Verstöße gegen den CRA können die CE-Kennzeichnung kosten

Im März 2024 hat das Europäische Parlament den Cyber Resilience Act verabschiedet. Die finale Version wird in den nächsten Wochen veröffentlicht. Hersteller, Importeure und Händler sollten bereits jetzt Prozesse schaffen und automatisieren. [...]

„Unternehmen sollten zeitnah prüfen, inwieweit die Anforderungen des Cyber Resilience Act die eigenen Produkte betreffen und wie schnellstmöglich eine umfassende Konformität sichergestellt werden kann“, fordert Cybersecurity-Experte Jan Wendenburg, Geschäftsführer von ONEKEY, Unternehmen zum Handel auf. Dazu seien Anpassungen in den eigenen Produktions- und Entwicklungsprozessen notwendig, die auf Basis der neuesten Iterationen nun besser greifbar sind, so der ONEKEY-Chef, dessen Unternehmen mit Sitz in Düsseldorfer eine Lösung zum Patent angemeldet hat, die Herstellern, Importeuren und Verkäufern von Technologieprodukten mit digitalen Elementen wesentliche Schritte erleichtert: den sogenannten Compliance Wizard, der eine umfassende Cybersicherheitsbewertung von Produkten ermöglicht. Durch die Kombination von automatischer Schwachstellenerkennung, CVE-Priorisierung und Filterung mit einem ganzheitlichen, interaktiven Compliance-Fragebogen werden Aufwand und Kosten von Cybersicherheits-Complianceprozessen deutlich reduziert. Die von der EU angedrohten Sanktionen bei Sicherheitslücken sind empfindlich – und umfassen neben Bußgeldern für Unternehmen auch Geldstrafen für Geschäftsführer. Herstellern, Händlern und Importeuren kann auch die CE-Kennzeichnung entzogen werden: Das bedeutet einen Verkaufsstopp auf dem gesamten EU-Markt.

CRA Readiness Assessment

Mit dem CRA wird das Prinzip Security by Design Gesetz: Künftig reicht es nicht mehr aus, die Konformität eines Produkts mit digitalen Elementen erst zum Zeitpunkt des Inverkehrbringens sicherzustellen. Vielmehr ist eine kontinuierliche Risikobewertung erforderlich – und die sofortige Behebung von Sicherheitslücken. Beim Zukauf von Komponenten von Drittanbietern und Open-Source-Komponenten müssen Hersteller eine Due Diligence durchführen, um das Endprodukt durch den Einbau dieser Bestandteile nicht zu gefährden. Bislang fehlten den Unternehmen jedoch viele Informationen über die grundlegenden Anforderungen des CRA sowie einheitliche Standards. Auch das soll sich nun ändern: „Die EU-Kommission hat bereits horizontale Standards für zentrale Tätigkeiten und Sicherheitsanforderungen sowie vertikale Standards für wichtige und kritische Produkte – insgesamt 42 – angekündigt. Damit – und mit den entsprechenden Tools wie unserem Compliance Wizard – können Unternehmen schneller analysieren, was umgesetzt werden muss, um Compliance mit dem CRA zu erreichen“, erklärt Jan Wendenburg. Damit nicht genug, könnten Unternehmen, die auf der sicheren Seite sein wollen, zudem ein CRA Readiness Assessment durch das Expertenteam von ONEKEY buchen.

Dokumentationspflicht mit SBOM

Im Rahmen der Dokumentationspflicht müssen die Hersteller künftig auch die Software Bill of Materials (SBOM) führen und generell die gesamte Lieferkette hinsichtlich der Sicherheit von Produkten und Komponenten analysieren. Automatisierung ist hier der Schlüssel für produktgerechte Prozesse, die sich nicht negativ auf die Handelspreise auswirken. Bei diesem digitalen Dokument handelt es sich um eine Gesamtliste aller in einem Produkt verwendeten Softwarekomponenten – auch der versteckten. „Hersteller, Importeure und Händler sollten wissen, dass diese SBOM immer aktuell sein muss. Jeder Patch oder jedes Update erfordert daher eine idealerweise automatisierte Aktualisierung der SBOM“, rät Wendenburg. Mit dem Compliance Wizard wird eine SBOM automatisch erstellt und kann jederzeit ebenso automatisiert gepflegt werden. Zudem ist vielen Unternehmen noch nicht klar, was alles unter den Begriff „Produkte mit digitalen Elementen“ fällt: „Mobile Geräte wie Laptops, Smartwatches, Smart-Home-Devices wie Thermostate oder intelligente Stromzähler und vor allem der immens große und besonders risikobehaftete Bereich der industriellen Steuerungen bis hin zum Kraftfahrzeug fallen darunter“, so Jan Wendenburg, und fasst zusammen: „Also alles, was mit einem IT-Netzwerk oder dem Internet verbunden ist.“