Bereits 11. September 2026 die ersten Verpflichtungen, die sich aus der Cyberresilienzgesetz (Cyber Resilience Act „CRA“)
Diese Verordnung der Europäischen Union legt die Bedingungen für die Entwicklung sicherer Produkte mit digitalen Elementen fest und hat folgendes Ziel:
- Erhöhung der Sicherheit von Produkten, die auf dem EU-Markt angeboten werden,
- Verringerung von Schwachstellen in Produkten und Implementierung von Verfahren zu deren Behebung,
- Einführung der Meldepflicht für ausgenutzte Sicherheitslücken und schwerwiegende Cybervorfälle,
- Verbesserung des Bewusstseins für Cybersicherheit bei normalen Endnutzern von Produkten.
Was umfasst das Gesetz?
Der Anwendungsbereich der Verordnung umfasst sogenannte Produkte mit digitalen Elementen, die sowohl Software als auch Hardware sind und deren beabsichtigte Verwendung eine Datenverbindung zu einem Gerät oder Netzwerk erfordert - d.h. die Übertragung digital kodierter Informationen zwischen dem Sender und dem Empfänger.
Was ändert sich?
Die Verordnung tritt zwar erst am 11. Dezember 2027 vollständig in Kraft, Die ersten Verpflichtungen für die Hersteller treten am 11. September 2026 in Kraft. Artikel 14, der die Meldepflicht regelt, tritt heute in Kraft. Hersteller müssen ab sofort alle aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfälle, die die Produktsicherheit beeinträchtigen, melden.
- zu 24 Stunden Ab dem Zeitpunkt der Entdeckung des Vorfalls muss der Hersteller Anzeige erstatten. Vorläufiger Bericht über eine einzige europäische Plattform, die von ENISA verwaltet wird,
- zu 72 Stunden Dann muss diese Meldung durch detailliertere technische Informationen ergänzt werden.
Was bedeutet das für Unternehmen?
Diese Verpflichtung bedeutet in der Praxis, dass die Betroffenen Unternehmen müssen über interne Prozesse verfügen, um Vorfälle zu erkennen.Schnelle Bewertung und zeitnahe Berichterstattung sind wichtig. Es empfiehlt sich außerdem, sich rechtzeitig auf die Erfüllung weiterer Verpflichtungen vorzubereiten, die das Cyber Resilience Act mit sich bringt, wie beispielsweise die Bestimmung der unter die Verordnung fallenden Produkte oder deren Klassifizierung in bestimmte Kategorien.
Es wird außerdem ein Gesetz über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen vorbereitet, das festlegen soll, wer die Einhaltung der Vorschriften überwacht und Sanktionen verhängt.
Benötigen Sie Hilfe bei der Vorbereitung auf Ihre neuen Aufgaben? Kontaktieren Sie uns, wir helfen Ihnen gerne.
