CRA Cyber Resilience Act der EU: Drei Sofortmaßnahmen für Unternehmen

Der Cyber Resilience Act wurde im Herbst verabschiedet. Vor allem die Hersteller von Produkten werden demnach in die Pflicht genommen – und zwar mit wenigen Ausnahmen, unabhängig der Branche. Das Fraunhofer IEM rät Unternehmen zu drei Sofortmaßnahmen.

Lange wurde der Cyber Resilience Act (CRA) angekündigt, nun ist es offiziell: Am 10. Oktober 2024 ist er verabschiedet worden. Damit gelten ab dem November 2027 für eine Vielzahl vernetzter Geräte und deren Software EU-weite neue Mindestanforderungen in puncto Security – Schwachstellenmeldepflichten gelten sogar schon ab August 2026.

Das Fraunhofer IEM erarbeitet mit Unternehmen wie Adesso Mobile Solutions, Connext, Phoenix Contact und Kraft Maschinenbau seit vielen Jahren Security-Maßnahmen und gibt Tipps, wie Unternehmen sich für den CRA rüsten können. „Die Übergangsfrist, bis der CRA 2027 voll erfüllt werden muss ist kurz. Unternehmen müssen sich in vielen Bereichen neu aufstellen – angefangen von der Durchführung von Security-Risikoanalysen über kurzfristige Meldepflichten bei Bekanntwerden von Schwachstellen bis hin zu kostenfreien Security-Updates während der erwarteten Lebensdauer des Produkts. Und Aufschieben gilt nicht, denn bei Nichteinhaltung des CRA drohen Strafzahlungen in Millionenhöhe“, erläutert Dr. Matthias Meyer, Bereichsleiter Softwaretechnik und IT-Sicherheit am Fraunhofer IEM.