Der Cyber Resilience Act (CRA) bringt verbindliche Sicherheitsanforderungen für viele Software und Hardwareprodukte.

 

Für Unternehmen stellt sich die Frage, wer fällt hier generell drunter und was muss man tun bis Ende 2027 um die Anforderungen des CRA zu erfüllen?

 

Nicht nur große Softwarehersteller, sondern auch kleinere Softwarehersteller, Reseller und MSPs können vom CRA betroffen sein, wenn sie digitale Produkte selbst entwickeln, unter eigener Marke auf den Markt bringen oder ein bestehendes Produkt wesentlich verändern.

 

Wer allerdings nur einen Managed Service auf Basis von erkennbarer Drittsoftware anbietet, wird nicht automatisch zum Hersteller.

 

Die entscheidende Frage ist also: Bringt ein Unternehmen ein digitales Produkt auf den Markt oder verkauft es lediglich eine Dienstleistung.

 

Fällt ein Unternehmen unter den CRA, muss es Cybersicherheit künftig stärker in den gesamten Produkt Lebenszyklus integrieren. Hierzu zählen insbesondere eine Cybersecurity Risikobewertung, Security by Design und eine sichere Standardkonfiguration, Schwachstellenmanagement, sichere Updateprozesse sowie eine Dokumentation eingesetzter Softwarekomponenten, beispielsweise über die SBOM (Software Bill of Materials).

 

Zudem müssen feste Supportzeiträume (Min. 5 Jahre) festgelegt werden, innerhalb dessen der Hersteller Schwachstellen wirksam behandeln muss.

 

Eine technische Dokumentation, eine Konformitätsbewertung, bei der festgestellt wird, ob eine Software grundlegende Sicherheitsanforderungen (keine bekannten Schwachstellen beim Release, geeignete Authentifizierung, Konfigurationsanleitungen für den Kunden)  erfüllt sowie die EU- Konformitätserklärung und CE Kennzeichnung müssen vorliegen.

 

Das Softwareunternehmen muss nachvollziehbar zeigen können, welche Risiken für ein Produkt bestehen, welche Schutzmaßnahmen umgesetzt wurden und wie Schwachstellen nach der Veröffentlichung behandelt werden.

 

Somit ist eines klar: die Verantwortung der Softwarehersteller endet nicht mit dem Release eines digitalen Produktes. Software zu veröffentlichen und nur nach Bedarf zu patchen reicht nicht mehr.

 

Daher ist es so wichtig, dass Hersteller wissen, welche Softwarebibliotheken und Komponenten in der Software enthalten sind, um im Falle einer Schwachstelle diese so schnell es geht zu schließen.