Cyber Resilience Act-Umsetzung – Was auf Unternehmen zukommt
1. Was ist der CRA und warum jetzt handeln?
Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und schreibt erstmals EU-weit verbindliche Cybersicherheitsstandards für alle Produkte mit digitalen Elementen vor – von Smart-Home-Geräten über Software bis zu industriellen Steuerungen.
Wichtige Fristen:
- Ab September 2026: Meldepflichten für Schwachstellen beginnen
- Ab Dezember 2027: Vollständige Anwendung aller CRA-Anforderungen
Was bedeutet das konkret?
Hersteller, Importeure und Händler müssen nachweisen, dass ihre Produkte sicher entwickelt wurden, Schwachstellen schnell beheben und transparent dokumentieren, welche Software-Komponenten verwendet werden. Verstöße können Bußgelder bis 15 Millionen Euro oder 2,5% des Jahresumsatzes nach sich ziehen.
2. Unsere Beratungsleistung: Drei zentrale Bausteine
Wir begleiten Sie in drei Kernbereichen:
Baustein 1: Governance und Risikomanagement
Worum geht es?
Der CRA gibt vor, dass alle vernetzten Produkte erfasst und deren Risiken bewertet werden sollen.
Was wir gemeinsam erarbeiten:
- Welche Ihrer Produkte fallen unter den CRA? (z.B. Software, vernetzte Hardware, IoT-Geräte)
- Welche Rolle haben Sie? (Hersteller, Importeur, Händler)
- Welche Produktkategorie liegt vor? (Standard, wichtig, kritisch – bestimmt den Prüfaufwand)
- Wie bewerten wir Cybersicherheitsrisiken systematisch?
- Welche Sicherheitsmaßnahmen (Controls) sind für Ihre Produkte erforderlich?
Arbeitsaufteilung:
- Wir (Kanzlei): Moderieren Workshops, bewerten rechtliche Anforderungen, entwickeln Risiko-Framework und Governance-Struktur
- Sie (Inhouse): Stellen Produktinformationen bereit, benennen interne Verantwortliche, setzen technische Maßnahmen um
Ergebnis:
Klare Roadmap mit Prioritäten, Risikobewertung für Ihre Produkte, Definition von Sicherheitsstandards
Baustein 2: Software-Transparenz (SBOM)
Worum geht es?
Der CRA verlangt eine „Software Bill of Materials“ (SBOM) – eine maschinenlesbare Liste aller Software-Komponenten in Ihrem Produkt. Wie eine Zutatenliste bei Lebensmitteln, nur für Software.
Was wir gemeinsam erarbeiten:
- Welches SBOM-Format nutzen Sie? (CycloneDX oder SPDX – internationale Standards)
- Welche Informationen müssen dokumentiert werden? (Komponenten-Name, Version, Hersteller, Lizenzen, Sicherheits-Hashes)
- Wie automatisieren Sie die SBOM-Erstellung im Entwicklungsprozess?
- Was verlangen Sie von Ihren Zulieferern? (SBOM-Lieferpflicht vertraglich vereinbaren)
- Wann und wie veröffentlichen Sie SBOMs? (öffentlich, auf Anfrage, nur an Behörden?)
Arbeitsaufteilung:
- Wir (Kanzlei): Definieren rechtliche Mindestanforderungen, erstellen Vertragsklauseln für Lieferanten und Kunden, prüfen SBOM-Inhalte rechtlich (Lizenzkonformität, Geschäftsgeheimnisse)
- Sie (Inhouse): Wählen Tools aus, integrieren SBOM-Erstellung in Build-Prozesse, pflegen Komponenten-Datenbanken
Ergebnis:
SBOM-Prozess mit automatisierter Generierung, Vertragsvorlagen für Lieferkette, erste Muster-SBOMs
Baustein 3: Schwachstellenmanagement
Worum geht es?
Der CRA verlangt strukturierte Prozesse zum Umgang mit Sicherheitslücken: Wie nehmen Sie Meldungen entgegen? Wie schnell reagieren Sie? Wie informieren Sie Kunden?
Was wir gemeinsam aufbauen:
A) Kontaktstrukturen
- security.txt-Datei: Standardisierte Datei auf Ihrer Website mit Kontaktdaten für Sicherheitsforscher (Pflicht nach CRA)
- Schwachstellen-Website: Zentrale Seite mit allen Meldekanälen, auch anonymes Webformular
- PSIRT und CSIRT: Zwei Teams mit klaren Rollen:
- PSIRT = Product Security (kümmert sich um Schwachstellen in Ihren Produkten)
- CSIRT = Corporate Security (kümmert sich um Schwachstellen in Ihrer IT-Infrastruktur)
B) CVD-Richtlinie (Coordinated Vulnerability Disclosure)
Eine veröffentlichte Richtlinie, die Sicherheitsforschern erklärt:
- Wie melden sie Schwachstellen? (E-Mail, Webformular, verschlüsselt)
- Was passiert dann? (Reaktionszeiten: erste Antwort innerhalb 5 Tagen, detailliertes Feedback innerhalb 10 Tagen)
- Wann werden Schwachstellen veröffentlicht? (Regel: 90 Tage, verlängerbar)
- Was ist erlaubt beim Testen? (keine Angriffe auf Dritte, kein Datendiebstahl)
- Gibt es Belohnungen? (Bug-Bounty-Programme sind freiwillig, aber empfohlen)
C) Behördenmeldungen
Bei kritischen Schwachstellen müssen Sie das deutsche CERT-Bund (IT-Notfallteam des Bundes) informieren:
- 24 Stunden: Erste Warnung
- 72 Stunden: Detaillierte Meldung
- 14 Tage: Abschlussbericht mit Lösungsmaßnahmen
Arbeitsaufteilung:
- Wir (Kanzlei): Erstellen CVD-Richtlinie, definieren Prozesse, prüfen rechtliche Aspekte (z.B. wann keine Strafanzeige gegen Melder?), begleiten bei CERT-Bund-Meldungen
- Sie (Inhouse): Richten technische Infrastruktur ein (E-Mail-Postfächer, Verschlüsselung, Ticketsystem), bearbeiten eingehende Meldungen, entwickeln Sicherheitspatches
Ergebnis:
Veröffentlichte CVD-Richtlinie, funktionsfähige Meldewege, geschulte Teams