Cyber Resilience Act (CRA): Wenn Software-Lieferanten haften
Die EU beendet die Ära der haftungsfreien Bananen-Software. Warum Hersteller digitaler Produkte ihre Entwicklungsprozesse grundlegend umstellen müssen.
In 30 Sekunden
Der CRA führt eine gesetzliche Vermutung für Produktsicherheit und Herstellerhaftung bei vernetzten Hard- und Softwareprodukten ein.
Eine lückenlose, maschinenlesbare Software Bill of Materials (SBOM) wird zur zwingenden Voraussetzung für das CE-Kennzeichen.
Hersteller müssen Sicherheitsupdates für die erwartete Nutzungsdauer, mindestens jedoch für fünf Jahre, kostenfrei bereitstellen.
Jahrzehntelang galt in der IT-Industrie ein rechtliches Kuriosum: Während jeder Automobilhersteller für defekte Bremsen haftete, schlossen Softwareunternehmen in ihren Lizenzbedingungen jegliche Gewährleistung für fehlerhaften Code kategorisch aus (as is).
Mit dem europäischen Cyber Resilience Act (CRA) ist dieses Privileg Geschichte. Die Verordnung verpflichtet Hersteller von Produkten mit digitalen Elementen – von der intelligenten Industriesteuerung bis zur Cloud-Schnittstelle – zu durchgängiger Cybersicherheit ab Werk.
Die Kernpflichten des CRA im Überblick
Der CRA unterscheidet nicht nach Unternehmensgröße, sondern nach dem Sicherheitsrisiko des Produkts. Wer auf dem EU-Binnenmarkt anbietet, muss nachweisen:
- Security by Design and by Default: Keine Auslieferung mit Standardpasswörtern oder offenen Ports.
- Transparente Schwachstellenverwaltung: Bekannte Sicherheitslücken müssen unverzüglich analysiert, behoben und an die europäische Cybersicherheitsagentur ENISA gemeldet werden.
- Kostenfreie Sicherheitsupdates: Die Verpflichtung zur Bereitstellung von Patches gilt für mindestens fünf Jahre oder die marktübliche Nutzungsdauer.
SBOM als Währung des Software-Einkaufs
Für Unternehmenskunden wandelt sich der Einkauf digitaler Lösungen dramatisch. Kein Chief Information Security Officer (CISO) wird künftig Systeme akzeptieren, die keine standardisierte Software Bill of Materials (SBOM) mitbringen.
Nur wer genau weiß, welche Open-Source-Bibliotheken in welcher Version in einer Maschinensteuerung schlummern, kann bei Bekanntwerden neuer Schwachstellen binnen Stunden reagieren. Der CRA macht Transparenz in der Software-Lieferkette zur harten Eintrittskarte in den europäischen Markt.