Cyber Resilience Act rückt Softwarelieferketten in den Fokus

Eine aktuelle Untersuchung von ONEKEY zeigt, dass viele deutsche Industrieunternehmen bei der Einbindung ihrer Zulieferer noch Nachholbedarf haben. Fehlende Informationen über Softwarebestandteile und Schwachstellen können künftig nicht nur zum Sicherheitsproblem, sondern auch zum Hindernis für den Marktzugang werden.

Verantwortung endet nicht beim Zulieferer

Digitale Produkte bestehen häufig aus einer Vielzahl fremder Komponenten. Neben Betriebssystemen und Firmware kommen Open-Source-Bibliotheken, Kommunikationsmodule, Software Development Kits und Cloud-Dienste zum Einsatz. Diese Bausteine können wiederum weitere Abhängigkeiten enthalten, die für den Hersteller des fertigen Produkts nicht ohne Weiteres erkennbar sind.

Mit dem CRA bleibt die Verantwortung dennoch beim Unternehmen, das ein Produkt unter eigenem Namen auf den europäischen Markt bringt. Es muss nachvollziehen können, welche Komponenten enthalten sind, woher sie stammen und welche Produktversionen von einer neu entdeckten Sicherheitslücke betroffen sein könnten.

Der Düsseldorfer Cybersicherheitsspezialist ONEKEY weist in seinem „IoT & OT Cybersecurity Report 2026“ auf erhebliche Unterschiede beim Umgang mit diesen Anforderungen hin. Für die Untersuchung wurden 200 Industrieunternehmen in Deutschland zu ihren Vorbereitungen auf die EU-Verordnung befragt.

Viele Unternehmen prüfen ihre Lieferanten noch nicht konsequent

Die Ergebnisse zeigen, dass bislang nur 25,8 Prozent der befragten Unternehmen CRA-Anforderungen aktiv und konsequent bei ihren Lieferanten einfordern. Weitere 33,3 Prozent tun dies zumindest teilweise. 20,8 Prozent haben nach eigenen Angaben noch keine entsprechenden Maßnahmen eingeleitet.

Auch aufseiten der Zulieferer ist die Vorbereitung unterschiedlich weit fortgeschritten. Lediglich 17,5 Prozent berücksichtigen die Vorgaben konsequent und stellen die erforderlichen Informationen bereit. Bei 44,2 Prozent geschieht dies teilweise. 13,3 Prozent sind kaum vorbereitet, während ein Viertel der befragten Hersteller nicht einschätzen kann, wie weit ihre Lieferanten bei der Umsetzung sind.

Besonders problematisch sind unklare Softwareversionen, fehlende Informationen über Abhängigkeiten und nicht geregelte Sicherheitsupdates. Das betrifft auch internationale Lieferketten: Zulieferer außerhalb der EU müssen die CRA-Vorgaben ebenfalls beachten, wenn sie Produkte oder Komponenten für den europäischen Markt bereitstellen.

SBOMs schaffen Transparenz über Softwarebestandteile

Eine zentrale Grundlage für die geforderte Nachvollziehbarkeit ist die Software Bill of Materials (SBOM). Sie dokumentiert, welche Softwarekomponenten in einem Produkt enthalten sind und wie diese miteinander verbunden sind.

Eine einmal erstellte Komponentenliste reicht dafür allerdings nicht aus. Die SBOM muss zum tatsächlich ausgelieferten Softwarestand passen, einer konkreten Produktversion zugeordnet und bei Änderungen aktualisiert werden. Andernfalls kann sie bei der Suche nach betroffenen Produkten und Versionen nur eingeschränkt helfen.

Zusätzlichen Aufwand verursachen unterschiedliche Datenformate und uneinheitliche Bezeichnungen der Zulieferer. Teilweise fehlen tiefere Abhängigkeiten, während andere Listen Komponenten aufführen, die im fertigen Produkt gar nicht mehr enthalten sind. Hersteller müssen die gelieferten Informationen daher prüfen und mit den tatsächlichen Software- oder Firmwareständen abgleichen.

Schwachstellenmanagement muss laufend erfolgen

Die Sicherheitsbewertung eines Produkts ist mit seiner Markteinführung nicht abgeschlossen. Eine zunächst unauffällige Komponente kann später durch eine neu bekannt gewordene Schwachstelle zum Risiko werden. Unternehmen benötigen deshalb Verfahren, mit denen sie Sicherheitsmeldungen fortlaufend den betroffenen Komponenten und Produktversionen zuordnen können.

Dabei ist zu unterscheiden, ob eine gemeldete Schwachstelle im konkreten Produkt tatsächlich ausnutzbar ist. Konfiguration und Einsatzumgebung spielen dabei ebenso eine Rolle wie die Frage, ob die betroffene Funktion überhaupt vorhanden oder erreichbar ist. Ergänzende VEX-Informationen können dokumentieren, ob eine Schwachstelle ein bestimmtes Produkt betrifft und wie die Bewertung zustande kommt.

Entscheidend ist, dass die Informationen aus SBOM und Schwachstellenanalyse in konkrete Abläufe einfließen. Dazu gehören die Identifikation betroffener Produkte, die Bewertung des Risikos, eine nachvollziehbare Dokumentation und gegebenenfalls die Bereitstellung von Sicherheitsupdates.

Sicherheitsanforderungen gehören in die Beschaffung

Die Vorgaben des CRA wirken sich auch auf die Zusammenarbeit mit Lieferanten aus. Neben Preisen, technischen Spezifikationen und Lieferterminen werden künftig belastbare Sicherheitsinformationen wichtiger. Unternehmen sollten entsprechende Kriterien deshalb bereits bei der Auswahl und Bewertung ihrer Zulieferer berücksichtigen.

Dazu zählen maschinenlesbare SBOMs, festgelegte Meldewege für Schwachstellen, Reaktionszeiten und verbindliche Angaben zu Sicherheitsupdates und Supportzeiträumen. Auch der Umgang mit nicht mehr gepflegten Komponenten oder dem Ausfall eines Zulieferers sollte geregelt sein.

ONEKEY empfiehlt zudem, die technischen Informationen nicht ausschließlich manuell in Tabellen zu verwalten. Bei großen Produktportfolios und häufigen Firmwareänderungen wird es zunehmend schwieriger, Komponenten und Abhängigkeiten auf diese Weise aktuell zu halten. Automatisierte Analysen können dabei helfen, Softwarebestandteile zu identifizieren, SBOMs zu überprüfen und Schwachstellen bestimmten Produktständen zuzuordnen.

Wichtige Fristen rücken näher

Die Meldepflichten des CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026. Die wesentlichen Produkt- und Herstellerpflichten werden ab dem 11. Dezember 2027 vollständig anwendbar. Neue Produkte mit digitalen Elementen müssen dann grundsätzlich die Anforderungen der Verordnung erfüllen, wenn sie erstmals auf dem EU-Markt bereitgestellt werden.

Bis dahin müssen Unternehmen unter anderem ihre Softwarebestände erfassen, Informationen bei Zulieferern einholen und Verfahren für Schwachstellenbewertung, Updates und Meldungen etablieren. Das kann insbesondere bei komplexen und international verzweigten Lieferketten längere Vorlaufzeiten erfordern.

Der Report von ONEKEY macht deutlich, dass CRA-Compliance nicht erst bei der abschließenden Produktprüfung beginnen kann. Hersteller müssen bereits im Einkauf und in der Entwicklung sicherstellen, dass die eingesetzten Komponenten ausreichend dokumentiert und ihre Sicherheitsrisiken über den gesamten Produktlebenszyklus hinweg beherrschbar sind.

(red/ONEKEY)