EU-Kommission veröffentlicht Praxisleitfaden zum Cyber Resilience Act (CRA)

Dieser Artikel wurde bereits 68x gelesen...

Orientierung statt Paragraphen-Dschungel: Die Europäische Kommission hat ihren lang erwarteten Praxisleitfaden zum Cyber Resilience Act (CRA) vorgelegt. Mit 67 konkreten Praxisbeispielen, Flussdiagrammen und klaren Auslegungshilfen soll die Umsetzung des EU-Regelwerks vor allem für kleine und mittlere Unternehmen (KMU) spürbar erleichtert werden.

Der Cyber Resilience Act (Verordnung EU 2024/2847) verpflichtet Hersteller, Importeure und Händler erstmals europaweit zu grundlegenden Cybersicherheitsanforderungen über den gesamten Lebenszyklus von Produkten mit digitalen Elementen. Doch was bedeutet das konkret für die Entwicklung, das Patch-Management und Open-Source-Komponenten?

Um Unsicherheiten in der Industrie abzubauen, hat die EU-Kommission gemeinsam mit der Expertengruppe für Cybersicherheit und nach einer umfassenden Konsultation den neuen Praxisleitfaden erarbeitet. Die Botschaft aus Brüssel ist eindeutig: Der Leitfaden soll keine zusätzlichen bürokratischen Hürden aufbauen, sondern Unternehmen Schritt für Schritt durch die Anforderungen führen – ganz im Sinne einer „gelebten Vereinfachung“.

Das Wichtigste auf einen Blick: Was der Leitfaden klärt

• Anwendungsbereich & SaaS: Detaillierte Kriterien, wann Hardware- und Softwareprodukte (sowie eingebundene Fernverarbeitungs-/Cloud-Dienste) unter den CRA fallen.

• Wesentliche Änderungen: Wann erfordert ein Software-Update ein neues Konformitätsbewertungsverfahren – und wann reicht eine reguläre Wartung/Iteration aus?

• Support-Zeiträume: Orientierungswerte für den Support-Zeitraum von Sicherheitspatches (in der Regel mindestens 5 Jahre bzw. entsprechend der erwarteten Produktlebensdauer).

• Open Source Software: Präzise Abgrenzung zwischen rein nicht-kommerziellen Community-Projekten und kommerzieller Verwertung.

• Meldepflichten: Konkrete Vorgaben für Fristen und Inhalte bei der Übermittlung von ausgenutzten Schwachstellen an ENISA und nationale CSIRTs.

Fahrplan & Fristen: Wann wird es ernst?

Obwohl der Leitfaden selbst rechtlich nicht bindend ist, dient er Marktüberwachungsbehörden und notifizierten Stellen als primäre Orientierungshilfe. Daher sollten sich Unternehmen zügig an den Empfehlungen ausrichten, denn die gesetzlichen Fristen rücken näher:

Die Kernbereiche des Leitfadens im Detail

1. Abgrenzung & Fernverarbeitung (Remote Data Processing)

Ein zentraler Punkt ist die Definition, welche Cloud-Komponenten unter den CRA fallen. Reine SaaS-Angebote sind zwar grundsätzlich ausgenommen, doch sobald ein Cloud-Dienst für die Kernfunktion eines Hardware- oder Softwareprodukts erforderlich ist, wird er vom CRA mit erfasst.

2. Passgenaue Regelungen für Open Source

Für quelloffene Software gibt es Erleichterungen: Wer Open Source rein nicht-kommerziell entwickelt, ist vom CRA weitgehend ausgenommen. Erst bei einer gewerblichen Tätigkeit greifen verhältnismäßige Pflichten für Entwickler und Verwalter (Open Source Software Stewards).

3. Transparente Updates & Schwachstellen-Handling

Sicherheitsupdates müssen kostenlos und getrennt von funktionalen Feature-Updates bereitgestellt werden. Damit stellt die EU sicher, dass Nutzer nicht durch kostenpflichtige Upgrades von Sicherheitskorrekturen ausgeschlossen werden.

Wie bereitet sich Ihr Unternehmen auf den Cyber Resilience Act vor? Hinterlassen Sie uns gerne einen Kommentar oder kontaktieren Sie uns für eine Beratung!