Die CRA erkennt an, dass Hersteller entlang der gesamten Lieferkette für die Sicherheitsergebnisse verantwortlich sind.
Deshalb adressiert die CRA nicht nur Endprodukte wie Smartphones oder Apps, sondern auch Komponenten wie Chips und Betriebssysteme.
Was sind die wichtigsten Regeln?
Unternehmen, die Hard- und Softwareprodukte verkaufen, müssen sicherstellen, dass Hard- und Software grundsätzlich sicher ist. Dazu gehören beispielsweise Anforderungen an die standardmäßige Sicherheit (kein „Passwort“ mehr als Standardpasswort), die Zugangskontrolle, die Verwendung von Kryptographie sowie automatische Aktualisierungen. Darüber hinaus müssen die Hersteller ihre Produkte so lange warten, wie das Produkt voraussichtlich verwendet wird.
Vor dem Inverkehrbringen
Der erste Schritt für den Hersteller besteht darin, eine Risikobewertung durchzuführen, auf deren Grundlage er festlegen muss, wie die entsprechenden grundlegenden Cybersicherheitsanforderungen umzusetzen sind. Harmonisierte Normen können die Hersteller bei dieser Aufgabe weiter unterstützen. Der Hersteller muss in der technischen Dokumentation erläutern, wie er angemessene Cybersicherheitsanforderungen erfüllt, und ein Konformitätsbewertungsverfahren durchführen.
Bei der Platzierung auf dem Markt
Am Ende des Prozesses kann der Hersteller die CE-Kennzeichnung anbringen und seinen Produkten eine Konformitätserklärung beifügen. Darüber hinaus muss der Hersteller den Unterstützungszeitraum angeben, d. h. wie lange das Produkt unterstützt wird, und Informationen und Anweisungen für die Verwendung des Produkts bereitstellen.
Nach der Platzierung auf dem Markt
Der Hersteller muss Schwachstellen für den angegebenen Supportzeitraum behandeln und aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die die Sicherheit des Produkts beeinträchtigen.
Die obige Abbildung fasst die Umsetzungsschritte eines Herstellers im Rahmen der CRA zusammen.
Einschlägige Kooperationsstellen
Die Expertengruppe für die Cybersicherheit von Produkten mit digitalen Elementen (CRA-Expertengruppe) berät die Europäische Kommission bei der Ausarbeitung von Leitlinien und bei der Ausarbeitung von Durchführungsrechtsakten und delegierten Rechtsakten zur Unterstützung des Cyberresilienzgesetzes.
Referenzdokumente und Links
Häufig gestellte Fragen zur CRA-Umsetzung
Leitlinien der Kommission zur Ratingagentur
ENISA Secure by Design und Standard-Playbook
Nationale Ressourcen für die Umsetzung von Ratingagenturen
Eine nicht erschöpfende Liste von Materialien, die von den Mitgliedstaaten zur Unterstützung der Umsetzung der Ratingagenturen veröffentlicht wurden, umfasst:
Belgien
Anleitung in Niederländisch, Französisch und Deutsch
Deutschland
Anleitung in deutscher Sprache (einschließlich einer technischen Leitlinie) und in englischer Sprache (einschließlich einer technischen Leitlinie)
Niederlande
Guidance auf Niederländisch
Polen
Anleitung auf Polnisch
Die Kommission ist nicht verantwortlich für die Richtigkeit der in den obigen Links bereitgestellten Informationen. Die Vertreter der Mitgliedstaaten werden gebeten, sich an cnect-cra@ec.europa.eu zu wenden, wenn sie ihre nationalen Ressourcen auflisten möchten.
Zugehöriger Inhalt
Gesamtbild