Wie gut sind Ihre Produkte auf den EU Cyber Resilience Act vorbereitet?

Die Risikobewertung muss von der Zweckbestimmung, der vorhersehbaren Verwendung und den Nutzungsbedingungen ausgehen. prEN 40000-1-2 §6.2 listet die Kontextelemente auf.

Eine dokumentierte Risikobewertung ist Pflicht. Sie gehört in die technische Dokumentation und muss Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung bestimmen.

Die 13 Anforderungen betreffen bekannte Schwachstellen, sichere Standardeinstellungen, Sicherheitsupdates, Zugriffskontrolle, Vertraulichkeit, Integrität, Datenminimierung, Verfügbarkeit, Auswirkungen auf andere Netze, Angriffsfläche, Exploit-Abwehr, Protokollierung und sicheres Löschen von Daten. Jede Anforderung, die Sie ausschließen, braucht eine schriftliche Begründung.

Die Bewertung muss über den gesamten Unterstützungszeitraum aktuell bleiben, einschließlich Schwachstellen und Informationen Dritter, von denen Sie Kenntnis erlangen.

Produkte müssen so konzipiert, entwickelt und hergestellt werden, dass sie ein den Risiken angemessenes Cybersicherheitsniveau gewährleisten. Wie, schreibt der CRA nicht vor; prEN 40000-1-2 §7 beschreibt die erwarteten Lifecycle-Aktivitäten.

Keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen, dazu wirksame und regelmäßige Sicherheitstests und -überprüfungen.

Eine sichere Standardkonfiguration mit Rücksetzmöglichkeit und eine begrenzte Angriffsfläche, einschließlich externer Schnittstellen. Das ENISA Secure by Design and Default Playbook gibt praktische Hinweise.

Automatische Sicherheitsupdates als Standard, wo anwendbar, mit Opt-out und Aufschub; Sicherheitsfixes getrennt von Funktionsupdates, wo technisch machbar; sichere Verteilung.

Due Diligence für alle Komponenten Dritter, auch Open Source. Finden Sie eine Schwachstelle in einer Komponente, müssen Sie sie dem Maintainer melden und Ihren Fix teilen.

Eine SBOM ist Pflicht. Sie müssen sie nicht veröffentlichen, aber Marktüberwachungsbehörden können sie anfordern (Anhang VII(8)).

Schwachstellen müssen über den gesamten Unterstützungszeitraum unverzüglich behoben werden. Dafür müssen Sie wissen, wann eine neue CVE eine ausgelieferte Version betrifft.

Eine CVD-Richtlinie und eine zentrale Kontaktstelle sind Pflicht, und behobene Schwachstellen müssen mit Schweregrad und Abhilfehinweisen öffentlich gemacht werden.

Mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer genutzt wird. Das Enddatum muss beim Kauf klar sein, und jedes Sicherheitsupdate bleibt 10 Jahre oder für den Rest des Unterstützungszeitraums verfügbar, je nachdem, was länger ist.

Gilt seit dem 11. September 2026, auch für Produkte, die bereits auf dem Markt sind. Meldungen laufen über die zentrale Meldeplattform der ENISA. Der Abschlussbericht ist 14 Tage nach Verfügbarkeit eines Fixes (Schwachstellen) oder einen Monat nach der Meldung (Vorfälle) fällig.

Die 24-Stunden-Frist beginnt, sobald Sie Kenntnis erlangen, auch am Wochenende. Art. 14(5) legt fest, wann ein Vorfall als schwerwiegend gilt.

Für die meisten Produkte genügt das Verfahren der internen Kontrolle (Modul A). Produkte der Klasse I nur, wenn sie harmonisierte Normen vollständig anwenden; Klasse-II- und kritische Produkte brauchen eine notifizierte Stelle oder eine Zertifizierung.

Vor dem Inverkehrbringen erforderlich, zusammen mit der EU-Konformitätserklärung, und mindestens 10 Jahre aufzubewahren.

Pflichtinformationen für Nutzer, mindestens 10 Jahre verfügbar.