Ein neues Gesetz kann Unternehmen die CE-Zertifizierung kosten: der Cyber Resilience Act (CRA). Noch ist es nicht final für die Europäische Union beschlossen, allerdings sieht Markus Fockel, stellvertretender Abteilungsleiter für sichere IoT-Systeme am Fraunhofer IEM, die Einführung als äußerst wahrscheinlich an – er sei „sicher, dass das Ding kommen wird“. Er sprach darüber im Rahmen der diesjährigen Hannover Messe.

Von dem neuen Gesetz können Hard- und Softwarehersteller betroffen sein. Vereinfacht gesagt: Wenn die Produkte Daten austauschen können, werden sie unter die Regelungen des CRA fallen. Insgesamt soll der CRA für weniger Schwachstellen sorgen, die ein Sicherheitsrisiko sein können. Für Unternehmen könnte die Reglung etwa die verpflichtende Bereitstellung von Sicherheitsupdates bedeuten, die Verbraucherschützer:innen fordern.

Sollten Unternehmen die Reglungen nicht einhalten, droht schlimmstenfalls der Entzug der CE-Kennzeichnung. Damit darf das Produkt nicht mehr auf dem europäischen Markt verkauft werden. Auch das Leisten von Strafzahlungen könnte drohen.

Um diese Strafen zu umgehen, sollten sich Unternehmen schon jetzt auf den CRA vorbereiten. Insgesamt sollte dafür Sicherheit beim gesamten Produktdesign beachtet werden, auch bereits in der Entwicklung.

Fockel hat konkrete Punkte, an denen sich dabei ein Einstieg lohnt: sowohl am Ende des Herstellungsprozesses als auch am Anfang. Hinten solle bei der Nutzungsphase begonnen werden, also in der Phase, wenn Kund:innen ein Gerät einsetzen.

Fragestellungen, die dabei zu beachten sind:

• Gibt es einen Prozess, in dem Rückmeldungen zum Produkt entgegengenommen werden?
• Wie prüfen und bewerten wir diese Rückmeldungen?
• Wie beheben wir daraus hervorgehende Sicherheitsrisiken?
• Wie veröffentlichen wir Informationen zu diesen?

Diese Systeme müssen geübt werden, damit sie im Ernstfall funktionieren. Bestenfalls wird dafür ein Product Security Incident Response Team (PSIRT) eingeführt. Kommt die Reglung, sind Unternehmen beim Erkennen von Schwachstellen innerhalb von 24 Stunden verpflichtet, eine erste Warnung herauszugeben. Innerhalb von 72 Stunden müssten weitere Details folgen. Der finale Report zur Sicherheitslücke müsste dann innerhalb von 14 Tagen veröffentlicht werden.

Dieses Reporting soll bereits 2026 verpflichtend werden, sofern der CRA offiziell eingeführt wird. Um diese Zeitvorgaben zu schaffen, muss der Prozess im Vorfeld eingerichtet und getestet werden. Gleiches gilt für den Einstieg am Anfang der Produktionskette.

Zu Beginn der Produktionskette sollten Unternehmen besonders auf Risikoanalyse und ‑bewertung achten. Die Kernfrage: Wo werden Bedrohungen erwartet? Je höher das Risiko bei einem Produkt ist, desto mehr Sicherheits­maßnahmen müssen getroffen werden.

„Cybersecurity ist ein Gruppensport“, sagte Fockel dazu bei seinem Vortrag. Was er meint: Es braucht verschiedene Mitarbeiter:innen, die gemeinsam an der Risikobewertung und den daraus abzuleitenden Sicherheitsmaßnahmen arbeiten. Möglicherweise lassen sich bei dieser Teamarbeit auch neue Sicherheitsexpert:innen direkt im Unternehmen finden, die zukünftig als CRA-Verantwortliche arbeiten können.

Außerdem müsse für die neue Sicherheitsreglung „das Rad nicht neu erfunden werden“, so Fockel. Unternehmen könnten bereits gängige Standards nutzen und sollten sich für ihre Umsetzung auch die Best Practices anderer anschauen.