Was ist das Gesetz zur Cyber-Resilienz?

Niederländische Bezeichnung: Cyber Resilience Act (CRA) | Rechtsgrundlage: Verordnung (EU) 2024/2847

Das Gesetz zur Cyber-Resilienz (CRA, Verordnung (EU) 2024/2847) ist eine EU-Verordnung, die Anforderungen an die Cybersicherheit für Produkte mit digitalen Elementen, einschließlich Hardware und Software, festlegt, die auf dem EU-Markt in Verkehr gebracht werden. Es gilt für Hersteller, Importeure und Händler und folgt dem Ansatz der CE-Kennzeichnung des Neuen Rechtsrahmens.

Produkte müssen wesentliche Anforderungen an die Cybersicherheit erfüllen, die den Umgang mit Sicherheitslücken, Sicherheitsupdates, sichere Standardkonfigurationen und den Datenschutz umfassen. Hersteller müssen eine Konformitätsbewertung durchführen, technische Unterlagen erstellen und Sicherheitsupdates für die voraussichtliche Lebensdauer des Produkts (mindestens fünf Jahre) bereitstellen. Die CRA gilt für die meisten Produkte ab Ende 2027, wobei für Meldepflichten frühere Fristen gelten.

Warum dies für internationale Unternehmen von Bedeutung ist

Für IoT-Hersteller, Softwareunternehmen und Hersteller von Industrieanlagen fügt die CRA dem bestehenden Rahmenwerk zur Produktkonformität eine zusätzliche Ebene der Cybersicherheit hinzu, die mit der CE-Kennzeichnung, der GPSR und branchenspezifischen Anforderungen integriert werden muss.