Stimmen

Stimmen zum Cyber Resilience Act.

Das Ziel des Cyber Resilience Act findet breite Unterstützung: Produkte mit digitalen Elementen sollen sicherer entwickelt und Schwachstellen während ihres Lebenszyklus wirksam behandelt werden. Diskutiert wird vor allem, wie die umfangreichen Vorgaben praktisch umgesetzt werden können – insbesondere von KMU, Herstellern mit grossen Produktportfolios und Open-Source-Organisationen.

Warum der CRA unterstützt wird

Vor dem CRA fehlte ein umfassender horizontaler EU-Rechtsrahmen mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Erwägungsgrund 1 nennt als zentrale Probleme das geringe Cybersicherheitsniveau vieler Produkte, verbreitete Schwachstellen sowie unzureichend und uneinheitlich bereitgestellte Sicherheitsupdates. Hinzu kommen fehlende Informationen, die Nutzern die Auswahl und sichere Verwendung geeigneter Produkte erschweren.

Der CRA setzt deshalb stärker bei den Herstellern an: Sicherheitsanforderungen sollen bereits bei Entwicklung und Herstellung berücksichtigt und Schwachstellen über den Unterstützungszeitraum hinweg behandelt werden.

Das BSI unterstützt die praktische Vorbereitung mit der Technischen Richtlinie TR-03183. Ihre drei Teile behandeln allgemeine Anforderungen an Hersteller und Produkte, formelle und technische Anforderungen an eine SBOM sowie den Umgang mit eingehenden Schwachstellenmeldungen. Die Richtlinie wird fortlaufend weiterentwickelt.

Auch der TÜV-Verband begrüsste die Einführung verbindlicher Anforderungen grundsätzlich. Johannes Kröhnert erklärte am 1. Dezember 2023:

„Es ist richtig und wichtig, endlich verpflichtende Vorgaben für die Cybersicherheit vernetzter Produkte in der EU einzuführen.“

Zugleich forderte der Verband ein ambitionierteres Regelwerk und eine schnellere Anwendung.

Wo Kritik ansetzt

Open-Source-Organisationen warnten während des Gesetzgebungsverfahrens davor, etablierte Formen gemeinschaftlicher Softwareentwicklung unbeabsichtigt zu beeinträchtigen. Eine von der Eclipse Foundation, der Linux Foundation Europe und weiteren Organisationen unterzeichnete Stellungnahme forderte, die Besonderheiten freier und quelloffener Software stärker zu berücksichtigen.

Die verabschiedete Verordnung unterscheidet deshalb zwischen freier und quelloffener Software, die im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt wird, und nichtkommerzieller Open-Source-Entwicklung. Für Verwalter quelloffener Software im Sinne von Art. 3 Nr. 14 CRA gilt nach Art. 24 ein eigener, auf ihre Rolle zugeschnittener Pflichtenrahmen. Nicht jede Stiftung, jeder Verein oder jedes Open-Source-Projekt ist automatisch ein solcher Verwalter.

Auch Industrieverbände unterstützen das Ziel einheitlicher Cybersicherheitsanforderungen, weisen jedoch auf Schwierigkeiten bei der Umsetzung hin. Bitkom fordert unter anderem realistische Zeitpläne, rechtzeitig verfügbare harmonisierte Normen, klare Übergangsregelungen und eine praktikable Behandlung bestehender Produkte. Der ZVEI warnt insbesondere vor dem Umfang der erforderlichen Anpassungen bei grossen Produktportfolios und möglichen Auswirkungen auf Lieferketten.

Was das für KMU bedeutet

Der Aufwand lässt sich nicht mit einem allgemeingültigen Betrag beziffern. Er hängt unter anderem von der Zahl und Komplexität der Produkte, den vorhandenen Entwicklungs- und Sicherheitsprozessen, der Lieferkette und dem erforderlichen Konformitätsbewertungsverfahren ab.

Für KMU ist deshalb entscheidend, frühzeitig den eigenen Anwendungsbereich zu klären, Produkte und Verantwortlichkeiten zu erfassen sowie Prozesse für SBOM, Schwachstellenbehandlung, Meldungen und technische Dokumentation aufzubauen. Bereits vorhandene Sicherheits- und Qualitätsprozesse können dabei weiterverwendet werden, müssen aber gegen die konkreten CRA-Anforderungen geprüft werden.

Unsere Einschätzung

Der CRA schafft einen verbindlichen Rahmen für die Cybersicherheit von Produkten mit digitalen Elementen. Für Hersteller bedeutet das zusätzlichen organisatorischen und technischen Aufwand. Gleichzeitig entstehen nachvollziehbare Prozesse und Unterlagen, die auch bei Kundenanfragen, Lieferantenprüfungen und internen Freigaben hilfreich sein können.

Je nach Standort und Vorhaben kommen Beratungs-, Innovations- oder Digitalisierungsprogramme als Unterstützung infrage. Offene und angekündigte Programme führen wir in unserer vierzehntäglich geprüften Förderübersicht auf.

Aktuelle Förderprogramme ansehen →

Methodik

Diese Einordnung stützt sich auf den offiziellen Verordnungstext und die nachfolgend verlinkten Veröffentlichungen. Stellungnahmen von Verbänden und Organisationen geben die Position der jeweiligen Herausgeber wieder. Massgeblich bleibt der veröffentlichte Verordnungstext.

Quellen: