Cyber Resilience Act: was Unternehmen jetzt wissen und umsetzen müssen

CRA Symbol

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals ein einheitliches Regelwerk für die Cybersicherheit von Produkten schafft. Ziel ist es, deren Sicherheit und Widerstandsfähigkeit über den gesamten Lebenszyklus hinweg deutlich zu verbessern.

Hersteller sind verpflichtet, verbindliche Sicherheitsanforderungen umzusetzen. Dazu zählen unter anderem Risikoanalysen, Schutz vor unbefugtem Zugriff, langfristiger Support sowie die Meldung von Sicherheitsvorfällen. Mit diesen Massnahmen sollen Risiken wie Cyberangriffe, Datenlecks oder Systemausfälle für Verbraucher, Unternehmen und öffentliche Einrichtungen in ganz Europa deutlich reduziert werden.

Für Unternehmen bedeutet dies einen grundlegenden Wandel: Cybersicherheit wird nicht länger als optionales Zusatzmerkmal betrachtet, sondern als verbindliche Voraussetzung für den Marktzugang in der EU.

Welche Produkte sind vom CRA betroffen?
Der CRA gilt für alle Produkte, die digitale Daten verarbeiten, über Netzwerk- oder Geräteverbindungen kommunizieren und in der EU in Verkehr gebracht werden. Da heute ein Grossteil der Geräte vernetzt ist, betrifft die Verordnung eine Vielzahl von Produkten – von Anwendungen in der Gebäudetechnik über die Verkehrstechnik bis hin zu industriellen Systemen. 
Ausgenommen sind Produkte, die bereits durch andere EU-Rechtsvorschriften geregelt sind, wie z. B. Medizinprodukte, Fahrzeuge oder die Luftfahrt.

Welche Anforderung stellt der CRA?
Der CRA verlangt einen risikobasierten Ansatz für die Entwicklung und den Betrieb von Produkten. Anhand einer Risikoanalyse müssen Schwachstellen identifiziert, beurteilt und falls nötig Gegenmassnahmen getroffen werden.

Die wichtigsten Punkte für unsere Kunden sind:   

• Schutz vor unbefugtem Zugriff: unbefugter Zugriff über Schnittstellen muss verhindert und die Angriffsfläche minimiert werden. Der Fokus liegt auf Authentifizierung, Verschlüsselung und Datenintegrität.
   
• Sorgfältige Integration von Komponenten: Hersteller müssen bei der Einbindung von externen Komponenten sicherstellen, dass diese die Cybersicherheit des Produkts nicht gefährden.
   
• Konforme Produkte: Hersteller, Importeure und Händler dürfen in der EU nur Produkte in Verkehr bringen, die den Anforderungen des CRA entsprechen.
   
• Lebenszyklusmanagement: Schwachstellen müssen während des gesamten definierten Lebenszyklus überwacht und gegebenenfalls durch Sicherheitsupdates behoben werden. 
   
• Meldestelle für Schwachstellen: Hersteller müssen eine zentrale Anlaufstelle einrichten, über die entdeckte Schwachstellen in ihren Produkten gemeldet werden können. 
   

• Meldung an Behörden: ausgenutzte Schwachstellen müssen unverzüglich an die zuständigen Behörden gemeldet werden.

   

Wie ist das Verfahren für die Konformitätsbewertung?
Das Konformitätsbewertungsverfahren im CRA richtet sich nach der Risikoklasse des Produkts:  

• Selbstbewertung: für die meisten Produkte erfolgt eine interne Kontrolle durch den Hersteller. 
   
• Notifizierte Stelle: für wichtige und kritische Produkte ist die Einbindung einer notifizierten Stelle erforderlich. 

In beiden Fällen müssen Hersteller eine technische Dokumentation erstellen, eine Risikoanalyse durchführen, die EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen.

Wie sieht der Zeitplan für den CRA aus?

• 10.12.2024: Inkrafttreten des CRA  
• 11.09.2026: Meldepflichten für Hersteller  
• 11.12.2027: Volle Anwendbarkeit

Welche Folgen hat der CRA für unsere Kunden?
Unsere Kunden müssen prüfen, welche ihrer Produkte betroffen sind. Das heisst, welche Produkte über eine Schnittstelle mit anderen Geräten oder dem Netzwerk kommunizieren. Bei all diesen Produkten besteht Handlungsbedarf:  

• Die CE-Kennzeichnung darf nur angebracht werden, wenn der CRA erfüllt ist. 
   
• Es muss eine Dokumentation inkl. Risikoanalyse vorliegen. 
   
• Für entdeckte Schwachstellen muss eine Meldestelle zur Verfügung gestellt werden.

Auch Funksysteme sind vom CRA betroffen. Wir haben hierfür bereits Lösungen entworfen und suchen gemeinsam mit jedem Kunden den besten Weg, um das fertige Produkt konform und zukunftssicher zu gestalten.

Zögern Sie nicht, uns für eine kostenlose und unverbindliche Erstberatung zum CRA zu kontaktieren.