Grundlegende Cybersicherheitsanforderungen des CRA
Sytance · Aktualisiert
Anhang I ist die CRA-Grundlage für Produkte mit digitalen Elementen im Anwendungsbereich. Teil I beschreibt die Cybersicherheitseigenschaften des Produkts selbst. Teil II beschreibt das Verfahren des Herstellers zum Umgang mit Schwachstellen während des Unterstützungszeitraums.
Aufbau von Anhang I
Anhang I besteht aus zwei Teilen. Teil I betrifft das Produkt. Teil II betrifft das Verfahren des Herstellers zum Umgang mit Schwachstellen. Artikel 6 verbindet beide: Ein Produkt darf nur auf dem Markt bereitgestellt werden, wenn es die geltenden Anforderungen aus Teil I erfüllt und die Verfahren des Herstellers Teil II entsprechen.
Teil I: Produkteigenschaften
Sichere Standardeinstellungen, geschützte Daten, kontrollierter Zugriff, widerstandsfähige Funktionen, Updatefähigkeit, Überwachung von Aktivitäten sowie sichere Löschung von Daten und Einstellungen.
Teil II: Umgang mit Schwachstellen
Verfahren zum Erkennen, Dokumentieren, Beheben und Offenlegen von Schwachstellen im Produkt und seinen Komponenten sowie zur Kommunikation darüber.
Artikel 13 verpflichtet den Hersteller, Cybersicherheitsrisiken zu bewerten. Diese Bewertung bestimmt, wie die Anforderungen aus Teil I für das Produkt gelten.
Teil I: Cybersicherheitseigenschaften des Produkts
Teil I beginnt mit dem angestrebten Gesamtergebnis des Produkts und nennt anschließend Sicherheitseigenschaften, die auf Grundlage der Cybersicherheitsrisikobewertung und soweit zutreffend gelten. Die Liste ist breit gefasst, weil der CRA viele Arten von Software, Hardware, Komponenten und Fernverarbeitung von Daten erfasst, die Produktfunktionen unterstützen.
Produkte mit digitalen Elementen müssen so entworfen, entwickelt und hergestellt werden, dass sie ein angesichts der Risiken angemessenes Cybersicherheitsniveau gewährleisten.
Verordnung (EU) 2024/2847, Anhang I Teil I Nummer 1
Eine Verbraucher-App, ein industrielles VPN und eine wiederverwendbare Hardwarekomponente können unterschiedlichen Risiken ausgesetzt sein, auch wenn eine Anforderung gleichlautend formuliert ist. Die Risikobewertung erläutert, wie Teil I für das jeweilige Produkt gilt und warum eine Anforderung nicht anwendbar ist, wenn der Hersteller zu diesem Schluss kommt.
Teil I fragt im Wesentlichen, ob das Produkt Folgendes kann:
- ohne bekannte ausnutzbare Schwachstellen und mit einer sicheren Standardkonfiguration auf den Markt gelangen;
- Schwachstellen mithilfe von Sicherheitsupdates beheben, einschließlich automatischer Updates, wenn diese zum Produkt passen;
- Zugriff, Vertraulichkeit, Integrität, Verfügbarkeit, Befehle, Programme, Konfiguration und verarbeitete Daten schützen;
- Angriffsflächen begrenzen und die Auswirkungen eines Vorfalls verringern;
- relevante Sicherheitsaktivitäten mit einer Opt-out-Möglichkeit für Nutzer erfassen und überwachen;
- Nutzern ermöglichen, Daten und Einstellungen sicher zu löschen und Daten sicher zu übertragen, falls eine Übertragung unterstützt wird.
Dies sind Produkteigenschaften und kein einziges festgelegtes Umsetzungsmuster. Dieselbe Anforderung kann bei einem Verbrauchergerät, einem professionellen Netzwerkprodukt, einem SDK oder Firmware, die in andere Produkte integriert werden soll, zu unterschiedlichen technischen Entscheidungen führen.
Teil II: Umgang mit Schwachstellen
Teil II betrifft das Verfahren des Herstellers. Es gilt ab der Bereitstellung des Produkts auf dem Markt und während des Unterstützungszeitraums. Es umfasst auch Schwachstellen in enthaltenen Komponenten; deshalb sind die Transparenz über Komponenten und die Kommunikation mit vorgelagerten Stellen wichtig.
Der Hersteller muss Schwachstellen und Komponenten identifizieren und dokumentieren. Anhang I verlangt ausdrücklich eine Software-Stückliste in einem gängigen maschinenlesbaren Format, die mindestens die unmittelbaren Abhängigkeiten abdeckt.
Schwachstellen sind entsprechend den Risiken für das Produkt unverzüglich zu behandeln und zu beheben. Sicherheitsupdates sollten, sofern technisch machbar, getrennt von Funktionsupdates bereitgestellt werden.
Teil II verlangt eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und eine Kontaktadresse für deren Meldung. Artikel 13 verpflichtet Hersteller außerdem, die Person oder Stelle zu informieren, die eine integrierte Komponente betreut, wenn sie eine Schwachstelle in dieser Komponente erkennen.
Update-Mechanismen müssen Korrekturen sicher und zeitnah verteilen. Verfügbare Sicherheitsupdates sind unverzüglich, in der Regel kostenlos, bereitzustellen und mit Informationen zu versehen, die Nutzern beim Handeln helfen.
Normen und Nachweise
Harmonisierte Normen können eine Konformitätsvermutung nur dann unterstützen, wenn die betreffende Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde. Entwürfe, Zuordnungen und Sektornormen können weiterhin nützliche Nachweise liefern, ersetzen aber nicht die produktspezifische Risikobewertung nach Artikel 13.
Mit dem Normungsauftrag M/606 ersucht die Kommission die europäischen Normungsorganisationen um horizontale und vertikale Normen. Die Umsetzungs-FAQ beschreibt horizontale Ergebnisse für den risikobasierten Produktrahmen, Produkteigenschaften nach Teil I und den Umgang mit Schwachstellen nach Teil II sowie vertikale Normen für wichtige und kritische Produktkategorien.
Die technische Dokumentation sollte erläutern, wie ausgewählte Normen oder andere technische Maßnahmen den für das Produkt ermittelten Risiken begegnen. Anschließend sollte sie zeigen, welche Produkteigenschaften und Verfahren zum Umgang mit Schwachstellen diese Maßnahmen umsetzen.
Lesen Sie prEN 40000-1-4: öffentliche Materialien zu aktuellen öffentlichen Materialien zur geplanten Norm mit allgemeinen Sicherheitsanforderungen und prEN 40000-1-3 Umgang mit Schwachstellen zum aktuellen Entwurf für den Umgang mit Schwachstellen.