Der Cyber Resilience Act ist eine EU-Verordnung, die sich mit der IT-Sicherheit digitaler Produkte beschäftigt. Wir haben uns die Pflichten für Hersteller und deren Auswirkungen auf Produkte näher angeschaut.
Der Cyber Resilience Act (CRA) formuliert verbindliche Mindestanforderungen für die Cybersicherheit digitaler Produkte und schafft als EU-Verordnung einen einheitlichen Rechtsrahmen. Doch was genau meint digitale Produkte? Prinzipiell geht es hier um alle Geräte, die auf digitalem Weg kommunizieren könnten. Im Zeitalter von IoT, Smart Home und Bluetooth sind das sehr viele Produkte.
In Kraft getreten ist der CRA bereits am 10. Dezember 2024. Allerdings gewährt die Verordnung eine Übergangsfrist bis zum 11. Dezember 2027. Damit möchte die EU den Unternehmen ausreichend Zeit gewähren, damit sie die erforderlichen Anpassungen an Produkten und Abläufen vornehmen können.
Nach der Übergangsfrist dürfen in der EU nur noch solche digitale Produkte neu auf den Markt gebracht werden, die alle Anforderungen des CRA erfüllen. Beispielweise muss für die zu erwartende Lebensdauer des Produkts bzw. einen angegebenen Supportzeitraum eine wirksame Versorgung mit Sicherheitsupdates sichergestellt sein. In Deutschland kümmert sich das BSI [1] um die Einhaltung der Vorschriften. Auf den Webseiten des BSI finden sich dazu zahlreiche interessante Beiträge.
Ein wichtiger Termin ist außerdem der 11. September 2026. Ab diesem Zeitpunkt gibt es eine Meldepflicht für Schwachstellen und Incidents. Beim CRA trägt der Hersteller die Verantwortung für alle Bestandteile seiner Produkte, sprich für die komplette Lieferkette. Das schließt zugekaufte Komponenten wie Chips und Steuergeräte ebenso ein wie Open-Source-Bestandteile und Softwarebibliotheken.
Zum CRA selbst gibt es zwei Anhäng...
[...]
Liebe Leserin, lieber Leser,
dieser Artikel ist derzeit nicht in vollem Umfang online zugänglich.
Sie haben die Möglichkeit, diesen Beitrag als PDF zu erwerben. Dazu nutzen Sie bitte die Box unter dem Artikel. Alternativ erweben Sie die Ausgabe als PDF in unserem Online-Shop.
LinuxUser-Artikel werden 12 Monate nach der Erstveröffentlichung automatisch freigeschaltet. Weitere Artikel aus der Zeitschrift LinuxUser 10/2025 finden Sie im Archiv.
