CRA-Compliance: kostenlos klären, wie stark der CRA Ihr Produkt betrifft

Für welche Produkte gilt der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847 für die Cybersicherheit von Produkten mit digitalen Elementen: Ab dem 11. Dezember 2027 dürfen sie nur noch in Verkehr gebracht werden, wenn sie Anhang I erfüllen und die CE-Kennzeichnung tragen. Er gilt für jedes solche Produkt, das Sie in der EU verkaufen und das sich mit einem Gerät oder Netz verbindet (Art. 2).

Nicht betroffen sind Medizinprodukte, Fahrzeuge, Luftfahrt und Schiffsausrüstung, die eigene Regeln haben, sowie reines SaaS ohne Produkt beim Kunden; Cloud-Dienste ab mittlerer Unternehmensgröße regelt NIS2.

• Firmware und Embedded-Software
• Apps, Desktop- und On-Premise-Software
• vernetzte Geräte und separat verkaufte Komponenten
• ein selbst entwickelter Cloud-Teil, ohne den das Produkt eine seiner Funktionen nicht erfüllt

Was verlangt Anhang I konkret?

Anhang I hat zwei Teile: Sicherheitseigenschaften des Produkts und Prozesse für den Umgang mit Schwachstellen. In Entwicklersprache heißt das:

• keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen
• sichere Standardkonfiguration und Rücksetzen auf den Werkszustand
• Sicherheitsupdates, wo möglich automatisch und getrennt von Funktionsupdates
• Zugriffsschutz, Verschlüsselung und Integritätsschutz für Daten, Befehle und Konfiguration
• Protokollierung sicherheitsrelevanter Zugriffe, möglichst kleine Angriffsfläche
• Software-Stückliste (SBOM) in einem maschinenlesbaren Format
• Konzept für die koordinierte Offenlegung von Schwachstellen und eine Kontaktadresse für Meldungen

Welche Konformitätsbewertung brauche ich?

Das hängt von der Produktklasse ab. Entscheidend ist die Kernfunktion, nicht die verbauten Komponenten: Eine Maschine mit Betriebssystem ist kein „Betriebssystem“ (Art. 7 Abs. 1).

• Standardprodukt, also die meisten: der Hersteller bewertet selbst (Modul A) und bringt die CE-Kennzeichnung an
• wichtig, Klasse I (Anhang III), etwa Betriebssysteme und Router: selbst nur bei vollständiger Anwendung harmonisierter Normen oder einer Zertifizierung, sonst mit notifizierter Stelle
• wichtig, Klasse II (Anhang III), etwa Firewalls und Hypervisoren: immer notifizierte Stelle oder europäische Zertifizierung
• kritisch (Anhang IV), etwa Chipkarten: europäische Zertifizierung, wenn die Kommission sie vorschreibt, sonst wie Klasse II

Muss ich Produkte ändern, die ich schon verkaufe?

Das hängt davon ab, ob Sie Hardware oder reine Software verkaufen.

• Hardware: jedes Exemplar, das ab dem 11.12.2027 in Verkehr kommt, muss den CRA erfüllen, auch wenn der Typ älter ist
• ein Redesign ist aber nicht nötig, wenn die Risikobeurteilung zeigt, dass die vorhandenen Maßnahmen reichen (Leitfaden der Kommission)
• Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung brauchen Sie immer
• Software: eine vor dem 11.12.2027 angebotene Version fällt erst mit einer wesentlichen Änderung unter den CRA (Art. 69 Abs. 2)
• die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt schon jetzt für alle Produkte auf dem Markt