Risikobewertung der Cybersicherheit nach dem CRA

Rolle der Risikobewertung

Zur Erfüllung von Absatz 1 nehmen die Hersteller eine Bewertung der mit einem Produkt mit digitalen Elementen verbundenen Cybersicherheitsrisiken vor und berücksichtigen deren Ergebnisse in den Phasen Planung, Gestaltung, Entwicklung, Herstellung, Lieferung und Wartung des Produkts mit digitalen Elementen, um Cybersicherheitsrisiken zu minimieren, Vorfälle zu verhindern und deren Auswirkungen, auch auf Gesundheit und Sicherheit der Nutzer, zu begrenzen.

Verordnung (EU) 2024/2847, Artikel 13 Absatz 2

Artikel 13 verlangt, dass die Risikobewertung den Produktlebenszyklus begleitet und während des Unterstützungszeitraums bei Bedarf aktualisiert wird.

Was die Bewertung erläutert

Nach Artikel 13 Absatz 3 muss die Bewertung den bestimmungsgemäßen Zweck, die vernünftigerweise vorhersehbare Verwendung, die Nutzungsbedingungen, die Betriebsumgebung, die zu schützenden Anlagen und die erwartete Nutzungsdauer berücksichtigen.

• welche Anforderungen aus Anhang I Teil I für das Produkt gelten;
• wie diese Produktanforderungen umgesetzt werden;
• wie die allgemeine risikobasierte Cybersicherheitsanforderung aus Anhang I Teil I Nummer 1 angewendet wird;
• wie die Anforderungen zum Umgang mit Schwachstellen aus Anhang I Teil II angewendet werden;
• warum eine Anforderung nicht anwendbar ist, wenn der Hersteller zu diesem Schluss kommt.

Beispiel: Bewertung eines Firmware-Updatepfads

Betrachten wir eine fiktive vernetzte Steuerung, die Firmware von einem Update-Dienst empfängt. Ein Angreifer könnte versuchen, das Abbild vor der Installation auszutauschen. Bei der Bewertung ist zu klären, ob dies möglich ist und was die manipulierte Firmware bewirken könnte.

1. Ermitteln Sie den Updatepfad für das Steuerungsmodell und die Firmwareversion. Stellen Sie fest, wer ein Abbild bereitstellen kann, wie es das Gerät erreicht und welche Prüfungen vor der Installation erfolgen.
2. Beschreiben Sie die Bedrohung: Ein Angreifer ersetzt vor der Installation ein Firmwareabbild. Das Schutzgut ist die Integrität des ausführbaren Codes; die Folgen hängen davon ab, welche Funktionen die Steuerung verändern kann.
3. Bewerten Sie die bestehenden Kontrollen: Stellen Sie fest, wo das Abbild geprüft wird, welchen Signaturschlüsseln vertraut wird und was nach einer fehlgeschlagenen Prüfung geschieht. Eine Aussage zur Auslegung belegt allein nicht das Verhalten der freigegebenen Version.
4. Verknüpfen Sie Maßnahmen mit der Verifizierung: Bewahren Sie die genehmigte Updateauslegung und Tests für manipulierte Abbilder, ungültige Signaturen und die Wiederherstellung nach Fehlern auf. Dokumentieren Sie die getestete Firmware und Konfiguration.
5. Erläutern Sie das verbleibende Risiko anhand der Angriffsbedingungen und erwarteten Folgen. Benennen Sie Annahmen, die noch bestätigt werden müssen, sowie weitere erforderliche Maßnahmen. Überprüfen Sie die Schlussfolgerung, wenn sich der Update-Mechanismus oder die Bedrohung ändert.

Ein Datenflussdiagramm (DFD) und STRIDE können helfen, Angriffswege für diese Analyse zu identifizieren. Die Risikobewertung erfordert dennoch Produktfakten und Verifizierungsergebnisse. Das Team sollte beispielsweise die Signaturprüfung mit der Auslegung und der getesteten Firmware abgleichen, bevor es sich auf ihre risikomindernde Wirkung verlässt.

Bezug zur technischen Dokumentation

Artikel 13 Absatz 4 verlangt, die Cybersicherheitsrisikobewertung in die technische Dokumentation aufzunehmen. Anhang VII verlangt außerdem eine Bewertung der Cybersicherheitsrisiken, gegen die das Produkt ausgelegt, entwickelt, hergestellt, geliefert und gewartet wird.

Unterstützung durch Normen

Der Entwurf prEN 40000-1-2 erläutert auf seiner Seite das aktuelle horizontale Dokument zu Grundsätzen des Risikomanagements für Cyberresilienz. Es kann die Strukturierung der Arbeit unterstützen; die rechtliche Pflicht ergibt sich jedoch weiterhin aus Artikel 13 und Anhang I.