Die Auswirkungen des neuen europäischen Gesetzes zur Cyber-Resilienz
Cyber-Bedrohungen nehmen zu, und Hersteller auf der ganzen Welt sehen sich gezwungen, ihre digitalen Schutzmaßnahmen zu verstärken. Die Schlagzeilen werden zumeist von aufsehenerregenden Datenschutzverletzungen beherrscht. Kleinere und mittelständische Unternehmen, insbesondere im verarbeitenden Gewerbe, sind jedoch ebenso gefährdet.
Als Reaktion auf diese wachsenden Bedenken verabschiedet die Europäische Union (EU) neue Cybersicherheitsvorschriften. Diese Cybersicherheitsgesetze werden sich erheblich auf die Entwicklung, die Produktion und den Verkauf von Produkten mit digitalen Komponenten innerhalb ihrer Grenzen auswirken. Einer der wichtigsten Rechtsakte ist der EU Cyber Resilience Act (CRA) 2024.
Was ist der EU Cyber Resilience Act (CRA) 2024?
Der Cyber Resilience Act (CRA) 2024 ist ein von der Europäischen Union vorgeschlagener wegweisender Rechtsakt [1]. Er soll sicherstellen, dass Produkte, die digitale Elemente enthalten, die erforderlichen Cybersicherheitsstandards einhalten. Die CRA verfolgt einen anderen Ansatz als die bisherigen Maßnahmen, die sich auf kritische Infrastrukturen konzentrierten. Sie umfasst eine breite Palette von Waren, von Industrieanlagen mit eingebetteter Software bis hin zu Verbraucherelektronik wie intelligenten Geräten.
Geltungsbereich: Jedes Produkt, das digitale Komponenten enthält, fällt unter diese Richtlinie. Das bedeutet, dass ein Netzwerk in irgendeiner Form mit Software oder Hardware verbunden sein muss, unabhängig davon, ob dies direkt oder indirekt geschieht.
Zielsetzung: Das Hauptziel besteht darin, die Cybersicherheit in den gesamten Produktlebenszyklus einzubinden. Vom Entwurf und der Entwicklung bis zur Überwachung nach der Markteinführung, dem Schwachstellenmanagement und der Berichterstattung.
Mit anderen Worten: Wenn Sie vernetzte oder intelligente Geräte herstellen oder in die EU importieren, müssen Sie diese neuen Cybersicherheitsvorschriften einhalten.
Für wen gilt der Cyber Resilience Act 2024?
Der CRA 2024 hat Auswirkungen auf ein breites Spektrum von Akteuren innerhalb und außerhalb der EU:
In der EU ansässige Hersteller: Jedes in der EU ansässige Unternehmen, dessen Produkte digitale Teile enthalten, unterliegt den Vorschriften der CRA.
Hersteller aus Nicht-EU-Ländern, die in der EU verkaufen: Wenn ein Produkt in die EU verkauft oder importiert wird, treten die Vorschriften in Kraft. Dies gilt auch dann, wenn der Hersteller aus einem anderen Land stammt. [2]. Das bedeutet, dass amerikanische, asiatische und andere globale Hersteller die Vorschriften einhalten müssen, wenn sie Zugang zum EU-Markt haben wollen.
Partner in der Lieferkette: Sowohl die Händler als auch die Importeure in der EU sind daran beteiligt, dass die Produkte den CRA-Vorschriften entsprechen. Wird festgestellt, dass ein Produkt nicht konform ist oder bekannte, nicht gepatchte Schwachstellen aufweist, können sie zur Verantwortung gezogen werden.
Durch die Ausdehnung des Netzes will die CRA die Cybersicherheitsstandards allgemein anheben. Damit wird sichergestellt, dass alle Produkte auf dem EU-Markt vor Cyber-Bedrohungen sicher sind.
Welche Auswirkungen hat der Cyber Resilience Act auf die Hersteller?
Bußgelder und Strafen
Die Nichteinhaltung kann kostspielig sein. Nach dem aktuellen Vorschlag der CRA könnten den Herstellern hohe Strafen drohen.
Sie können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % ihres weltweiten Jahresumsatzes belegt werden. Bei schwerwiegenden Verstößen wird die Entscheidung auf der Grundlage des höheren Betrags getroffen. [2]
Für die Fachleute an der Front wird dadurch deutlich, wie wichtig die Integration sicherer Softwarepraktiken ist. Außerdem wird deutlich, wie wichtig es ist, Hardwarekomponenten von Grund auf zu integrieren, unabhängig davon, ob man in der Entwicklung, Produktion oder Wartung tätig ist.
Regulatorische Belastung
Die Hersteller werden strengere Verfahren für die Produktentwicklung einführen müssen. Sie werden auch ihre Risikobewertungs- und Dokumentationsverfahren verbessern müssen, um die CRA 2024 zu erfüllen. Dies könnte Folgendes beinhalten:
- Implementierung von Methoden, die sicheren Code gewährleisten.
- Durch die regelmäßige Durchführung von Schwachstellenanalysen.
- Klare Produktkennzeichnung über Cybersicherheitsmerkmale und -risiken.
Um diesen Anforderungen gerecht zu werden, müssen viele Unternehmen ihr Vorgehen bei der Einstellung von Mitarbeitern mit Cybersicherheits-Know-how überdenken. Um sicherzustellen, dass die Komponenten die Standards erfüllen, sollten außerdem mehr Schulungen durchgeführt und der Beschaffungsprozess möglicherweise umstrukturiert werden.
Marktdifferenzierung
Auf der positiven Seite besteht die Chance, dass Sie sich durch die Einhaltung der Vorschriften von der Konkurrenz abheben. Unternehmen, die sich für die Cybersicherheit stark machen, können das Vertrauen der Regulierungsbehörden gewinnen. Sie sind auch in der Lage, das Vertrauen der Endnutzer zu gewinnen, was es ihnen ermöglicht, sich in einem hart umkämpften Feld abzuheben.
Zeitplan für den Cyber Resilience Act (CRA) für Hersteller
Das Gesetz wird schrittweise eingeführt, so dass die Hersteller Zeit haben, sich anzupassen, auch wenn dieses Zeitfenster relativ kurz ist:
- 10. Dezember 2024: Wenn die CRA in Kraft tritt.
- 11. Juni 2026: Zu diesem Zeitpunkt werden die Verpflichtungen bezüglich der Konformitätsbewertungsstellen anwendbar.
- 11. September 2026: Die Meldepflicht für Schwachstellen und Sicherheitsvorfälle tritt in Kraft.
- 11. Dezember 2027: Vollständige Anwendung der CRA, was die Frist für die vollständige Einhaltung der Cybersicherheitsvorschriften markiert.
In Anbetracht dieser Termine sollten die Hersteller damit beginnen, ihren Ansatz zur Einhaltung der Vorschriften zu bewerten. Falls Ihr Unternehmen einen langen Zyklus von der Entwicklung bis zur Produktion hat, ist es wichtig, der Einführung von Cybersicherheitsmaßnahmen in einem frühen Stadium Priorität einzuräumen. Dies wird dazu beitragen, dass Sie bis Dezember 2027 bereit sind.
Welche Produkte sind von der CRA 2024 betroffen?
Die CRA 2024 gilt für eine breite Palette von Produkten, die digitale oder vernetzbare Elemente enthalten, darunter auch
- In der Industrie eingesetzte Maschinen, die über eingebaute Kontrollsysteme verfügen.
- Intelligente Sensoren, Robotik und Geräte für das industrielle Internet der Dinge (IIoT).
- Verbraucherelektronik, z. B. vernetzte medizinische Geräte oder intelligente Haushaltsgeräte (sofern sie mit Produktionsprozessen verbunden sind, z. B. bei Arzneimitteln).
- Softwareanwendungen, die Teil der kritischen Lieferkettenabläufe sind.
Wenn ein Gerät eine Verbindung zu einem Netz herstellen kann, fällt es wahrscheinlich in den Anwendungsbereich der Ratingagentur. Wenn es außerdem die Möglichkeit des Datenaustauschs bietet, wird es wahrscheinlich ebenfalls erfasst. Selbst einfache Geräte könnten der Aufsicht unterliegen, wenn sie in irgendeiner Form angeschlossen werden können.
Welche Auswirkungen wird das auf die Hersteller haben, die mit der EU Handel treiben?
Für Hersteller außerhalb der EU setzt die CRA 2024 eine klare regulatorische Messlatte:
- Einfuhrbeschränkungen: Jedes Produkt, das nicht den Normen der Ratingagentur entspricht, läuft Gefahr, dass ihm der Zugang zum EU-Markt verweigert wird.
- Verschärfte Kontrolle: Es ist wahrscheinlich, dass Zertifizierungen, Dokumentationen und Überwachungsmaßnahmen nach dem Inverkehrbringen für Unternehmen außerhalb der EU einer strengeren Prüfung unterzogen werden [3].
- Mögliche Umgestaltung: Um die Anforderungen der Ratingagentur zu erfüllen, kann es notwendig sein, Produkte umzugestalten oder neu zu verpacken. Dies gilt insbesondere für Produkte, die auf unsicheren oder sehr alten Softwarekomponenten basieren.
Im Grunde genommen ist es ein Muss, dass globale Anbieter ihre Cybersicherheitsstandards stärken. Dies ist für die Aufrechterhaltung oder den Ausbau ihrer Präsenz auf einem der größten Marktplätze der Welt unerlässlich.
NIS2-Richtlinie und die CRA
Die NIS2-Richtlinie läuft parallel zur CRA. Sie konzentriert sich auf die Cybersicherheit der wichtigsten Infrastrukturen, einschließlich Energie, Verkehr, Banken und Gesundheitswesen [4].
NIS2 konzentriert sich auf die Cybersicherheitsanforderungen für Organisationen und Infrastrukturen. Auf diese Weise wird sichergestellt, dass Dienstanbieter und Betreiber strenge Sicherheitsvorschriften einhalten. Die CRA hingegen legt den Schwerpunkt auf die Produkte selbst.
Schnittmenge: Hersteller, die Produkte oder Dienstleistungen für Betreiber kritischer Infrastrukturen im Rahmen der NIS2 liefern, werden wahrscheinlich die kombinierten Auswirkungen spüren. Ein Unternehmen, das sich auf die Herstellung von industriellen Steuerungssystemen für Kraftwerke spezialisiert hat, wird beispielsweise mit neuen Aufgaben konfrontiert. Es muss sicherstellen, dass sowohl die betriebliche Cybersicherheit des Systems als auch die inhärente Produktsicherheit konform sind.
Synergie: Zusammen sollen diese Verordnungen Lücken in der Cybersicherheit schließen. Das Ziel von NIS2 ist es, Organisationen auf Cyber-Bedrohungen vorzubereiten. Der Cyber Resilience Act soll sicherstellen, dass die verwendeten Produkte von Haus aus sicher sind.
Wie unterscheidet sich die CRA 2024 von der CIRCIA 2022?
In den USA konzentriert sich der Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) 2022 stark auf die Meldepflichten für Betreiber kritischer Infrastrukturen [5]. Organisationen müssen erhebliche Cyber-Vorfälle melden. Dies muss innerhalb eines bestimmten Zeitrahmens an die Cybersecurity and Infrastructure Security Agency (CISA) erfolgen.
Umfang: Ein Hauptaugenmerk der CIRCIA liegt auf der unverzüglichen Meldung von Cyber-Vorfällen und dem Schutz lebenswichtiger Infrastrukturen. Gleichzeitig zielt die CRA auf die Cybersicherheitsmerkmale aller Produkte mit digitalen Komponenten ab, die in der EU verkauft oder vermarktet werden.
Präventiv vs. reaktiv: "Vorbeugende" Maßnahmen, wie "Secure by Design" und Schwachstellenmanagement, werden von der CRA sehr hoch eingestuft. Das bedeutet, dass CIRCIA eher "reaktiv" ist und sich auf die Meldepflicht nach einem Vorfall konzentriert.
Globaler Einfluss: Der Cyber Resilience Act deckt ein breites Spektrum an vernetzten Gütern ab. Dies deutet darauf hin, dass die EU einen höheren regulatorischen Cybersicherheitsstandard für Alltagsgegenstände anstrebt. Dieses Konzept ist bei CIRCIA weniger zentral.
Cybersecurity-Vorschriften mit Auswirkungen auf Hersteller in anderen Ländern
Es gibt viele verschiedene Cybersicherheitsstandards, um deren Einhaltung sich Hersteller auf der ganzen Welt bemühen:
Asiatisch-pazifischer Raum: Länder wie Singapur, Japan und Australien sind dabei, ihre Gesetze zur Cybersicherheit zu verschärfen. Damit reagieren sie auf die zunehmenden Bedrohungen in kritischen Sektoren, einschließlich der Fertigungs- und Lieferketten [6]. Im Mittelpunkt ihrer Gesetze stehen häufig der Schutz von Daten, die Meldepflicht für Vorfälle und der Schutz der Infrastruktur.
Vereinigtes Königreich: Obwohl es die EU verlassen hat, hat sich das Vereinigte Königreich in vielen Aspekten eng an die Cybersicherheitsgesetze der EU angelehnt. Andererseits hat es aber auch die Flexibilität, davon abzuweichen. Es entstehen neue Gesetze wie der Product Security and Telecommunications Infrastructure (PSTI) Act. Es konzentriert sich auf die Sicherheit von IoT-Geräten für Verbraucher, was auch Auswirkungen auf industrielle Kontexte haben kann.
Globaler Trend: In Nordamerika, Europa und im asiatisch-pazifischen Raum ist die Richtung klar erkennbar. Strengere Gesetze zur Cybersicherheit werden von den Regierungen in einem alarmierenden Tempo erlassen. Diese Vorschriften erlegen den Herstellern eine erhebliche Verantwortung für die Entwicklung sicherer Produkte und deren Wartung während des gesamten Lebenszyklus auf.
Wie die Ratingagentur von den Herstellern aufgenommen wurde
Das Gesetz ist ein erster Schritt hin zu marktweiten Cybersicherheitsstandards und wird von vielen großen Herstellern und Handelsgruppen unterstützt. Dies kann dazu beitragen, die Verwirrung zu verringern und die Herausforderungen zu bewältigen, die durch unterschiedliche nationale Vorschriften entstehen. Außerdem kann es dazu beitragen, die Wettbewerbsbedingungen, insbesondere für kleine und mittlere Unternehmen, zu nivellieren [7].
Einige kleinere Hersteller machen sich Sorgen über die Belastung durch die Vorschriften und die Kosten für deren Einhaltung. Insbesondere diejenigen, die weniger Ressourcen haben, um in neue Verfahren und Schulungen zu investieren. Sie fragen sich, ob der Zeitplan machbar ist und ob genügend Unterstützung zur Verfügung steht, um sie bei der Anpassung an die neuen Vorschriften zu unterstützen.
Was bedeutet dies für künftige Branchenvorschriften?
Der EU Cyber Resilience Act 2024 markiert eine breitere Entwicklung in der Art und Weise, wie Regierungen die Cybersicherheit betrachten. Die CRA stellt sicher, dass der Produktsicherheit Vorrang eingeräumt wird. Sie legt eine rechtliche Anforderung fest, die sich von der Anfangsphase bis zur Nachbereitungsphase erstreckt.
Globale Harmonisierung: Die Gesetze zur Cybersicherheit könnten sich angleichen, wenn andere Länder die höheren Standards der EU übernehmen.
Größere Transparenz: Erwarten Sie eine deutlichere Kennzeichnung und Dokumentation der Sicherheitsmerkmale eines Produkts, möglicherweise ähnlich wie bei einem "Energieeffizienzlabel", aber für Cybersicherheit.
Erhöhte Qualifikationsanforderungen: Cybersecurity-Kenntnisse werden zu einer wesentlichen Fähigkeit für Funktionen, die in der Vergangenheit nicht darauf ausgerichtet waren. Ingenieure, Techniker und Beschaffungsspezialisten benötigen möglicherweise zusätzliche Schulungen und Ressourcen.
Die EU Cyber Resilience Act (CRA) 2024 wird das Design, die Produktion und den Verkauf von Produkten mit digitalen Komponenten verändern. Dieser Wandel wird sich nicht nur auf Europa auswirken, sondern auch auf der ganzen Welt. Ihr breiter Geltungsbereich betrifft jeden, vom kleinsten Komponentenlieferanten bis hin zu den größten OEMs. Daher ist ein proaktiver und kooperativer Ansatz für die Produktsicherheit erforderlich.
Für Hersteller ist die Zeit von entscheidender Bedeutung. In jeder Phase des Produktlebenszyklus müssen die Unternehmen Fragen der Cybersicherheit in ihren Betrieb einbeziehen. Dies ist von entscheidender Bedeutung, um die zunehmende Zahl wichtiger Fristen einzuhalten, die immer näher rücken. Die wichtigsten davon sind Dezember 2024 bis Dezember 2027.
Der Umfang dieser Arbeit wird über die bloße Einhaltung der Vorschriften hinausgehen. Sie bietet die Möglichkeit, sich einen Wettbewerbsvorteil zu verschaffen. Sie können Ihr Markenimage verbessern und gleichzeitig Ihre Lieferketten und Produktionsmethoden stärken.
Auch wenn die globalen Standards variieren, bleibt die Kernaussage dieselbe: Cybersicherheit ist nicht mehr optional, sondern für die moderne Fertigung unerlässlich. Wenn Sie diesen Wandel annehmen, können Sie Ihren Betrieb zukunftssicher machen. Sie kann auch wertvolle Daten schützen und dafür sorgen, dass Produkte in einer vernetzten Welt sicher sind und bleiben.
Referenzen
[1] https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
[2] https://www.european-cyber-resilience-act.com/
[3] https://www.washingtonpost.com/politics/2023/01/03/europes-cybersecurity-dance-card-is-full/
[4] https://emteria.com/blog/nis2-vs-cra-android
[7] https://www.forrester.com/blogs/european-cybersecurity-reflections-2024/
