Cyber Resilience Act

Security by Design und grundlegende Sicherheitsanforderungen

Der CRA verlangt, dass Produkte mit digitalen Elementen nach dem Grundsatz Security by Design und Security by Default entwickelt und hergestellt werden. Anhang I Teil I definiert die grundlegenden Sicherheitseigenschaften des Produkts, von sicheren Voreinstellungen über Datenschutz durch Technik bis zur Minimierung der Angriffsfläche. Grundlage ist eine dokumentierte Cybersicherheits-Risikobewertung.

CRAArt. 13 CRA, Anhang I Teil I

Warum diese Pflicht wichtig ist

Diese Anforderungen sind der inhaltliche Kern des CRA. Ohne eine dokumentierte Risikobewertung und nachweislich umgesetzte Sicherheitsmerkmale lässt sich keine Konformität erklären und keine CE-Kennzeichnung anbringen. Verstöße gegen Anhang I gehören zur höchsten Bußgeldstufe.

So setzen Sie die Pflicht um

01Cybersicherheits-Risikobewertung je Produkt durchführen und dokumentieren
02Produkt ohne bekannte ausnutzbare Schwachstellen ausliefern
03Sichere Standardkonfiguration (Security by Default) einstellen, inklusive Möglichkeit zum Zurücksetzen
04Angriffsfläche minimieren, Daten schützen (Vertraulichkeit, Integrität) und Zugriffe kontrollieren
05Sorgfaltspflicht bei Drittkomponenten wahrnehmen (auch Open-Source-Bestandteile)

Diese Nachweise sind gefragt

Dokumentierte Cybersicherheits-Risikobewertung je Produkt
Nachweis der umgesetzten Anforderungen aus Anhang I Teil I
Dokumentation der eingesetzten Drittkomponenten und ihrer Bewertung

Häufige Fehler

Sicherheit als NachgedankeSicherheitsfunktionen werden erst am Ende der Entwicklung ergänzt, statt sie von Beginn an einzuplanen. Das widerspricht dem Security-by-Design-Grundsatz.

Unsichere VoreinstellungenProdukte werden mit Standardpasswörtern oder offenen Diensten ausgeliefert. Der CRA verlangt sichere Voreinstellungen ab Werk.

Begriffe zum Nachschlagen

Diese Begriffe aus dem Compliance-Lexikon vertiefen den Bereich:

Cyber Resilience Act (CRA)Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der sicheren Entwicklung über das Schwachstellenmanagement bis zur CE-Kennzeichnung.SBOM (Software Bill of Materials)Eine SBOM (Software Bill of Materials) ist ein strukturiertes Verzeichnis aller Software-Bestandteile eines Produkts, einschließlich Fremd- und Open-Source-Komponenten. Sie ist Grundlage, um Schwachstellen schnell zuzuordnen.

Häufig gestellte Fragen

Was bedeutet Security by Design im CRA?

Sicherheit muss von der Konzeption an in Entwurf, Entwicklung und Produktion eingeplant werden, nicht erst nachträglich. Grundlage ist eine dokumentierte Risikobewertung, aus der die konkreten Sicherheitsmaßnahmen abgeleitet werden.

Was steht in Anhang I des CRA?

Teil I beschreibt die grundlegenden Sicherheitseigenschaften des Produkts, Teil II die Anforderungen an das Schwachstellenmanagement des Herstellers.

Muss ich Open-Source-Komponenten prüfen?

Ja. Der Hersteller trägt die Sorgfaltspflicht für alle integrierten Komponenten, auch quelloffene. Eine Software-Stückliste (SBOM) hilft, den Überblick zu behalten.

Kostenloser Check

Ihren CRA-Handlungsbedarf klären

Der kostenlose CRA-Check zeigt in wenigen Minuten, welche Pflichten für Ihre Produkte und Ihre Rolle gelten und wo Sie jetzt ansetzen sollten.

CRA-Check gratis Demo buchen

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten