Qvestcon News

CRA: Organisation, SBOM und Nachweise für Hersteller

Der Cyber Resilience Act (CRA) gilt für nahezu alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden, auch für Apps und Unter­neh­mens­soft­ware. Mel­de­pflich­ten für aktiv ausgenutzte Schwach­stel­len und schwer­wie­gende Vorfälle gelten ab dem 11.09.2026, alle übrigen Anforderungen ab dem 11.12.2027. Die Haupt­ver­ant­wor­tung tragen die Hersteller. Praktisch sind drei Bausteine aufzubauen. Erstens ein Verfahren zur koordinierten Schwach­stel­len­mel­dung, mit dem externe Hinweise ent­ge­gen­ge­nom­men, bewertet und an die zuständigen Fachleute weitergegeben werden. Viele Unternehmen brauchen dafür laut Fachbeitrag ein Product Security Incident Response Team. Zweitens eine Software-Stückliste (Software Bill of Materials), die die eingesetzten Komponenten dokumentiert und betroffene Systeme schneller findet. Drittens eine technische Dokumentation, die vor dem Inver­kehr­brin­gen vorliegt und mindestens zehn Jahre aufbewahrt wird. Sicher­heits­up­dates sind für die meisten Produkte mindestens fünf Jahre oder für die vorgesehene Lebensdauer bereit­zu­stel­len, der Sup­port­zeit­raum ist auszuweisen. Verstöße können Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jah­res­um­sat­zes nach sich ziehen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank ist die Stückliste der schnellste Einstieg.