Cyber Resilience Act
In Kraft (gestaffelt)Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act)
Betrifft dich, wenn …
- Du stellst Produkte mit digitalen Elementen her, die in der EU auf den Markt kommen (Hard- oder Software).
- Du importierst oder vertreibst vernetzte Geräte, Apps, Firmware oder Software-Komponenten.
- Du entwickelst Software, die eigenständig oder als Teil eines Produkts verkauft wird (auch B2B).
Kern-Pflichten
- Security-by-Design und Security-by-Default über den gesamten Produktlebenszyklus umsetzen.
- Schwachstellen-Management etablieren und Sicherheitsupdates während des definierten Supportzeitraums bereitstellen.
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb der Fristen an ENISA / CSIRT melden.
- Konformitätsbewertung durchführen und CE-Kennzeichnung mit technischer Dokumentation bereitstellen.
Weiterlesen — kostenlos
Den vollständigen Inhalt freischalten
Trag deine E-Mail-Adresse ein und bestätige sie: Du abonnierst den Signal-Forge-Newsletter von FORGE und erhältst sofort Zugang zu diesem und allen weiteren registrierungspflichtigen Inhalten. Die Abmeldung ist jederzeit möglich.
Schon registriert? Der Link aus deiner Bestätigungs-Mail schaltet dieses Gerät wieder frei.
Erste Schritte
- Inventar aller eigenen Produkte mit digitalen Elementen und ihrer Komponenten (inkl. Open-Source-Abhängigkeiten) erstellen.
- Prüfen, in welche Kategorie (Standard / wichtig / kritisch) die Produkte fallen.
- Prozess für Schwachstellen-Meldung, Patch-Auslieferung und Support-Zeitraum definieren.
- Technische Dokumentation und SBOM (Software Bill of Materials) vorbereiten.
Fristen
- 2024-12-10Verordnung in Kraft getreten
- 2026-09-11Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle anwendbar
- 2027-12-11Vollständige Anwendbarkeit der Hersteller-Pflichten (CE-Kennzeichnung, Konformitätsbewertung)
Sanktion bei Verstoß
Bußgelder bis 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes (bei Verstoß gegen die grundlegenden Cybersicherheitsanforderungen); abgestufte Rahmen für sonstige Verstöße.