Gesetz zur Cyber-Resilienz in der Fertigungsindustrie:

Übersicht

Das Gesetz zur Cyber-Resilienz (Cyber Resilience Act, CRA), Verordnung (EU) 2024/2847, ist das erste horizontale Gesetz der EU, das eine „Secure-by-Design“-Cybersicherheit für Produkte vorschreibt, die ein digitales Element aufweisen oder enthalten (d. h. vernetzte hardware,software oder Fernverarbeitung von Daten) und in der EU in Verkehr gebracht werden, wobei die Einhaltung der Vorschriften direkt an die CE-Kennzeichnung geknüpft ist. Die Verordnung unterteilt die Verpflichtungen in Anforderungen an die Produktsicherheit bei der Konzeption (Anhang I, Teil I) und Anforderungen an den Umgang mit Schwachstellen während des Lebenszyklus (Anhang I, Teil II). 

In der Praxis müssen Hersteller Produkte ausliefern, bei denen der kryptografische Schutz für die Vertraulichkeit und Integrität der Daten standardmäßig aktiviert ist, die über kryptografisch verifizierte software und Firmware-Updates sowie einen sicheren Identitäts- und Authentifizierungsmechanismus verfügen – wobei all dies durch eine produktspezifische Cybersicherheits-Risikobewertung und nicht durch eine starre Checkliste begründet sein muss. 

Warum das wichtig ist 

Die CRA gilt im Wesentlichen für alle vernetzten Produkte oder „ software “, die in der EU verkauft werden: Die meisten Produkte fallen unter die Standardkategorie, während für wichtige (Klasse I und II) und kritische Produktkategorien wie Identitätsmanagementsysteme, VPN- software und Smart-Meter-Gateways strengere Auflagen gelten. 

Die grundlegenden Anforderungen müssen bis zum 11. Dezember 2027 vollständig umgesetzt sein, wobei die Meldepflichten für Sicherheitslücken und deren aktive Ausnutzung bereits früher, nämlich ab September 2026, in Kraft treten. Die Strafen belaufen sich auf 15 Millionen Euro oder 2,5 % des weltweiten Gesamtumsatzes, je nachdem, welcher Betrag höher ist, und nicht konforme Produkte verlieren die CE-Kennzeichnung, die für den Zugang zum EU-Markt erforderlich ist, wodurch dies ebenso sehr eine Frage des Marktzugangs wie der Sicherheit ist. 

Wie sich dies auf die Kryptografie übertragen lässt 

Die CRA behandelt das Thema Kryptografie im Rahmen mehrerer wesentlicher Anforderungen in Anhang I, darunter Vertraulichkeit, Integrität, sichere Standardeinstellungen und Authentizität von Aktualisierungen. Die wichtigsten Kontrollbereiche mit direkten kryptografischen Auswirkungen sind: 

Prüfungsbereitschaft 

Bei der Konformitätsbewertung gemäß der CRA – unabhängig davon, ob es sich um eine Selbsterklärung oder um eine Überprüfung durch eine benannte Stelle handelt – steht im Mittelpunkt, ob kryptografische Entwurfsentscheidungen dokumentiert, durch das Risiko begründet und nachweislich umgesetzt sind. Zu den wichtigsten Bereichen, die von Gutachtern und Marktüberwachungsbehörden geprüft werden, gehören: 

• Dokumentation der Risikobewertung: Hatdie Organisation eine produktspezifische Cybersicherheits-Risikobewertung durchgeführt und dokumentiert, die ihre Entscheidungen hinsichtlich des kryptografischen Designs begründet? 

• Geräteidentitätszuweisung: Wirdjedem Gerät während der Herstellung eine eindeutige kryptografische Identität zugewiesen, anstatt auf gemeinsam genutzte oder Standard-Anmeldedaten zurückzugreifen? 

• Signierte Update-Pipeline: Kanndie Organisation nachweisen, dass Firmware- und „ software “-Updates vor der Installation kryptografisch signiert und verifiziert werden, wobei automatische Updates standardmäßig aktiviert sind? 

• Bestandsaufnahme der kryptografischen Komponenten: Führtdas Unternehmen eine Bestandsaufnahme aller im Produkt eingebetteten kryptografischen Bibliotheken und Algorithmen, einschließlich der vererbten Abhängigkeiten? 

• Sicheres Löschen und Schlüsselvernichtung: Unterstütztdas Produkt das sichere Löschen von Daten, einschließlich der Vernichtung kryptografischer Schlüssel, im Rahmen einer Eigentumsübertragung oder Stilllegung? 

• Verpflichtungen hinsichtlich des Supportzeitraums: Istder vorgeschriebene Supportzeitraum für Sicherheitsupdates – mindestens fünf Jahre oder die erwartete Lebensdauer des Produkts, falls diese kürzer ist – dokumentiert und den Benutzern mitgeteilt worden? 

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Die CRA macht Cybersicherheit zu einer Voraussetzung für den Marktzugang: Ohne CE-Kennzeichnung kein Zugang zum EU-Markt. Ganz zu schweigen von Geldbußen in Höhe von bis zu 15 Millionen Euro oder 2,5 % unseres weltweiten Gesamtumsatzes. Jedes vernetzte Produkt, hardware oder software , das wir ausliefern, benötigt eine eindeutige Geräteidentität, signierte Firmware und standardmäßig aktivierte Verschlüsselung, gestützt durch Unterlagen, die belegen, dass wir das Risiko bewertet und das Produkt entsprechend konzipiert haben.

Wir haben bis Dezember 2027 Zeit, um die Anforderungen vollständig zu erfüllen, doch die Frist für die Meldung von Sicherheitslücken beginnt bereits viel früher, und 36 Monate vergehen schnell, wenn man die Neugestaltung von Produkten berücksichtigt, die ursprünglich nicht mit einer eindeutigen Identität oder einer Signatur-Pipeline entwickelt wurden. Wenn wir für ein Produkt kein kryptografisches Inventar erstellen können, können wir weder einer Aufsichtsbehörde noch uns selbst sagen, welche Risiken tatsächlich bestehen, wenn die nächste Sicherheitslücke auftritt.