Cybersicherheit: Rechtzeitig auf neue Pflichten vorbereiten

Der Cyber Resilience Act (Cyberresilienz-Verordnung, kurz CRA) ist eine EU-Verordnung vom 23.10.2024, die am 10.12.2024 in Kraft getreten ist (Verordnung (EU) 2024/2847). Ziel des CRA ist es, unsichere Produkte vom Marktzugang innerhalb der EU auszuschließen.

Das soll verhindern, dass solche unsicheren Produkte zu Einfallstoren für Angriffe oder Zugriffe auf ganze Systeme werden. Je nach Einsatzbereich lassen sich unsichere Produkte z.B. nutzen, um kritische Infrastrukturen anzugreifen.

Welche Produkte sind betroffen?

Der gesamte Cyber Resilience Act befasst sich mit den Sicherheitsanforderungen, die an „Produkte mit digitalen Elementen“ gestellt werden. Das sind nach Art. 3 CRA Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen. Der bestimmungsgemäße Zweck oder die vorhersehbare Verwendung dieses Produkts muss eine direkte oder indirekte, logische oder physische Datenverbindung mit einem anderen Gerät oder einem Netz sein.

Eine physische Verbindung ist dabei eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten. Hergestellt wird sie mit physikalischen Mitteln wie elektrischen, optischen oder mechanischen Schnittstellen, Drähten oder Funkwellen.

Unter indirekter Verbindung versteht der CRA eine Verbindung zu einem Gerät oder Netz, die nicht direkt erfolgt, sondern als Teil eines größeren Systems. Dieses kann seinerseits direkt mit diesem Gerät oder Netz verbunden sein.

Zu den Produkten mit digitalen Elementen gehören z.B. folgende Produkte:

• Produkte für Verbraucher:
  …