Der Cyber Resilience Act (CRA) führt erstmals EU-weit verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen ein, also für vernetzte Hardware und Software. Hersteller müssen Cybersicherheit bereits bei der Entwicklung berücksichtigen („secure by design“ und „secure by default“), Risiken bewerten, Schwachstellen systematisch managen und eine Software-Stückliste (SBOM) erstellen. Außerdem müssen sie die Einhaltung der Anforderungen nachweisen, bevor Produkte auf den Markt gebracht werden. Neu ist auch, dass Hersteller während des gesamten Supportzeitraums Sicherheitsupdates bereitstellen und aktiv Schwachstellen beheben müssen. Die Cybersicherheitsanforderungen werden künftig über die bestehende CE-Kennzeichnung mit abgedeckt. Mehzr zum Cyber Resilience Act stellt das Bundesamt für Sicherheit in der Informationstechnik bereit (www.bsi.bund.de).
Der Cyber Resilience Act (CRA) führt erstmals EU-weit verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen ein, also für vernetzte Hardware und Software. Hersteller müssen Cybersicherheit bereits bei der Entwicklung berücksichtigen („secure by design“ und „secure by default“), Risiken bewerten, Schwachstellen systematisch managen und eine Software-Stückliste (SBOM) erstellen. Außerdem müssen sie die Einhaltung der Anforderungen nachweisen, bevor Produkte auf den Markt gebracht werden. Neu ist auch, dass Hersteller während des gesamten Supportzeitraums Sicherheitsupdates bereitstellen und aktiv Schwachstellen beheben müssen. Die Cybersicherheitsanforderungen werden künftig über die bestehende CE-Kennzeichnung mit abgedeckt. Mehzr zum Cyber Resilience Act stellt das Bundesamt für Sicherheit in der Informationstechnik bereit (www.bsi.bund.de).
Ab dem 11. September 2026 gilt eine zentrale neue Pflicht: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die von ENISA betriebene europäische Meldeplattform melden. Für eine erste Meldung gilt dabei eine Frist von 24 Stunden, weitere Informationen müssen innerhalb von 72 Stunden nachgereicht werden. Die umfassenden Anforderungen des CRA, insbesondere die verpflichtende Einhaltung der Cybersicherheitsvorgaben vor dem Inverkehrbringen von Produkten, gelten dann ab 11. Dezember 2027 vollständig für neu auf den EU-Markt gebrachte Produkte.
Ab dem 11. September 2026 gilt eine zentrale neue Pflicht: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die von ENISA betriebene europäische Meldeplattform melden. Für eine erste Meldung gilt dabei eine Frist von 24 Stunden, weitere Informationen müssen innerhalb von 72 Stunden nachgereicht werden. Die umfassenden Anforderungen des CRA, insbesondere die verpflichtende Einhaltung der Cybersicherheitsvorgaben vor dem Inverkehrbringen von Produkten, gelten dann ab 11. Dezember 2027 vollständig für neu auf den EU-Markt gebrachte Produkte.
„Was denn noch alles?“ – diese Reaktion ist verständlich, wenn Unternehmen heute auf neue Cybersicherheitsgesetze wie NIS 2 oder den Cyber Resilience Act blicken. Die deutsche Industrie- und Handelskammer möchte Unternehmen in Deutschland mit einem juristisch fundierten Umsetzungsrahmen helfen, der Orientierung schafft, Prioritäten aufzeigt und die Anforderungen in einen realistischen Unternehmenskontext einordnet. Ziel ist es, Klarheit zu schaffen, Überforderung abzubauen und die Grundlage für eine tragfähige Umsetzung zu legen.
Das Webinar "Cyber Resilience Act – Umsetzungswebinar für Entscheider und Verantwortliche: Rechtliche Anforderungen praxisnah einordnen" am 25. August von 10:00 - 12:00 Uhr richtet sich primär an Geschäftsführende und Führungskräfte. Aber auch Verantwortliche für IT und Informationssicherheit sind ausdrücklich eingeladen, da ihre Perspektive für die Einordnung und Umsetzung der Anforderungen eine wichtige Rolle spielt.
Mit einer kostenfreien Webinarreihe unterstützen die bayerischen Industrie- und Handelskammern gemeinsam mit dem Fokusprojekt EASY.CRA (easycra.net) und weiteren Partnern Unternehmen dabei, sich frühzeitig auf die Anforderungen des Cyber Resilience Act (CRA) vorzubereiten. Die praxisnahen Online-Veranstaltungen vermitteln die wichtigsten gesetzlichen Vorgaben, zeigen konkrete Umsetzungswege auf und greifen aktuelle Entwicklungen rund um den CRA auf. Teilnehmende erhalten wertvolle Handlungsempfehlungen und haben die Möglichkeit, sich direkt mit Expertinnen und Experten auszutauschen.