|
Köln (ots) - Ob vernetztes Haushaltsgerät, industrielle Steuerung, Router oder
Softwarelösung: Viele Produkte mit digitalen Elementen fallen unter die
Meldepflichten des Cyber Resilience Act (CRA). Hersteller müssen ab dem 11.
September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende
Sicherheitsvorfälle fristgerecht über die zentrale EU-Meldeplattform melden.
"Für viele Unternehmen ist das der erste konkrete Stresstest ihrer
CRA-Readiness", sagt Stefan Eigler, Experte für Cybersicherheit und Segment
Manager "Mastering Risk & Compliance" bei TÜV Rheinland.
Schwachstellen und Vorfälle: CRA mit klaren Vorgaben
Gemäß CRA müssen Hersteller eine Schwachstelle in einem eigenen Produkt melden,
wenn sie aktiv ausgenutzt wird und der Hersteller davon erfährt. Dann gelten
folgende Fristen: Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen,
innerhalb von 72 Stunden eine ergänzende Meldung. Außerdem ist ein
Abschlussbericht spätestens 14 Tage nach einer Abhilfe- oder
Risikominderungsmaßnahme vorgeschrieben.
Meldepflichtig sind außerdem schwerwiegende Sicherheitsvorfälle, die sich auf
die Sicherheit des Produkts auswirken. Auch hier gelten eine Frühwarnung
innerhalb von 24 Stunden und eine Vorfallmeldung innerhalb von 72 Stunden; der
Abschlussbericht ist spätestens einen Monat nach der Vorfallmeldung
einzureichen.
Nicht jede Schwachstelle ist meldepflichtig
Wichtig ist: Nicht jede Schwachstelle löst eine CRA-Meldung aus. "Ein Eintrag in
der Schwachstellendatenbank Common Vulnerabilities and Exposures - CVE - oder
das Ergebnis eines Penetrationstests allein begründen noch keine Meldepflicht.
Entscheidend ist bei einer Schwachstelle, ob eine aktive Ausnutzung bekannt
ist", erklärt Regulierungsexperte Eigler.
Aktuell gehen viele Unternehmen bei der CRA-Umsetzung noch von falschen Annahmen
aus. "Einige nehmen immer noch an, dass die Meldepflicht erst ab Dezember 2027
gilt und nicht schon ab dem 11. September 2026. Auch die Annahme, nur Hersteller
wichtiger oder kritischer Produkte seien betroffen, ist falsch", so Eigler. Denn
die Meldepflicht gilt grundsätzlich für Hersteller aller Produkte mit digitalen
Elementen, die in den Anwendungsbereich des CRA fallen. Sie erfasst zudem auch
entsprechende Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr
gebracht wurden.
CRA-Meldepflichten für Produkte mit digitalen Elementen
Der Cyber Resilience Act der Europäischen Union (EU) ist am 10. Dezember 2024 in
Kraft getreten. Ziel der Verordnung ist es, die Cybersicherheit von Produkten
mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg zu erhöhen. Der
CRA erfasst grundsätzlich Hardware- und Softwareprodukte, die unmittelbar oder
mittelbar mit einem Gerät oder Netz verbunden sind.
Auch Hersteller mit Sitz außerhalb der EU betroffen
Dazu können beispielsweise Software, vernetzte Geräte, Maschinen mit vernetzter
Steuerung, Industrie-4.0-Komponenten, Netzwerkkomponenten und Embedded Systems
gehören. Entscheidend ist stets die Prüfung des konkreten Produkts und möglicher
gesetzlicher Ausnahmen. Auch Hersteller mit Sitz außerhalb der EU müssen die
Anforderungen beachten, wenn sie erfasste Produkte auf dem EU-Markt
bereitstellen.
TÜV Rheinland unterstützt bei der CRA-Readiness
Die CRA-Expertinnen und -Experten von TÜV Rheinland unterstützen Unternehmen
dabei, den Handlungsbedarf zu bewerten, die Anforderungen des CRA einzuordnen,
bestehende Prozesse zu überprüfen sowie Melde- und Incident-Response-Prozesse
aufzubauen. Unternehmen sollten frühzeitig sicherstellen, dass Schwachstellen
und Sicherheitsvorfälle erkannt, bewertet und bei Bedarf fristgerecht gemeldet
werden können.
Hierzu gehören klar definierte Verantwortlichkeiten, dokumentierte
Entscheidungs- und Meldewege sowie kurzfristig verfügbare technische
Informationen. Ebenfalls vorzubereiten ist die unverzügliche Information
betroffener Nutzerinnen und Nutzer über Vorfälle und erforderliche Korrektur-
oder Risikominderungsmaßnahmen. Weitere Informationen unter www.tuv.com/c-r-a (h
ttps://www.tuv.com/germany/de/cyber-resilience-act.html?wt_mc=Press.Press-Releas
e.no-interface.DE26_I07_OTSCRA.DE26_I07_OTSCRA01_PR.textlink.&cpid=DE26_I07_OTSC
RA01_PR) .
Ihr Ansprechpartner für redaktionelle Fragen:
Pressestelle TÜV Rheinland, Tel.: +49 2 21/8 06-21 48
Die aktuellen Presseinformationen sowie themenbezogene Fotos und
Videos erhalten Sie auch per E-Mail über mailto:contact@press.tuv.com sowie
im Internet: http://www.tuv.com/presse
Weiteres Material: http://presseportal.de/pm/31385/6349412
OTS: TÜV Rheinland AG
|
