Mit dem Cyber Resilience Act (CRA) hat die EU eine umfassende Regulierung zur Verbesserung der Cyberresilienz von – bis auf wenige Ausnahmen – allen im EU-Raum vertriebenen IT-Produkten mit Konnektivität beschlossen. Die erste Wirkung entfaltet diese Regulierung bereits am 11. September 2026: Ab diesem Stichtag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständigen Behörden melden. Alle übrigen Anforderungen sind ab Dezember 2027 einzuhalten.
Marktzugang nur mit Konformitätsnachweis
Die Einhaltung der Essential Security Requirements des CRA ist Voraussetzung für den Markteintritt der betroffenen Produkte. Abhängig davon, in welche Produktgruppe des CRA (d. h. Default-Klasse, Klasse I, Klasse II oder Klasse Critical) die Produkte des betroffenen Herstellers fallen, ist zum Nachweis der Erfüllung der Anforderung eine Selbsterklärung ausreichend, oder eine produktspezifische Typprüfung oder EUCC-Zertifizierung müssen durchgeführt werden. Ebenso kann sich der Hersteller einem Qualifikationsverfahren unterziehen, welches automatisch die Konformität für seine Produkte bestätigt (nicht anwendbar bei Klasse Critical).
SRC startet das Notifizierungsverfahren beim BSI
SRC Zert und die SRC-Prüfstelle haben im Juli die ersten Schritte mit der notifizierenden Behörde für Deutschland, dem Bundesamt für Sicherheit in der Informationstechnik (BSI), getan, um unseren Kunden notwendige Konformitätsprüfungsdienstleistungen rund um den Cyber Resilience Act zukünftig anbieten zu können. In einem Informationsgespräch wurde der Scope der Notifizierung und die dafür notwendige Akkreditierung bei der Deutschen Akkreditierungsstelle (DAkkS) behandelt. SRC geht nun die nächsten Schritte auf dem Weg zur Notifizierung.
Jetzt ist der richtige Zeitpunkt zu starten
Auch wenn alle Details zur Umsetzung des Cyber Resilience Act nach aktuellen Informationen erst Ende dieses Jahres vorliegen werden, ist jetzt für alle betroffenen Hersteller der richtige Zeitpunkt, um sich mit dem CRA zu beschäftigen. Schon heute unterstützt SRC bei der Einordnung von Produkten in die CRA-Klassen, bei der Vorprüfung zur CRA-Compliance, bei der Erstellung einer Herstellererklärung nach Modul A sowie bei Evaluierungen nach EUCC.
Hier direkt mit der Einordung starten.
