Durch Cyber Resilience Act der EU drohen Millionenstrafen
Cyber Resilience Act fordert von Herstellern, Distributoren und Importeuren unverzügliche Meldung von Sicherheitslücken.
Mit dem Cyber Resilience Act (CRA) der EU-Kommission soll der digitale Flickenteppich rund um Geräte und Anlagen mit Netzwerkanschluss – vom Drucker über Router bis zu smarten Haushaltshelfern und industriellen Steuerungssystemen – geschlossen werden. Besonderen Schutz erfordern dabei industrielle Netzwerke und kritische Infrastrukturen. Laut der Europäischen Union gibt es aktuell alle elf Sekunden einen Ransomware-Angriff; allein in den letzten Wochen traf es unter anderem einen führenden Hersteller von Kindernahrung und einen globalen Tier1-Automobilzulieferer mit Hauptsitz in Deutschland.
Um Hersteller, Distributoren und Importeure in die Pflicht zu nehmen, drohen empfindliche Strafen, wenn Sicherheitslücken bei Geräten auffallen und nicht korrekt gemeldet und geschlossen werden. Sie sind verpflichtet, ENISA – die Agentur der Europäischen Union für Cybersicherheit – innerhalb von 24 Stunden zu benachrichtigen, wenn eine Sicherheitslücke in einem ihrer Produkte ausgenutzt wird. Schon die Überschreitung der Meldefristen wird sanktioniert.
Bußgelder bis zu 2,5 Prozent des Jahresumsatzes
Die Strafzahlungen für betroffene Hersteller und Distributoren sind hoch: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes im abgelaufenen Geschäftsjahr – die größere Zahl zählt. „Der Druck auf die Industrie wächst immens. Die EU wird diese Verordnung kompromisslos umsetzen, auch wenn noch einige Arbeitsschritte zu erledigen sind, etwa bei den lokalen Landesbehörden“, warnt Jan Wendenburg, Geschäftsführer des Cybersecurity Unternehmens Onekey.
Der Vorschlag der Kommission sieht eine Geltung der neuen Vorgaben bereits 24 Monate nach Inkrafttreten der Verordnung vor. Einzelne Elemente wie die Meldepflicht bei Sicherheitsvorfällen sollen bereits nach 12 Monaten gelten. „Der Zeithorizont ist knapp, wenn man bedenkt, dass Bestellungen für IT-Produkte bei OEM-Herstellern bereits dieses Jahr für die kommenden 12-18 Monate getätigt werden“, sagt Wendenburg. Sein Unternehmen betreibt eine Firmware-Analyse-Plattform zum Auffinden von Sicherheitslücken in smarten und vernetzten Geräten – von Staubsaugerrobotern bis zu Industriesteuerungen mit Millionenwert. Das Cyber Resilience Readiness-Assessment bietet die Möglichkeit, bereits jetzt Produkte auf essentielle Anforderungen des Cyber Resilience Acts zu prüfen, Sicherheitslücken zu untersuchen und auch den von der EU-Kommission geforderten SBOM (Software Bill of Materials) mit Inhalten füllen können.
