Ab September 2026 gilt das Gesetz zur Cyber-Resilienz (CRA) in Kraft treten. Er legt einheitliche Sicherheitsanforderungen für Hardware- und Softwareprodukte fest, die auf den EU-Markt gebracht werden. Ziel ist es, die Cyber-Resilienz von Produkten zu erhöhen, Risiken für Endkunden zu minimieren und den Schutz kritischer Infrastrukturen zu stärken. Für Unternehmen, die Software oder Hardware nutzen oder bereitstellen, bedeutet dies erhebliche Veränderungen – sowohl hinsichtlich der Einhaltung der Vorschriften als auch im Hinblick auf ihre eigene IT-Sicherheitsstrategie.
1. Wer ist vom CRA betroffen?
Die CRA richtet sich in erster Linie an:
- Hardwarehersteller: Alle Anbieter von elektronischen Geräten, die softwaregesteuert sind.
- Softwareentwickler und -anbieter: Anbieter von Standardsoftware, Betriebssystemen, Middleware und Komponenten, die in Produkte von Drittanbietern integriert sind.
Wesentliche Anforderungen:
- Produkte müssen so konzipiert sein, dass sie „cyberresilient“ sind.
- Sicherheitslücken müssen unverzüglich gemeldet und behoben werden.
- Hersteller müssen nachprüfbare Software-Stücklisten (SBOMs) vorlegen.
- Zum Schutz der Software-Lieferkette dürfen nur autorisierte Entwickler auf kritischen Quellcode zugreifen.
Unternehmen, die Produkte gemäß EU-Recht vertreiben oder verwenden, müssen daher sicherstellen, dass die von ihnen eingesetzte Software und Hardware CRA-konform ist.
2. Wesentliche Anforderungen des Gesetzes zur Cyber-Resilienz
Die CRA legt klare Sicherheitsanforderungen für Produkte fest:
- Sicherheit durch Design – Produkte müssen von Anfang an sicher sein.
- Patch-Management – Hersteller sind verpflichtet, Sicherheitsupdates innerhalb festgelegter Fristen bereitzustellen.
- Transparenz – Offenlegung der Komponenten (SBOM) zur Bewertung von Sicherheitsrisiken.
- Meldepflichten – Sicherheitsvorfälle müssen unverzüglich gemeldet werden.
Unternehmen, die ihre Systeme mit Lösungen absichern, die Zugriffskontrolle, Prüfpfade und eine sichere Softwarebereitstellung unterstützen, können bereits heute viele CRA-Anforderungen erfüllen.
3. Sicherung der Software-Lieferkette
Ein zentrales Thema des CRA ist die Sicherheit der Software-Lieferkette. Viele Sicherheitsvorfälle sind darauf zurückzuführen, dass Komponenten von Drittanbietern kompromittiert wurden. Zu den neuen Anforderungen gehören:
- Schutz des Quellcodes: Nur autorisierte Entwickler dürfen kritische Module ändern.
- SBOM-Verpflichtung: Software-Stücklisten müssen verfügbar und überprüfbar sein.
- Kontinuierliche Überwachung: Produkte müssen auf Schwachstellen überprüft werden.
Unternehmen, die Lösungen implementieren, welche die Integrität der SBOM gewährleisten und Zugriffsrechte streng kontrollieren, erfüllen eine zentrale Anforderung der CRA.
4. Sicherheit in der Lieferkette in der Praxis
Die CRA verpflichtet Unternehmen dazu, Risiken in der Lieferkette systematisch zu steuern, darunter:
- Überprüfung aller Software- und Hardware-Anbieter.
- Gewährleistung nachvollziehbarer Sicherheitsupdates.
- Erfassung aller kritischen Komponenten in einer SBOM.
Unternehmen, die Plattformen nutzen, welche die gesamte Lieferkette überwachen und dokumentieren, können die Einhaltung der CRA-Vorschriften rasch nachweisen.
5. Meldung von Sicherheitsvorfällen
Gemäß dem CRA gilt für Hersteller eine verbindliche Meldefrist für Sicherheitsvorfälle. Ziel ist es, Schwachstellen frühzeitig zu erkennen und zu beheben, bevor Endkunden davon betroffen sind.
Unternehmen profitieren von Tools, die eine automatisierte Erkennung und Meldung von Vorfällen ermöglichen und ihnen dabei helfen, gesetzliche Fristen einzuhalten.
6. Vorteile für Unternehmen
Unternehmen, die CRA-konforme Produkte einsetzen, profitieren von mehreren Vorteilen:
- Geringeres Risiko von Cyberangriffen.
- Einhaltung gesetzlicher Vorschriften und Vermeidung von Strafen.
- Kundenvertrauen durch nachweislich sichere Produkte.
- Vereinfachte Lieferkettenprüfungen dank Transparenz bei der Stückliste (SBOM).
7. Empfehlungen für das Jahr 2026
- Einführung von SBOMs: Dokumentieren Sie alle verwendeten Softwarekomponenten.
- Sichere Zugriffsrechte: Nur autorisierte Entwickler dürfen auf kritische Module zugreifen.
- Einrichtung von Überwachungs- und Berichterstattungsprozessen: Sicherheitsvorfälle automatisch erkennen und rechtzeitig melden.
- Überprüfen Sie die Lieferketten: Führen Sie regelmäßig Audits bei Subunternehmern und Drittanbietern durch.
- Updates und Patches verwalten: Führen Sie regelmäßige Wartungsarbeiten durch und beheben Sie Sicherheitslücken umgehend.
Durch den Einsatz von Lösungen, die diese Punkte abdecken, sind Unternehmen gut auf die CRA vorbereitet.
8. Wie die Lösungen von KOBIL Unternehmen im Zusammenhang mit der CRA unterstützen
Unternehmen stehen vor der Herausforderung, Software- und Hardwareprodukte transparent, sicher und CRA-konform bereitzustellen. KOBIL-Lösungen unterstützen Unternehmen dabei, die Integrität von Software-Stücklisten (SBOMs) sicherzustellen, Zugriffsrechte auf kritischen Quellcode zu kontrollieren und Änderungen rückverfolgbar zu dokumentieren. Sie ermöglichen eine zentralisierte Überwachung von Sicherheitsvorfällen und vereinfachen die zeitnahe Meldung an die Behörden. Durch diese Maßnahmen können Unternehmen ihre Software-Lieferketten schützen, Compliance-Anforderungen erfüllen und das Risiko von Cyberangriffen erheblich verringern, ohne den Betriebsablauf zusätzlich zu verkomplizieren.
Schlussfolgerung
Das Gesetz zur Cyber-Resilienz (Cyber Resilience Act, CRA) verschärft die Anforderungen an Software- und Hardwareanbieter erheblich. Für Unternehmen bedeutet dies mehr Transparenz, mehr Verantwortung sowie die Notwendigkeit, Lieferketten und Software kontinuierlich zu überwachen. In der Praxis sind Organisationen, die bereits Systeme zur Sicherung von SBOMs, zur Kontrolle von Zugriffsrechten und zur zentralen Meldung von Sicherheitsvorfällen einsetzen, gut aufgestellt, um die Anforderungen des CRA zu erfüllen.