Cyber Resilience Act: Warum KMU Cybersicherheit künftig von Anfang an mitdenken müssen

Wissenswertes am Mittwoch: Tipps, Trends und News rund um Digitalisierung

Herzlich willkommen zu unserem wöchentlichen Update! Hier finden Sie wertvolle Lese-Tipps, spannende Podcast-Empfehlungen sowie aktuelle Trends und Neuigkeiten aus der Politik zum Thema Digitalisierung.

Neue EU-Vorgaben für sichere digitale Produkte

Ob Buchhaltungssoftware, mobile App oder vernetzte Maschine: Immer mehr Produkte enthalten digitale Komponenten oder sind mit einem Netzwerk verbunden. Sicherheitslücken können Geschäftsprozesse, Kundendaten und Lieferketten gefährden.
Mit dem Cyber Resilience Act (CRA) führt die Europäische Union erstmals verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen ein. Die Vorgaben gelten EU-weit und werden schrittweise umgesetzt. Ab Ende 2027 müssen neu auf den Markt gebrachte Produkte die Anforderungen erfüllen.

Welche KMU können betroffen sein?
Der CRA richtet sich nicht nur an große Technologieunternehmen. Auch KMU können betroffen sein, wenn sie Software, Apps, vernetzte Maschinen oder digitale Komponenten entwickeln und auf dem europäischen Markt anbieten.
Entscheidend ist nicht, ob sich ein Unternehmen als IT-Unternehmen versteht, sondern ob ein Produkt digitale Elemente enthält und mit einem Gerät oder Netzwerk verbunden werden kann.

Was verändert sich für Unternehmen?
Cybersicherheit soll bereits bei der Produktentwicklung berücksichtigt werden. Nach den Grundsätzen „Security by Design“ und „Security by Default“ sollen Produkte von Beginn an sicher konzipiert und mit sicheren Standardeinstellungen ausgeliefert werden.
Das kann bedeuten, Daten zu verschlüsseln, unnötige Schnittstellen zu vermeiden, schwache Standardpasswörter auszuschließen oder Sicherheitsupdates automatisch bereitzustellen.
Hersteller müssen zudem Cybersicherheitsrisiken bewerten und dokumentieren. Eine Software Bill of Materials (SBOM) erfasst die enthaltenen Softwarekomponenten und Bibliotheken. Wird eine Schwachstelle bekannt, können betroffene Produkte schneller identifiziert werden.

Die Verantwortung endet nicht mit dem Verkauf
Auch nach dem Inverkehrbringen bleiben Hersteller in der Verantwortung. Während des festgelegten Supportzeitraums müssen sie Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen.
Für KMU bedeutet das, klare Abläufe zu schaffen: Wer bewertet gemeldete Sicherheitslücken? Wie werden Updates bereitgestellt? Und wie werden Kunden über sicherheitsrelevante Änderungen informiert?

Der Cyber Resilience Act macht Cybersicherheit zu einer verbindlichen Produkteigenschaft. KMU sollten frühzeitig prüfen, welche Produkte betroffen sein könnten und ob Entwicklungs-, Dokumentations- und Supportprozesse angepasst werden müssen. Wer sich rechtzeitig vorbereitet, kann die Anforderungen schrittweise in bestehende Abläufe integrieren.

Grundlage dieses Beitrags sind die Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zum Cyber Resilience Act.