Mit dem Cyber Resilience Act tritt eine neuer EU-Regulierungsrahmen in Kraft, der Herstellern von IT-Produkten und Soft- wie Hardware-Lösungen erhebliche neue Auflagen macht. Diese Verordnung zielt darauf ab, dass Produkte schon bei ihrer Entwicklung mit Security-by-Design entstehen und nicht erst nachträglich gehärtet werden.
Der Cyber Resilience Act fordert von Herstellern konkret die Identifikation und Bewertung von Sicherheitsrisiken während der Entwicklung. Dies bedeutet, dass Unternehmen formale Prozesse etablieren müssen, um potenzielle Schwachstellen frühzeitig zu identifizieren. Weiterhin müssen dokumentierte Sicherheitsmassnahmen getroffen werden, um erkannte Risiken zu mindern. Hersteller müssen zudem Compliance-Reports führen und diese bereithalten, falls Behörden Audits durchführen.
Besonders relevant ist, dass es keine Ausnahmen für kleine Entwickler gibt. Auch kleinere Softwareunternehmen oder Dienstleister, die Lösungen bauen, müssen die Anforderungen erfüllen. Dies kann organisatorische Herausforderungen mit sich bringen, da etablierte Security-Review-Prozesse manchmal ressourcenaufwendig sind.
Praktisch bedeutet dies für betroffene Unternehmen: Investition in Security-Schulung für Entwickler, Einsatz von Security-Testing-Tools bereits während der Entwicklung (nicht erst nach dem Release), etablierung von Incident-Response-Prozessen für Sicherheitsvorfälle in Produkten, und transparente Dokumentation aller getroffenen Massnahmen.
Für KMU-IT-Dienstleister, die Software oder Services anbieten, sollte der Cyber Resilience Act als Signal verstanden werden: Die Zeit für Security-as-Afterthought ist vorbei. Wer Produkte in den europäischen Markt bringen will, muss systematische Security-Praktiken nachweisen können. Unternehmen sollten eine Bestandsaufnahme machen: Welche Produkte unterliegen dem Act, und wie kann die aktuelle Entwicklungspraxis angepasst werden? Frühe Investitionen in strukturierte Security-Prozesse zahlen sich aus durch schnellere Compliance und, als Nebeneffekt, sicherere Produkte.