Die Europäische Union hat mit dem Cyber Resilience Act (CRA) ein neues Regelwerk für Cybersicherheit in der Produktentwicklung geschaffen. Das Gesetz zielt darauf ab, dass digitale Produkte von Grund auf sicher entwickelt werden, anstatt Sicherheit nur als nachgelagerte Funktion zu betrachten.
Der CRA fordert Hersteller auf, mehrere konkrete Massnahmen zu ergreifen. Dazu gehört die Durchführung von Sicherheitsbewertungen vor dem Launch, die Implementierung von Sicherheits-Updates über den gesamten Produktlebenszyklus, die Dokumentation von Sicherheitsmerkmalen und ein Incident-Response-Verfahren für Sicherheitslücken.
Besonders für kleinere Hersteller und Start-ups sind diese Anforderungen eine Herausforderung. Sie müssen ihre Entwicklungs-Pipelines umstellen, in Sicherheitstools investieren und Personal schulen. Allerdings gibt es auch Unterstützungsangebote, etwa Workshop-Programme, die die praktische Umsetzung erleichtern.
Der CRA ist nicht optional. Produkte, die nicht den Anforderungen genügen, können aus dem EU-Markt entfernt werden. Das ist ein erheblicher kommerzieller Druck.
Für KMU im IT-Bereich ist dies relevant auf mehreren Ebenen: Erstens, wenn sie selbst Produkte entwickeln und verkaufen, müssen sie CRA-konform werden. Zweitens, wenn sie Open-Source-Komponenten oder externe Software nutzen, sollten diese ebenfalls CRA-konform sein. Drittens sind Beratungsdienstleistungen zur CRA-Compliance ein Geschäftspotential. IT-Dienstleister sollten Kunden dabei unterstützen, ihre Entwicklungsprozesse sicherheitskonformer zu gestalten.