Was der Cyber Resilience Act verlangt
Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Verbindung zu einem Gerät oder Netz umfasst. Der Hersteller muss unter anderem:
- das Produkt mit einem den Risiken angemessenen Cybersicherheitsniveau entwickeln, ohne bekannte ausnutzbare Schwachstellen beim Verkauf;
- sichere Standardeinstellungen und Sicherheitsupdates für den Unterstützungszeitraum bereitstellen;
- Schwachstellen behandeln während dieses ganzen Zeitraums und die Softwarekomponenten dokumentieren;
- aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden.
Die wichtigen Termine
- 11. September 2026: Es gelten die Pflichten zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle.
- 20. Januar 2027: Die Maschinenverordnung gilt, mit ihren Anforderungen an den Schutz gegen Korrumpierung und an Steuerungen.
- 11. Dezember 2027: Alle übrigen Pflichten des CRA gelten.
Meldungen haben kurze Fristen in Stunden und Tagen: Ein fertiger Prozess sollte stehen, bevor man ihn braucht.
CRA und Maschinenverordnung
Die Maschinenverordnung hat eigene Anforderungen an den Schutz gegen Korrumpierung und an sicherheitsbezogene Steuerungen: Ein Angriff oder manipulierte Software dürfen nicht zu gefährlichen Situationen führen. Der CRA betrachtet die Cybersicherheit des Produkts allgemein, über seine ganze Lebensdauer. Beide können für dieselbe Maschine gelten.
Wenn Sie Bauteile mit digitalen Elementen kaufen, etwa SPS oder Industrierouter, haben deren Hersteller eigene Pflichten. Was Ihre Maschine braucht, ist mit Ihrem Berater zu bewerten.
Was in der Praxis zu tun ist
- Erfassen Sie die eingebaute Software und Firmware, nach Modell und nach Seriennummer.
- Legen Sie den Unterstützungszeitraum fest und wie Sicherheitsupdates verteilt werden.
- Richten Sie einen Kanal für Schwachstellenmeldungen und einen Prozess für fristgerechte Meldungen ein.
In TARGA hat jede Seriennummer die Historie der Softwareversionen mit Datum und Versionshinweisen, nützlich für den CRA wie für wesentliche Veränderungen.
Häufige Fragen
Gilt der Cyber Resilience Act schon?
Die Pflichten zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle gelten seit dem 11. September 2026. Die übrigen Pflichten gelten ab dem 11. Dezember 2027.
Fällt eine Maschine ohne Internetverbindung unter den CRA?
Der CRA gilt für Produkte, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Verbindung zu einem Gerät oder Netz umfasst, nicht nur zum Internet. Eine Serviceschnittstelle oder ein Werksnetz können genügen. Das ist im Einzelfall zu prüfen.
Wenn ich CRA-konforme SPS verwende, bin ich dann abgesichert?
Nicht unbedingt. Der SPS-Hersteller haftet für die SPS; wer die Maschine in Verkehr bringt, muss die Maschine als Ganzes bewerten, einschließlich der Software, Netze und Fernzugänge, die er hinzufügt.