Warum der Cybersecurity Resilience Act wichtig ist
Die CRA konzentriert sich auf die Verbesserung der Sicherheit von "Produkten mit digitalen Elementen". Dazu gehören Hardware, Software und vernetzte Geräte, die Schwachstellen in der Cybersicherheit beheben, die von Cyberkriminellen ausgenutzt werden, um großen Schaden anzurichten. Wie in Anhang I der Verordnung hervorgehoben wird, sind die Hersteller nun gezwungen, eine proaktive Haltung zur Cybersicherheit während des gesamten Lebenszyklus eines Produkts einzunehmen, vom Entwurf bis zur Vermarktung und darüber hinaus.
Anhang I: Ein Leitfaden für sichere digitale Produkte
Viele umsetzbare Anforderungen der CRA sind in Anhang I enthalten, in dem zwei Schlüsselaspekte aufgeführt sind: Cybersicherheitsanforderungen für Produkteigenschaften und Anforderungen für den Umgang mit Schwachstellen. Hier sind einige der wichtigsten Punkte:
Teil I: Cybersicherheitsanforderungen für digitale Produkte
- Status der Schwachstelle: Die Produkte müssen frei von bekannten, ausgenutzten Sicherheitslücken sein.
- Risikobasierter Entwurf: Die Produkte müssen mit einem angemessenen Maß an Cybersicherheit konzipiert werden, das den bei den Bewertungen ermittelten Risiken entspricht.
- Sichere Standardkonfigurationen: Die Produkte müssen mit einer sicheren Standardkonfiguration ausgeliefert werden, es sei denn, sie werden für den unternehmensspezifischen Gebrauch angepasst.
- Automatische Sicherheitsupdates: Schwachstellen sollten durch Updates behoben werden, wobei Automatisierungsfunktionen für die Cybersicherheit wie automatische Updates standardmäßig aktiviert und benutzerfreundliche Opt-out-Optionen vorgesehen sind.
- Schutz und Integrität von Daten: Die Produkte müssen die Vertraulichkeit, Integrität und Verfügbarkeit von Daten durch Verschlüsselung und Zugriffskontrollen schützen.
- Widerstandsfähigkeit gegen Angriffe: Es müssen Maßnahmen ergriffen werden, um die Verfügbarkeit zu gewährleisten und die Auswirkungen von Vorfällen wie Denial-of-Service-Angriffen abzumildern.
- Minimale Angriffsfläche: Das Design muss externe Schnittstellen begrenzen und potenzielle Angriffswege reduzieren.
Teil II: Anforderungen an das Schwachstellenmanagement
- Software Bill of Materials (SBOM): Die Hersteller müssen ein detailliertes SBOM führen, um Schwachstellen in den Komponenten zu identifizieren. Diese Stückliste muss mindestens die Liste der Abhängigkeiten der ersten Ebene enthalten.
- Schnelle Behebung: Schwachstellen müssen umgehend behoben werden, wobei Updates nach Möglichkeit getrennt von Funktions-Upgrades bereitgestellt werden sollten.
- Transparenz und Berichterstattung: Offenlegungen über behobene Schwachstellen, Auswirkungen und Abhilfemaßnahmen müssen veröffentlicht werden, es sei denn, es besteht ein erhebliches Risiko der Ausnutzung, in welchem Fall die Veröffentlichung verzögert (aber nicht verhindert) werden kann.
- Koordinierte Offenlegung von Schwachstellen: Ein klarer Mechanismus zur Meldung und Behebung von Schwachstellen ist obligatorisch.
- Sichere Verteilung von Updates: Die Updates müssen sicher und kostenlos verteilt werden und Hinweise für die Nutzer enthalten.
Die umfassenderen Auswirkungen
Die CRA geht über die Festlegung von Cybersicherheitsstandards für digitale Produkte hinaus - sie verändert die gegenwärtigen Cybersicherheitspraktiken in der Praxis. Unternehmen, insbesondere multinationale, werden CRA-konforme Praktiken allgemein übernehmen, um ihre Abläufe zu rationalisieren und Kosten zu senken. Dies spiegelt den globalen Welleneffekt wider, der mit der Datenschutz-Grundverordnung (GDPR) beobachtet wurde, die sich weltweit auf die Datenschutzstandards auswirkte.
Herausforderungen für Hersteller
Während die CRA einen vielversprechenden Weg für ein sichereres digitales Ökosystem aufzeigt, stellt sie die Unternehmen vor erhebliche Herausforderungen:
- Kosten der Umsetzung: Kleine und mittlere Unternehmen haben möglicherweise Schwierigkeiten, die strengen Anforderungen zu erfüllen.
- Lebenszyklus-Management: Die Sicherstellung von laufendem Support und Updates für alle Produkte könnte die Ressourcen von Linux-Administratoren und Sicherheitsteams überfordern.
- Globale Standardisierung: Die Angleichung an die CRA bei gleichzeitiger Einhaltung lokaler, nicht in der EU geltender Vorschriften könnte die Einhaltung der Vorschriften erschweren.
Chancen für Organisationen Die Übernahme von CRA-Standards öffnet auch Türen:
- Vertrauen der Verbraucher: Produkte, die die Anforderungen der Ratingagenturen erfüllen, werden sicherheitsbewusste Verbraucher ansprechen.
- Marktvorteil: Frühe Anwender können sich einen Wettbewerbsvorteil auf Märkten verschaffen, die Cybersicherheit schätzen.
- Innovation: Das Gesetz fördert Fortschritte bei der Entwicklung sicherer Produkte und damit die Innovation im Bereich der Cybersicherheit.
Schlussbemerkungen
Der Cybersecurity Resilience Act ist mehr als nur eine weitere Verordnung - er ist ein Schritt zur Stärkung der digitalen Welt gegen Bedrohungen. Durch die Verpflichtung der Hersteller, der Cybersicherheit in jeder Phase Vorrang einzuräumen, zielt die CRA darauf ab, Produkte zu entwickeln, die für Verbraucher, Unternehmen und Regierungen gleichermaßen sicherer sind. Ihr Einfluss wird zweifelsohne über Europa hinausgehen und einen neuen globalen Maßstab für die Cybersicherheitsresilienz setzen.
Unternehmen auf der ganzen Welt sollten sich jetzt vorbereiten und die Grundsätze der CRA in ihre Entwicklungsprozesse integrieren, um ihre eigene Position und die ihrer Produkte im Bereich der Cybersicherheit zu verbessern.
