Das müssen Sie über den Cyber Resilience Act wissen

Die neuen Vorschriften, die seit dem 10. Dezember 2024 in Kraft sind, sollen die Sicherheit von digitalen Produkten gewährleisten und verbessern.

Unser tägliches Leben ist von vielen digitalen Anwendungen geprägt. Die meisten von uns wachen mit dem Wecker auf ihrem Telefon auf, und wenn wir bei der Arbeit ankommen, egal ob draußen oder am Schreibtisch, benutzen wir erneut allerlei Geräte. Aber wie sicher sind all diese Geräte, die mit dem Internet verbunden sind, wirklich?

Wenn wir diese Frage der Europäischen Kommission stellen würden, würde sie wahrscheinlich sagen, dass viele digitale Produkte definitiv nicht sicher genug sind. Und genau aus diesem Grund ist der Cyber Resilience Act (CRA) entstanden.

Was bedeutet das genau?

Die Urheber dieser neuen Gesetzgebung sind besorgt. Genauer gesagt: Sie machen sich Sorgen um uns. Denn sie glauben, dass wir uns der Sicherheitsrisiken, die von unseren digitalen Geräten ausgehen, nicht bewusst sind. 

Der Zweck des Cyber Resilience Act, zu Deutsch Cyberresilienzgesetz, ist daher, uns zu schützen. Das Gesetz wird dafür sorgen, dass Produkte mit einer digitalen Komponente besser überwacht werden. Außerdem müssen die Hersteller dieser Produkte noch stärker in die Verantwortung genommen werden.

Im Folgenden erfahren Sie, was Sie konkret über die neuen Rechtsvorschriften wissen müssen

• Cybersicherheit. Die CRA wird damit beginnen, Hersteller für Mängel in der Cybersecurity ihrer Produkte zur Verantwortung zu ziehen. Von nun an müssen Entwickler ihre Produkte und Software häufiger aktualisieren. So sollen sie die digitale Sicherheit ihrer Nutzer so weit wie möglich gewährleisten können.
• Unterstützung. Die CRA argumentiert, dass Käufer dieser Produkte und Software oft nicht richtig einschätzen können, wie sicher sie tatsächlich sind. Die neuen Anforderungen, die an die Hersteller gestellt werden, werden es den Käufern erleichtern, zu erkennen, welche Software- und Hardwareprodukte über die entsprechenden Cybersicherheitsmaßnahmen verfügen.
• Verstehen des Prozesses. Die Hersteller müssen klar darlegen, welche Schritte sie unternommen haben, um die Cybersicherheitsanforderungen zu erfüllen. Dies gilt übrigens für alle Phasen des Produkts: von der Planung über den Entwurf bis hin zur Entwicklung und Wartung. Sie müssen also in der Lage sein, über den gesamten Lebenszyklus des Produkts Rechenschaft abzulegen.
• Transparenz. Schließlich wird die Europäische Kommission die Hersteller verpflichten, die zuständigen Behörden über Zwischenfälle oder Schwachstellen in ihren Produkten zu informieren. Diese Transparenz muss gewährleisten, dass diese so schnell wie möglich behoben werden können.

Welche Produkte sind genau betroffen?

Die neuen Rechtsvorschriften gelten für alle Produkte, die direkt oder indirekt mit einem anderen Gerät oder einem Netz verbunden sind. Allerdings wird nicht jedes Produkt davon betroffen sein. Geräte im Gesundheitswesen müssen bereits seit einiger Zeit strenge Vorschriften einhalten. Die Entwickler dieser Soft- und Hardware werden daher nicht zur Verantwortung gezogen. Auch Open-Source-Software muss sich nicht an die neuen Vorschriften halten. 

Ein klarer Standard

Wenn Produkte nachweislich mit den neuen Vorschriften übereinstimmen, erhalten sie ein Gütesiegel. So können Käufer erkennen, dass sie die Vorschriften der CRA einhalten. 

Mit der Schaffung des Cyber Resilience Act hofft man, eine gerechtere Zukunft zu schaffen. Die Hersteller werden dafür verantwortlich gemacht, die digitale Sicherheit ihrer Produkte zu gewährleisten, damit die Käufer ihre Hard- und Software unbesorgt nutzen können. 

Die Agenda

Obwohl die Verordnungen bereits Ende 2024 in Kraft getreten sind, müssen die Hersteller und Entwickler alle Anforderungen „erst“ ab dem 11. Dezember 2027 erfüllen. Natürlich wird ihnen eine Vorbereitungszeit eingeräumt, genauer gesagt 18 Monate. In dieser Zeit werden sie an der Entwicklung bestimmter Standards arbeiten, damit jeder genau weiß, was er zu beachten hat. Es wird gehofft, dass diese bis Dezember 2026 konkret auf dem Papier stehen.

Schließlich sind die Hersteller bereits ab September 2026 verpflichtet, die oben genannten Vorfälle und Schwachstellen zu melden.

Quelle

European Commission: „Cyber Resilience Act" – 10. Dezember 2024