Definition Cyber Resilience Act | CRA Was ist der Cyber Resilience Act?

Anbieter zum Thema

FTAPI Software GmbH

Der Cyber Resilience Act (CRA) ist der Entwurf einer EU-Verordnung zur Stärkung der Cybersicherheit von Produkten mit digitalen Bestandteilen. Er definiert verbindliche Anforderungen an die Cybersicherheit, die für den europäischen Markt von den Herstellern, Importeuren und Händlern solcher Produkte zu erfüllen sind. Die Verordnung ergänzt bestehende rechtliche Vorschriften und soll 2024 formell verabschiedet werden.

Der EU Cyber Resilience Act, abgekürzt mit CRA oder CRA-E, ist ein im September 2022 von der Europäischen Kommission veröffentlichter Entwurf einer Verordnung zur Stärkung der Cybersicherheit von Produkten mit digitalen Bestandteilen. Ins Deutsche übersetzt bedeutet CRA "EU-Gesetz für die Cyberwiderstandsfähigkeit". Die Verordnung enthält verbindliche Vorgaben für Hard- und Softwareprodukte mit digitalen Komponenten. Diese Produkte lassen sich untereinander oder mit dem Internet verbinden. Die Anforderungen beziehen sich auf den kompletten Lebenszyklus der Produkte. Hersteller, Importeure und Händler solcher Produkte müssen die Anforderungen erfüllen, um sie innerhalb der Europäischen Union anbieten und verkaufen zu dürfen und Kunden den Einsatz zu ermöglichen.

Ziel ist es, sowohl Verbraucher als auch Unternehmen durch die Einführung verbindlicher Cybersicherheitsanforderungen besser zu schützen. Der Cyber Resilience Act ist Teil der EU-Cybersicherheitsstrategie und ergänzt bereits bestehende Rechtsvorschriften wie die NIS-2-Richtlinie oder den Cybersecurity Act (CSA). Der CRA soll 2024 formell verabschiedet werden. Die Vorgaben sind anschließend mit einer Übergangsfrist umzusetzen. Bei Nichteinhaltung der Anforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten jährlichen Umsatzes. Darüber hinaus kann der Hersteller zu Korrekturmaßnahmen verpflichtet, die Bereitstellung des Produkts auf dem Markt untersagt oder der Produktrückruf angeordnet werden.

Die Ziele des CRA

Wichtigstes Ziel des Cyber Resilience Act ist ein besserer Schutz der Verbraucher und Unternehmen in der EU, die Produkte mit digitalen Komponenten kaufen und nutzen. Insbesondere geht es um mehr Cybersicherheit für die auf dem EU-Markt erhältlichen Produkte, die sich untereinander oder mit dem Internet verbinden können. Diese Produkte sollen weniger Schwachstellen aufweisen und mit klaren Verantwortlichkeiten der Hersteller über den kompletten Lebenszyklus der Produkte versehen sein. Darüber hinaus soll der CRA für mehr Transparenz hinsichtlich der Sicherheit der Hard- und Softwareprodukte beitragen. Der Cyber Resilience Act harmonisiert die Vorschriften für das Inverkehrbringen von Produkten mit digitalen Komponenten in der EU, definiert einen klaren Rahmen von Cybersicherheitsanforderungen und legt die Sorgfaltspflicht der Hersteller über den gesamten Lebenszyklus der Produkte fest.

Wer ist vom CRA betroffen?

Der CRA zielt auf Wirtschaftsakteure, die Produkte mit digitalen Bestandteilen auf dem EU-Markt in Verkehr bringen. Das können natürliche oder juristische Personen von Herstellern, Importeuren oder Händlern solcher Produkte sein. Die Verordnung definiert zudem den Begriff des Produkts mit digitalen Bestandteilen. Gemeint sind damit alle Hard- und Softwareprodukte, die sich untereinander oder mit dem Internet verbinden lassen beziehungsweise über eine Fernzugriffsmöglichkeit verfügen. Die Art oder der Verwendungszweck der Produkte sind nicht eingeschränkt. Beispiele für Produkte, die unter den CRA fallen, sind PC-Spiele, Router, Firewalls, Chipkarten, Festplatten, Passwortmanager, Produkte mit VPN-Funktion, Webbrowser, Antivirenprogramme, Betriebssysteme, Smart Meter und vieles mehr. Der CRA findet keine Anwendung auf Produkte, die bereits unter andere Vorschriften fallen. Das sind zum Beispiel Medizinprodukte, Produkte der Luftfahrt, Kraftfahrzeuge und andere.

Die wichtigsten Inhalte und Anforderungen des Cyber Resilience Act

Abhängig von der Kritikalität eines Produkts und dem Wirtschaftsakteur, ob Hersteller, Importeur oder Händler, sind bestimmte Anforderungen zu erfüllen. Der CRA unterteilt die Produkte mit digitalen Komponenten entsprechend ihrer Funktionalität und Verwendung in verschiedene Kritikalitätsklassen. Neben den unkritischen Produkten gibt es die kritischen Produkte der Klasse 1 und der Klasse 2 (hochkritisch). Je kritischer ein Produkt, desto höher sind die zu erfüllenden Anforderungen.

Hersteller sind durch den Cyber Resilience Act dazu verpflichtet, eine Konformitätsbewertung ihrer Produkte durchzuführen, die die Einhaltung der Cybersicherheitsanforderungen sicherstellt. Diese Konformitätsbewertung kann der Hersteller bei Produkten der Klasse 1 selbst durchführen. Bei Klasse-2-Produkten ist für die Konformitätsbewertung eine unabhängige dritte Partei erforderlich.

Weitere Anforderungen des CRA sind zum Beispiel:

• Bereitstellung klar verständlicher, nachvollziehbarer und lesbarer Gebrauchsanweisungen

• Durchführung einer Risikobewertung zur Cybersicherheit des Produkts über den kompletten Lebenszyklus

• regelmäßig zu aktualisierende technische Dokumentationen über die Sicherstellung der grundlegenden Anforderungen des Cyber Resilience Act

• Anbringen einer CE-Kennzeichnung

• Bereitstellung von Updates für das digitale Produkt (über mindestens fünf Jahren nach dem Inverkehrbringen)

• Rückruf oder Nachbesserung des Produkts bei Nichteinhaltung der Cybersicherheitsanforderungen

• Sicherstellung durch die Importeure und Händler, dass Hersteller den Verpflichtungen des CRA nachgekommen sind

• Angabe des Namen und der Kontaktmöglichkeiten des Importeurs auf dem Produkt

• Sicherstellung durch Händler, dass der Importeur seine Kontaktdaten angegeben hat

• Verpflichtung zur Information über behobene Schwachstellen oder Cybersicherheitsvorfälle

• Meldung von Cybersicherheitsvorfällen und aktiv ausgenutzten Schwachstellen innerhalb von 24 Stunden an die europäische Agentur für Cybersicherheit (ENISA)

Ablauf bis zum Inkrafttreten des Cyber Resilience Act

Der Entwurf des Cyber Resilience Act wurde im September 2022 vorgestellt. Am 30. November 2023 wurde im Trilog der Europäischen Kommission, des Europäische Parlaments und des Rats der Europäischen Union eine Einigung über den CRA erzielt. Die endgültige formelle Verabschiedung ist für Anfang 2024 geplant. Die Vorgaben des CRA treten anschließend für Hersteller, Importeure und Händler mit einer Übergangsfrist von 36 Monaten in Kraft. Für bestimmte Anforderungen, zum Beispiel für die Meldepflichten, bestehen kürzere Übergangsfristen. Für Unternehmen ist seitens der EU-Kommission die Bereitstellung von Leitfäden zur Umsetzung vorgesehen.

(ID:49849524)