ENISA und BSI Dokumente zur Umsetzung des Cyber Resilence Act (CRA)

Ab dem 11. September 2026 greifen die ersten Regularien des europäischen Cyber Resilence Act (CRA) mit Meldepflichten – und ab 2027 mit Produktpflichten. Firmen müssen prüfen, ob sie unter den CRA der EU fallen. Die ENISA hat die Tage ein Dokument zur Umsetzung des Cyber Resilence Act (CRA) veröffentlicht, wie ich gesehen habe. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hält Informationen bereit.

Was ist der Cyber Resilence Act (CRA)?

Der Cyber Resilience Act (kurz CRA) der Europäischen Union ist eine Verordnung, die verbindliche Anforderungen an die Cybersicherheit und den Umgang mit Schwachstellen für Hardware- und Softwareprodukte mit digitalen Elementen festlegt, die in der EU verkauft werden. Wichtigste Anforderungen des CRA:

• Security by Design: Sicherheit muss bereits in der Planungs-, Entwurfs- und Entwicklungsphase integriert werden.
• Schwachstellenmanagement: Hersteller müssen Schwachstellen über den gesamten Lebenszyklus eines Produkts hinweg (in der Regel eine Supportdauer von mindestens fünf Jahren) nachverfolgen und beheben.
• Softwaretransparenz: Es muss eine Software-Stückliste (Software Bill of Materials, SBOM) bereitgestellt werden, in der die zugrunde liegenden Komponenten und Bibliotheken detailliert aufgeführt sind.

Die Verordnung trat im Dezember 2024 in Kraft, wobei die Meldepflichten für kritische Vorfälle am 11. September 2026 beginnen und die vollständige Durchsetzung am 11. Dezember 2027 in Kraft tritt. Das BSI hat Informationen zum CRA veröffentlicht.

Ich hatte kürzlich im Artikel EU-Cybersecurity-Pflichten für Hersteller & Betriebe – Hands-on eine Prüfseite erwähnt, auf der man unter anderem die obigen genannten Daten für die CRA-Betroffenheitsprüfung abrufen kann.

Die CRA-Unterstützung der ENISA

Die ENISA (European Union Agency for Cybersecurity) mit Sitz in Griechenland (Athen) ist die Agentur für Cybersicherheit der Europäischen Union. Die ENISA betreibt die Single Reporting Platform (SRP), die zu einem technischen Instrument für die Meldung aktiv ausgenutzter Sicherheitslücken und Vorfälle werden soll, die Produkte mit digitalen Elementen im digitalen Binnenmarkt der EU betreffen.

Wer unter den Cyber Resilence Act (CRA) fällt, muss dann weitere Prüfungen vornehmen und die sich daraus ergebenden Pflichten erfüllen.

Die Woche ist mir obiger Tweet untergekommen. Die ENISA hat ein Dokument (PDF)  veröffentlicht, das Hinweise zum Anwendungsbereich und zur Anforderungserfüllung des CRA enthält und damit mehr Rechtsklarheit schaffen soll. Das 84 Seiten umfassende PDF-Dokument ist in Englisch verfasst und erläutert vor allem Begriffe und was vom CRA betroffen ist und welche Meldepflichten es gibt.

BSI-Unterstützung zum CRA

Das Bundesamt für Sicherheit in der Informationstechnik (BIS) hat seine technische Richtlinie TR-03183 in der Version 1.0 veröffentlicht. Dort beschreibt das BSI die Cyber-Resilienz-Anforderungen an Hersteller und Produkte aus seiner Sicht. Die BSI TR-03183 ist als Sammlung von Informationen und als Einstiegshilfe in den CRA gedacht. Zielgruppe sind insbesondere Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse im Rahmen ihrer Entwicklung und Schwachstellenbehandlung etabliert haben.

Dieses Dokument stellt laut BSI eine Hilfestellung ohne verpflichtenden oder verbindlichen Charakter dar. Es kann nicht für eine Konformitätsvermutung genutzt werden. Die BSI TR-03183 sukzessive weiterentwickelt und durch die korrespondierenden harmonisierten Europäischen Standards ersetzt werden, sobald diese bereitstehen. heise hat in diesem Artikel einen Überblick gegeben.