Cyber Resilience Act: Neue Meldepflichten für IoT

Ab September gelten im Rahmen des EU Cyber Resilience Act neue Meldepflichten. Für IoT-Hersteller wird Security-by-Design Pflicht.

Am 11. September tritt die nächste Stufe des europäischen Cyber Resilience Act (CRA) in Kraft. Ab diesem Stichtag sind Hersteller von Produkten mit digitalen Elementen gesetzlich verpflichtet, aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Cybervorfälle unverzüglich zu melden. Der CRA nimmt Unternehmen damit über den gesamten Produktlebenszyklus in die Pflicht und macht den Ansatz „Security-by-Design“ zur Grundvoraussetzung für die Betriebskontinuität und die Marktkonformität im europäischen Binnenmarkt.

Der Handlungsbedarf in der Industrie ist hoch: Daten aus dem Device Security Threat Report von Palo Alto Networks verdeutlichen die bestehende Sicherheitslücke. Rund jedes fünfte IoT-Gerät weist demnach eine bekannte Schwachstelle auf. Zudem stammen fast die Hälfte (48,2 Prozent) aller Verbindungen von IoT-Systemen zu internen Unternehmensnetzwerken von Geräten, die als hochriskant eingestuft werden.

Security-by-Design als Voraussetzung für die CE-Kennzeichnung

Mit den neuen Vorgaben wandelt sich Cybersicherheit von einer optionalen Schutzmaßnahme zu einer rechtlichen Verkaufsvoraussetzung in Europa. Hersteller müssen künftig bereits vor dem Anbringen der CE-Kennzeichnung nachweisen, dass ihre Produkte über sichere Standardkonfigurationen, strukturierte Prozesse zum Schwachstellenmanagement sowie eine vollständige Software-Stückliste (Software Bill of Materials, SBOM) verfügen.

Darüber hinaus endet die Verantwortung der Entwickler nicht mehr mit dem Verkaufsstart. Über die gesamte erwartete Lebensdauer eines vernetzten Produkts hinweg müssen Sicherheitsupdates bereitgestellt und Schwachstellen gepflegt werden.

Integrierte Resilienz für vernetzte Systeme

Da viele IoT-Geräte außerhalb klassischer Unternehmens-Perimeter betrieben werden und große Mengen sensibler Daten verarbeiten, stellen sie ein bevorzugtes Ziel für Angreifer dar. Expertinnen und Experten raten daher zu einer grundlegenden Umstellung der IoT-Sicherheitsarchitektur:

• Starke Authentifizierung: Umfassender Schutz aller Zugänge und Geräteidentitäten im Netzwerk.
• Anomalieerkennung: Frühzeitiges Identifizieren und Isolieren von ungewöhnlichem Systemverhalten.
• Kontinuierliche Transparenz: Vollständige Sichtbarkeit aller aktiven Komponenten zur lückenlosen Nachvollziehbarkeit.

„Mit dem Cyber Resilience Act wird Resilienz zu einer strategischen Notwendigkeit, da Cybersicherheit künftig eine rechtliche Voraussetzung für den Verkauf vernetzter Produkte in Europa ist. Der CRA stellt sicher, dass Cybersicherheit nicht länger nachträglich berücksichtigt wird, sondern von Anfang an Teil der Produktentwicklung ist.“

Iain Davidson, Leiter des Produktmarketings bei Wireless Logic

(Wireless Logic/red)