Der Cyber Resilience Act (CRA)
OT-Security – Zwischen Pflicht und Chance
Cybersicherheit im industriellen Umfeld ist ein schwieriges Thema. Obwohl sich in den letzten Jahren Hackerangriffe deutlich erhöht haben, das Thema in den Medien auch oft angesprochen wird, ist bei vielen Firmen noch nicht viel unternommen worden. Klar: das kostet Geld, das benötigt geschultes Personal und fordert auch einen komplexen Prozess.
Denn Cybersicherheit ist ein Prozess, kein Projekt, der in regelmäßigen Abständen wiederholt durchlaufen werden muss.
Doch nun ist es zu Ende mit der „freiwilligen“ Einführung von Cybersicherheit. Die EU hat mehrere Gesetze und Richtlinien erlassen.
Der Cyber Resilience Act (CRA) bildet dabei einen zentralen Pfeiler der europäischen Cybersicherheitsstrategie und schließt eine wesentliche Regulierungslücke im EUBinnenmarkt. Als EU-Verordnung ist der CRA unmittelbar in allen Mitgliedstaaten wirksam. Im Gegensatz zur NIS-2-Richtlinie bedarf er keiner Umsetzung in nationales Recht, um verbindlich zu sein. Der CRA fokussiert sich auf die Sicherheit der Produkte selbst. Er ergänzt somit die organisationsbezogene Regulierung (NIS-2) um eine produktbezogene Komponente. Der CRA reiht sich in die bestehende Produktsicherheitsgesetzgebung der EU ein. Er nutzt bewährte Mechanismen wie die CE-Kennzeichnung, um Konformität mit Sicherheitsstandards nachzuweisen.
Der CRA ist das erste EU-Gesetz, das verbindliche Mindestanforderungen an die Cybersicherheit für nahezu alle Hardware- und Softwareprodukte mit digitalen Elementen festlegt. Die Anforderungen gelten von der Entwicklung (Security by Design) bis zum Support-Ende, einschließlich der Pflicht zur Bereitstellung von Sicherheitsupdates. Er adressiert die Tatsache, dass viele digitale Produkte bisher keinen einheitlichen Sicherheitsvorgaben unterlagen, was sie zu potenziellen Einfallstoren für Cyberangriffe machte.
(…)
