EU-VerordnungEU-Markt
CRA
Cyber Resilience Act (EU) 2024/2847
Der Cyber Resilience Act legt grundlegende Cybersicherheitsanforderungen an Hardware- und Softwareprodukte fest, die auf den EU-Markt gebracht werden, und Pflichten zur Schwachstellenbehandlung für ihre Hersteller über den Unterstützungszeitraum. Die Meldepflichten gelten ab dem 11. September 2026, die vollständige Verordnung ab dem 11. Dezember 2027.
Wen es erreicht
- Hersteller von Software und vernetzter Hardware, die in der EU verkauft wird, wo immer sie ihren Sitz haben.
- Importeure und Händler solcher Produkte.
- Open-Source-Verwalter, unter einem leichteren Regime, wo Software in einem gewerblichen Kontext entwickelt wird.
Was das Audit prüft
- 01Standardprodukte: Selbstbewertung gegen Anhang I, technische Dokumentation und eine EU-Konformitätserklärung mit CE-Kennzeichnung.
- 02Wichtige Produkte der Klasse I: harmonisierte Normen oder Bewertung durch Dritte; Produkte der Klasse II und kritische Produkte: Bewertung durch eine notifizierte Stelle.
- 03Bereitschaftsaudits prüfen den sicheren Entwicklungszyklus, die SBOM, die Schwachstellenbehandlung und die Zusagen zum Unterstützungszeitraum.
Ein typischer Auftrag
Die Dauern sind Spannen aus der Praxis für eine mittelgroße Organisation mit einer funktionierenden Sicherheitsfunktion; ein erstes Programm dauert länger, ein reifes kürzer.
| Phase | Wochen |
|---|---|
| Produkteinstufung | 1 bis 3 |
| Lückenanalyse gegen Anhang I | 2 bis 4 |
| Sichere Entwicklung, SBOM, Schwachstellenbehandlung | 12 bis 36 |
| Konformitätsbewertung und Dokumentation | 4 bis 12 |
Nachweise, die bereitliegen sollten
- Produkteinstufung mit Begründung
- Cybersicherheits-Risikobewertung für das Produkt
- Aufzeichnungen des sicheren Entwicklungszyklus
- Software-Stückliste (SBOM)
- Richtlinie zur koordinierten Offenlegung von Schwachstellen und Kontaktstelle
- Prozess für Sicherheitsupdates und Erklärung zum Unterstützungszeitraum
- Technische Dokumentation nach Anhang VII
- EU-Konformitätserklärung
- Meldeprozess für Vorfälle und ausgenutzte Schwachstellen
Termine
- Meldepflichten des CRA gelten
- CRA gilt vollständig
Häufige Fragen
- Fällt SaaS unter den CRA?
- Als Produkt überwiegend nicht, es sei denn, es ist eine Fernverarbeitung, von der ein Produkt abhängt. Software, die Sie an Kunden ausliefern, einschließlich Client-Anwendungen und On-Premise-Komponenten, fällt darunter.
- Was muss wann gemeldet werden?
- Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden nach Kenntnis an die ENISA und das nationale CSIRT gemeldet werden, mit Folgemeldungen nach 72 Stunden und 14 Tagen.