Lückenanalyse nach dem CRA

Rechtsgrundlage für den Vergleich

Vergleichen Sie anhand der für das Produkt geltenden CRA-Anforderungen. Artikel 6 und 13 begründen die Pflichten für das Produkt und die Risikobewertung; die Anhänge legen die Sicherheitsanforderungen und bereitzustellenden Informationen fest. Berücksichtigen Sie außerdem alle Normen und technischen Spezifikationen, auf die sich die Bewertung stützt.

• Artikel 6 und Anhang I bestimmen die Anforderungen an das Produkt und den Umgang mit Schwachstellen.
• Artikel 13 verlangt die Cybersicherheitsrisikobewertung und eine Begründung für den Unterstützungszeitraum.
• Anhang II führt Nutzerinformationen und Anleitungen auf.
• Anhang VII führt die Inhalte der technischen Dokumentation auf.
• Artikel 32 legt nach der Klassifizierung das Konformitätsbewertungsverfahren fest.
• Harmonisierte Normen oder andere technische Spezifikationen können belegen, wie Anforderungen erfüllt werden; ihre rechtliche Wirkung hängt jedoch von ihrem Status ab.

Was eine Lücke bedeutet

Eine Lücke kann das Produkt, das Verfahren des Herstellers oder die Nachweise für eine Schlussfolgerung betreffen. Beispielsweise verfügt ein Update-Mechanismus möglicherweise nicht über eine Signaturprüfung; oder der Mechanismus ist vorhanden, aber es gibt kein Testergebnis, das zeigt, dass ein manipuliertes Paket abgewiesen wird. Diese Feststellungen erfordern unterschiedliche Maßnahmen.

Beispiel: Lücke bei sicheren Updates schließen

Eine fiktive Steuerung verfügt bereits über signierte Firmware-Updates, aber das Team hat nicht geprüft, ob das Gerät ein mit einem nicht vertrauenswürdigen Schlüssel signiertes Abbild abweist. Zunächst fehlt ein Nachweis. Zeigt der Test, dass das Gerät das Abbild akzeptiert, liegt zusätzlich eine Umsetzungslücke vor.

1. Grundlage: Verknüpfen Sie die geltende Anforderung aus Anhang I, die Risikobewertung und die Auslegung sicherer Updates. Nennen Sie die genaue Produktversion und Konfiguration.
2. Feststellung: Beschreiben Sie den fehlenden Test oder das beobachtete Verhalten. Trennen Sie eine ungeprüfte Annahme von einem nachgewiesenen Fehler.
3. Maßnahme: Beauftragen Sie das Firmwareteam mit notwendigen Änderungen und das Verifizierungsteam mit Tests der betroffenen Updatepfade. Legen Sie einen Abschlusstermin fest, der zur Releaseentscheidung des Produkts passt.
4. Abschlussnachweise: Verknüpfen Sie die überarbeitete Auslegung oder den Änderungsbezug, die Testergebnisse für den betreffenden Build und die aktualisierte Risikobewertung. Begründen Sie, falls ein vorhandenes Testergebnis weiterhin gilt.
5. Prüfung: Die zuständige prüfende Person gleicht die ursprüngliche Lücke mit den neuen Nachweisen ab. Eine erledigte Aufgabe oder ein hochgeladener Bericht allein belegt nicht, dass die Lücke geschlossen ist.

Benennen Sie für jede Lücke die Anforderung und erläutern Sie, was fehlt. Weisen Sie die Arbeit zu und definieren Sie das Ergebnis, das eine prüfende Person für die Annahme der Korrektur benötigt. Dokumentieren Sie diese Prüfung zusammen mit den Nachweisen.

Ein Fertigstellungsgrad misst die Einträge auf dieser Checkliste. Er zeigt weder die Schwere der verbleibenden Lücken noch belegt er die Konformität. Eine ungelöste Authentisierungsstörung beim Update kann wichtiger sein als mehrere abgeschlossene Dokumentationsaufgaben.

Eingaben für die Lückenanalyse

Eine Lückenanalyse setzt einen definierten Produktumfang sowie eine belegte Klassifizierung und ein belegtes Konformitätsbewertungsverfahren voraus. Andernfalls vergleicht sie das Produkt möglicherweise mit nicht geltenden Anforderungen oder übersieht anwendbare Anforderungen.

Die Risikobewertung ist die wichtigste Grundlage dafür, welche Produktanforderungen aus Anhang I gelten. Die technische Dokumentation enthält das Ergebnis und die Nachweise. Siehe Cybersicherheitsrisikobewertung und Technische Dokumentation.