Gesetz zur Cyber-Resilienz (CRA)

Effiziente Umsetzung der CRA-Anforderungen mit Versio.io

Kurz erklärt Demo anfordern Kostenlose testen

Was ist das Gesetz zur Cyber-Resilienz?

Das Gesetz zur Cyber-Resilienz (Verordnung (EU) 2024/2847) ist das erste EU-weite Gesetz, das verbindliche Anforderungen an die Cybersicherheit für Produkte mit digitalen Elementen festlegt. Es umfasst praktisch alle Hardware- und Softwareprodukte, die in der EU in Verkehr gebracht werden und direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können – von IoT-Geräten und industriellen Steuerungen bis hin zu Firewalls, Betriebssystemen und Unternehmenssoftware.

Während NIS2 und DORA die Operatoren von IT-Systemen regeln, richtet sich die CRA an Hersteller, Importeure und Vertreiber von Produkten. Hersteller müssen sicherstellen, dass ihre Produkte von Grund auf sicher sind, dass Schwachstellen während der gesamten Supportdauer behoben werden und dass aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle gemeldet werden. Die Einhaltung der Vorschriften wird durch die CE-Kennzeichnung bestätigt; Verstöße gegen die grundlegenden Anforderungen können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden.

Welche Teile des CRA sind relevant?

Die rechtsverbindliche Grundlage ist die Verordnung selbst. Für die technische und organisatorische Umsetzung sind folgende Teile maßgeblich:

Anhang I, Teil I - Anforderungen an die Cybersicherheit in Bezug auf die Eigenschaften des Produkts, z. B. keine bekannten ausnutzbaren Schwachstellen, eine standardmäßig sichere Konfiguration, Integritätsschutz und begrenzte Angriffsflächen.
Anhang I, Teil II - Anforderungen an den Umgang mit Schwachstellen, z. B. Software-Stückliste (SBOM), unverzügliche Behebung, regelmäßige Tests, koordinierte Offenlegung von Schwachstellen und sichere Bereitstellung von Updates.
Artikel 13 - Pflichten der Hersteller, darunter die Bewertung von Cybersicherheitsrisiken, die Sorgfaltspflicht bei Komponenten von Drittanbietern und Open Source-Komponenten sowie eine Supportdauer von in der Regel mindestens fünf Jahren.
Artikel 14 - Meldepflichten bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen: Frühwarnung innerhalb von 24 Stunden, Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht.
Anhang VII - Inhalt der technischen Dokumentation, einschließlich der Risikobewertung, der Verfahren zum Umgang mit Schwachstellen, der SBOM und der Informationen, die zur Festlegung des Supportzeitraums herangezogen werden.

Derzeit werden harmonisierte europäische Normen erarbeitet, in denen diese Anforderungen näher ausgeführt werden. Bis zu deren Veröffentlichung dient der Verordnungstext als Grundlage für die nachstehende Zuordnung.

CRA-Zeitplan: Was gilt wann?

10. Dezember 2024 - Das CRA ist in Kraft getreten.
11. Juni 2026 - Es gelten die Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen (Kapitel IV).
11. September 2026 - Die Meldepflichten gemäß Artikel 14 gelten für alle Produkte mit digitalen Elementen, die auf dem Markt sind, einschließlich derjenigen, die vor diesem Datum in Verkehr gebracht wurden.
11. Dezember 2027 - Alle übrigen Verpflichtungen gelten in vollem Umfang. Ab diesem Datum dürfen neue Produkte nur noch auf den EU-Markt gebracht werden, wenn sie die CRA-Anforderungen erfüllen.

Ihr CRA-Tool: Versio.io

Die CRA verlangt von Herstellern, dass sie jederzeit wissen, welche Komponenten in welcher Produktversion enthalten sind, welche Schwachstellen diese betreffen und wie lange sie unterstützt werden. Versio.io automatisiert genau diese Bestandsaufnahme- und Monitoring-Aufgaben und liefert prüfungssichere Nachweise für die technische Dokumentation sowie für die Marktüberwachungsbehörden.

In den folgenden Abschnitten wird aufgezeigt, welche CRA-Anforderungen Versio.io unterstützt. Anforderungen hinsichtlich der sicheren Gestaltung des Produkts selbst, wie beispielsweise Verschlüsselungs- oder Authentifizierungsmechanismen, liegen weiterhin in der Verantwortung Ihrer Produktentwicklung.

Software-Stückliste (SBOM) und Komponentenbestand

CRA: Anhang I Teil II (1); Art. 13 Abs. 5; Anhang VII (2) Buchstabe b, (8)

Versio.io erkennt automatisch Hardware, Betriebssysteme, Softwareprodukte und Frameworks samt deren genauen Versionen. Anhand dieser Bestandsaufnahme können Sie für jede Produktversion eine SBOM erstellen oder von Ihren Lieferanten bereitgestellte SBOMs importieren. Dadurch erhalten Sie einen vollständigen, maschinenlesbaren Überblick über alle Komponenten und Abhängigkeiten von Drittanbietern – die Grundlage für die Sorgfaltspflicht und den Umgang mit Schwachstellen.

Versio.io – Software-Asset-Management und SBOM

Versio.io CMDB

Verwaltung von Schwachstellen

CRA: Anhang I Teil I Nr. 2 Buchstabe a; Anhang I Teil II Nr. 2, 3; Art. 13 Abs. 6

Versio.io vergleicht kontinuierlich alle erkannten Komponentenversionen mit einer aktuellen CVE-Datenbank. Neue Schwachstellen werden umgehend gemeldet, einschließlich der betroffenen Produkte und Versionen, und Versio.io empfiehlt, auf welche Versionen Sie umsteigen sollten. Dies hilft Ihnen dabei, Produkte ohne bekannte ausnutzbare Schwachstellen auf den Markt zu bringen und Schwachstellen während der Supportphase unverzüglich zu beheben.

Versio.io Produktlebenszyklus- und Schwachstellenmanagement

Supportzeitraum und Verwaltung am End-of-Life

CRA: Art. 13 Abs. 8, Abs. 19; Anhang II Nr. 7; Anhang VII Nr. 4

Für Ihr Produkt müssen mindestens fünf Jahre lang Sicherheitsupdates bereitgestellt werden. Dies ist nur möglich, wenn die darin enthaltenen Komponenten selbst weiter gepflegt werden. Versio.io kennt die End-of-Life-Termine von Tausenden von Produkten und warnt Sie frühzeitig, falls eine Komponente den Hersteller-Support vor Ablauf Ihres eigenen Supportzeitraums verliert. Diese Informationen dienen zudem als dokumentierter Nachweis bei der Festlegung des Supportzeitraums.

Versio.io – Verwaltung des End-of-Life-Prozesses

Risikobewertung im Bereich Cybersicherheit

CRA: Art. 13 Abs. 2–4, 7; Anhang VII Nr. 3

Die CRA verlangt eine dokumentierte Risikobewertung, die während des gesamten Supportzeitraums auf dem neuesten Stand gehalten wird. Versio.io fasst veraltete Versionen, bekannte Schwachstellen und Konfigurationsverstöße als Risiken zusammen, gewichtet diese entsprechend ihrer Schwere und dem Schutzbedarf und dokumentiert alle Korrekturmaßnahmen auf revisionssichere Weise.

Versio.io Risikomanagement

Standardmäßige Sicherheitskonfiguration und Absicherung

CRA: Anhang I Teil I (2)(b), (j)

Versio.io überprüft Konfigurationen anhand Ihrer eigenen Richtlinien und anerkannter Sicherheitsstandards. Nutzen Sie das Tool, um Referenzsysteme, Images und Appliances vor der Auslieferung zu überprüfen: Unnötige Services, offene Ports und unsichere Standardeinstellungen werden erkannt, bevor das Produkt den Kunden erreicht.

Versio.io – Benchmark zur Governance

Versio.io Policy Monitoring

Integrität von Software und Konfigurationen

CRA: Anhang I Teil I (2)(f); Anhang I Teil II (7)

Versio.io führt das Monitoring der Integrität von Binärdateien und Konfigurationen mithilfe von Prüfsummen durch. Unbefugte Änderungen an Programmen, Bibliotheken oder Konfigurationsdateien – sei es in Ihrer Build- und Release-Umgebung oder in ausgelieferten Installationen – werden sofort erkannt.

Integritätsprüfung von Binärdateien mit Versio.io

Change Monitoring und technische Dokumentation

CRA: Art. 13 Abs. 3, 13, 14; Anhang VII Abs. 1 Buchstabe b, Abs. 2 Buchstabe c

Jede Änderung an Versionen, Komponenten und Konfigurationen wird automatisch erfasst und revisionssicher protokolliert. So können Sie jederzeit nachweisen, welche Version Ihres Produkts welche Komponenten enthielt und welche Schwachstellen zu diesem Zeitpunkt bekannt waren – selbst Jahre später noch, da die technische Dokumentation mindestens zehn Jahre lang aufbewahrt werden muss.

Versio.io Change Monitoring

Meldepflichten und Umgang mit Vorfällen

CRA: § 14 Abs. 1–4, 8; Anhang I Teil II Nr. 4

Die 24-Stunden-Frist für eine Frühwarnung beginnt, sobald Sie Kenntnis von einer aktiv ausgenutzten Schwachstelle erhalten. Versio.io benachrichtigt Sie umgehend, erstellt Tickets in Ihrer ITSM-Lösung und zeigt an, welche Produkte, Versionen und Kundeninstallationen betroffen sind. Der gesamte Verlauf von der Erkennung bis zum Sicherheitsupdate wird revisionssicher dokumentiert und liefert Ihnen die Informationen, die Sie für die Benachrichtigung sowie den Abschlussbericht an das CSIRT und die ENISA benötigen.

Versio.io – Ereignisverarbeitung und Benachrichtigungen

Ebenfalls relevant für Operatoren

Das CRA kommt auch Unternehmen zugute, die Produkte mit digitalen Komponenten einsetzen: Hersteller müssen Angaben zur Supportdauer und gegebenenfalls zur SBOM machen. Versio.io importiert diese Informationen, gleicht sie mit Ihrem Installationsbestand ab und führt Monitoring für Schwachstellen sowie für End-of-Life-Termine durch – ein wichtiger Baustein für die Sicherheit der Lieferkette, wie sie von NIS2 und DORA gefordert wird.