CRA, RED und CS&R Vorschriften zur Sicherung der vernetzten Welt

Anbieter zum Thema

Garz & Fricke GmbH

Bürklin GmbH & Co. KG

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

Vorschriften wie der Cyber Resilience Act und die Radio Equipment Directive der EU oder die in Großbritannien vorgeschlagene Cyber Security and Resilience Bill verschärfen die Anforderungen an vernetzte Produkte. Security by Design, SBOMs, sichere Updates und konsequentes Lifecycle-Management sind wichtiger denn je zuvor.

Mit der zunehmenden Anzahl von Internet‑of‑Things‑(IoT)‑ und Edge‑Geräten steigen die potenziellen Sicherheitslücken in verteilten Netzwerken elektronischer Systeme dramatisch an. Um ihre vernetzten Geräte zu schützen, benötigen Unternehmen wirksame Cybersicherheitsmaßnahmen, um einen unterbrechungsfreien Betrieb zu gewährleisten, Daten zu sichern und die Nutzer von Anwendungen weltweit zu schützen. Da sich die Bedrohungen jedoch ständig ändern, entwickeln sich die weltweiten Vorschriften weiter, um strengere Sicherheitsstandards einzuführen.

Vorreiter dieses Wandels sind das Gesetz zur Cyber-Resilienz (Cyber Resilience Act, CRA) und die Richtlinie über Funkanlagen (Radio Equipment Directive, RED) der Europäischen Union (EU). Diese Standards legen umfassende Mindestanforderungen an die Cybersicherheit fest, die die weltweiten Praktiken bei der Entwicklung digitaler und drahtloser Produkte prägen.

Viele Unternehmen stehen vor erheblichen Herausforderungen, weil sie ihre Geschäftsstrategien an die neuen Vorschriften anpassen müssen. Diese werden künftig für die meisten vernetzten Geräte gelten, die in der EU verkauft werden. Ähnliche Richtlinien wurden auch in anderen Regionen vorgelegt oder bereits verabschiedet; ein Beispiel hierfür ist der im Vereinigten Königreich vorgeschlagene „Cyber Security and Resilience (CS&R) Bill“.

Zunehmende Angriffe auf die Infrastruktur

Cybersicherheit umfasst den Schutz von Geräten, Netzwerken, Firmware und Daten vor externen Bedrohungen. Das oberste Ziel der Umsetzung von Cybersicherheit in IoT-Anwendungen ist es, Störungen zu vermeiden, die den Betrieb, die Sicherheit oder die Einhaltung von Vorschriften gefährden könnten. Dennoch können Fehler in Geräten, veraltete Firmware oder unsichere Kommunikationsprotokolle Angreifern einen einfachen Zugang ermöglichen, wodurch sie Botnetze aufbauen, Daten stehlen oder unbefugte Kontrolle erlangen können.

Das Mirai-Botnetz beispielsweise hat Hunderttausende ungeschützter IoT-Geräte unter seine Kontrolle gebracht und Ziele mit groß angelegten verteilten Denial-of-Service-Angriffen überflutet. Neuere Bedrohungen wie das Matrix-Botnetz folgten dem gleichen Muster und kompromittierten alles von Heimroutern über Telekommunikationsgeräte bis hin zu IP-Kameras. Beide Fälle zeigen, dass bereits Schwachstellen in einzelnen Geräten ausreichen, um die globale Internetinfrastruktur eines Unternehmens zu gefährden oder sensible persönliche und geschäftliche Daten gegenüber Dritten offenzulegen.

Um dies auszunutzen, setzen moderne Angreifer zunehmend auf Automatisierung, um Schwachstellen in großen Netzwerken aufzuspüren und auszunutzen. Die Zunahme von KI-gestützten Cyberangriffen verschärft dieses Problem noch, da dadurch ausgefeiltere und schwerer zu erkennende Bedrohungen entstehen. Um dem entgegenzuwirken, müssen Unternehmen Cybersicherheit von Anfang an in ihre Geräte integrieren und „Security by Design“ (SbD) zu einem zentralen Bestandteil ihrer Strategie machen.

Anforderungen des EU-Gesetzes zur Cyber-Resilienz

Das ursprünglich am 10. Dezember 2024 in Kraft getretene Gesetz zur Cyber-Resilienz markierte einen entscheidenden regulatorischen Wandel, indem es neue Anforderungen an die Cybersicherheit für nahezu alle in der EU verkauften digitalen Produkte festlegte.

Während die meisten Verpflichtungen aus dem CRA ab dem 11. Dezember 2027 gelten, treten einige Aspekte der Initiative bereits deutlich früher in Kraft. So müssen Hersteller beispielsweise ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden an die EU-Behörden melden. Diese Verordnung schreibt zudem vor, dass Unternehmen Produkte nach SbD-Grundsätzen entwickeln, Schwachstellen über den gesamten Produktlebenszyklus hinweg verwalten, zeitnahe Sicherheitsupdates bereitstellen und eine umfassende technische Dokumentation führen, die eine Software-Stückliste (SBOM) enthält.

Der CRA intensiviert zudem die Maßnahmen zur Cybersicherheit, indem er die gesamte Produktlieferkette ins Visier nimmt, die sich von den Herstellern über die Importeure bis hin zu den Händlern erstreckt. Indem die Cybersicherheit als gemeinsame regulatorische Verantwortung dieser verschiedenen Parteien festgelegt wird, sorgt die Maßnahme effektiv für die Einhaltung der Vorschriften. Dies ist wiederum eine wesentliche Voraussetzung für die Erlangung der CE-Kennzeichnung, die für den legalen Zugang eines Produkts zum EU-Markt erforderlich ist.

Die Folgen bei Nichteinhaltung sind gravierend. Je nach Verstoß drohen Unternehmen hohe Geldstrafen, die bis zu 15 Millionen Euro oder 2,5 % ihres weltweiten Jahresumsatzes betragen können, je nachdem, welcher Betrag höher ist. Produktverbote und Rückrufe sind ein weiterer Teil dieses Gesamtbildes. Angesichts dieser Herausforderungen bedeutet eine erfolgreiche Umsetzung der CRA-Grundsätze gestärktes Kundenvertrauen sowie geringere rechtliche und Reputationsrisiken.

Im Zeitalter des CRA werden Produkte als „Standard“, „wichtig“ (Klasse I und Klasse II) oder „kritisch“ eingestuft und erfordern strenge Konformitätsbewertungen. Diese Kategorien umfassen wichtige Geräte und Software, die für die moderne Infrastruktur von entscheidender Bedeutung sind, wie zum Beispiel:

• Router, Modems und Firewalls;

• Industrielle Steuerungssysteme und IoT-Gateways;

• Betriebssysteme, Hypervisoren und Container-Laufzeitsysteme;

• Identitätsmanagementsysteme und Software für privilegierten Zugriff; oder

• Internetfähiges Spielzeug und Wearables

Zusätzliche Anforderungen: Richtlinie über Funkanlagen (Radio Equipment Directive, RED) und EN 18031

Parallel zum CRA hat die EU auch die Vorschriften zur Cybersicherheit im Rahmen ihrer Richtlinie über Funkanlagen (Richtlinie 2014/53/EU) verschärft. Diese Vorschrift gilt für alle in der EU verkauften Produkte, die gezielt Funksignale senden oder empfangen, wie beispielsweise WLAN, LTE oder Bluetooth.

Darüber hinaus wurde mit der delegierten Verordnung (EU) 2022/30 ab dem 1. August 2025 der Geltungsbereich der verbindlichen Cybersicherheitsanforderungen für Hersteller erweitert, deren Geräte nun folgende Anforderungen erfüllen müssen:

• Netzwerke vor unbefugtem Zugriff schützen;

• Personenbezogene Daten und die Privatsphäre der Nutzer schützen; und

• Betrug in der digitalen Kommunikation verhindern

Um die Einhaltung der Vorschriften zu vereinfachen, wurde die harmonisierte Norm EN 18031 entwickelt, die eine Konformitätsvermutung für die Cybersicherheitsbestimmungen der RED begründet und deren technische Anforderungen festlegt. Dazu gehören Secure Boot, Zugriffskontrolle, verschlüsselte Kommunikation und digital signierte Firmware-Updates. Diese Konformität muss jedoch auf der Ebene des Endprodukts und nicht lediglich auf der Ebene des Moduls gewährleistet sein.

Cybersicherheit als Kernkompetenz

Angesichts der zunehmenden Zahl von CRA- und RED-Vorschriften, die in Kraft treten, ist Cybersicherheit für eingebettete Systeme und OEMs nicht mehr optional, sondern eine Grundvoraussetzung. Für Ingenieure bedeutet dies, dass Sicherheitsdesign und Risikoanalyse bereits in einer frühen Phase des Entwicklungsprozesses erfolgen müssen.

Über die Produktentwicklung hinaus sind das Lebenszyklusmanagement und die Aufrechterhaltung der betrieblichen Compliance von entscheidender Bedeutung. Daher müssen Hersteller ständig nach neuen Schwachstellen Ausschau halten, um umgehend Patches bereitstellen und Behörden innerhalb der vorgeschriebenen Frist von 24 Stunden über schwerwiegende Vorfälle informieren zu können. Um dies zu ermöglichen, benötigen eingebettete Systeme robuste Aktualisierungsmechanismen, verschlüsselte Kommunikation und gehärtete Firmware. Da auch Lieferketten für Verstöße zur Verantwortung gezogen werden, muss jeder Komponentenlieferant nachweisen, dass seine Teile die erforderlichen Standards erfüllen. Andernfalls können Endprodukte nicht für den legalen Zugang zum EU-Markt zertifiziert werden, was die Bedeutung einer frühzeitigen Umsetzung von Cybersicherheitsmaßnahmen für alle beteiligten Parteien verdeutlicht.

Eingebettete Ökosysteme zur Unterstützung der Cybersicherheit

Um diese wachsenden regulatorischen Anforderungen effizient zu erfüllen, profitieren Entwickler vom Einsatz eines umfassenden Ökosystems aus Hardware, Software und Tools, die speziell für eingebettete Anwendungen entwickelt wurden. Die Seco Clea-Plattform beispielsweise folgt einer SbD-Philosophie und bietet grundlegende Mechanismen wie Secure Boot, verschlüsselte Kommunikation und signierte Firmware, während sie gleichzeitig ein umfassendes Produktlebenszyklusmanagement ermöglicht.

Ein wesentliches Element zur Gewährleistung der Compliance ist die Infrastruktur für Over-the-Air-Updates (OTA), die eine zeitnahe, zuverlässige und nachverfolgbare Bereitstellung von Software- und Firmware-Updates sicherstellt. Durch die Bereitstellung regelmäßiger Sicherheitspatches und die schnelle, aktive Behebung ausgenutzter Sicherheitslücken unterstützt das Clea-Ökosystem Hersteller dabei, ihre gesetzlichen Verpflichtungen zu erfüllen. Zudem erleichtert es den Herstellern die Erstellung und Verwaltung wichtiger SBOMs für die CE-Konformität und Audits.

Das Ökosystem geht noch einen Schritt weiter und integriert Überwachungs-, Berichts- und Compliance-Tools, die eine zentralisierte Überwachung von Geräteflotten, die frühzeitige Erkennung von Anomalien sowie die Erfassung und Meldung von Vorfällen ermöglichen. Solche Funktionen optimieren die Arbeitsabläufe der OEMs, was zu geringeren regulatorischen Risiken und einem erhöhten Vertrauen bei Kunden und Partnern führt, die gemeinsam die Verantwortung für die Einhaltung der Vorschriften tragen.

Integration in bestehende Systeme

Die Integration des Clea-Ökosystems in ein bereits bestehendes eingebettetes System beginnt mit der Nutzung von SDKs, APIs und Agenten für verschiedene Hardware- und Softwareplattformen und deren Einbindung in bestehende Systemstacks. Dies ist ohne eine Neugestaltung der Kernarchitektur möglich und ermöglicht bereits ab den frühen Entwicklungsphasen eine sichere Kommunikation, Geräteauthentifizierung und Lebenszyklusverwaltung.

Der nächste Schritt besteht darin, das Ökosystem mit einer Cloud zu verbinden, beispielsweise mit den Cloud-Diensten von Seco, wo Dashboards und Konnektoren den Zugriff auf Überwachungs-, Aktualisierungs- und Compliance-Funktionen ermöglichen. Diese Cloud-Plattformen unterstützen standardisierte Protokolle und lassen sich in bestehende Entwicklungs- und Bereitstellungs-Workflows integrieren, um die Skalierbarkeit über große, heterogene Geräteflotten hinweg zu gewährleisten.

Zur Vereinfachung des Betriebs bietet Clea zudem DevOps- und zusätzliche Sicherheitstools für die automatisierte Erstellung von SBOMs, Schwachstellenscans, Protokollierung und Berichterstellung an. So können Teams Dokumentations- und Audit-Anforderungen direkt innerhalb ihrer Toolchains erfüllen, was den manuellen Aufwand reduziert und die Markteinführungszeit für konforme Produkte verkürzt.

Cybersecurity wird mit der Einführung von CRA und RED zu einer zentralen Voraussetzung für eingebettete Systeme und OEMs, die Zugang zum EU‑Markt erhalten wollen. „Security by Design“, ein kontinuierliches Lifecycle‑Management, eine vollständige SBOM‑Dokumentation sowie eine schnelle Reaktion auf Vorfälle sind jetzt verpflichtend. Entwickler müssen Sicherheit daher bereits auf Architekturebene verankern. Gleichzeitig setzen OEMs die Einhaltung der Vorgaben über ihre gesamte Lieferkette hinweg durch.

Das Seco Clea-Ökosystem bietet eine praktische Lösung für diese Herausforderung und umfasst integrierte Sicherheitsfunktionen, eine robuste OTA-Infrastruktur, Überwachungs- und Berichterstattungsdienste sowie Automatisierungstools für die Dokumentation und Audits. Dies verringert nicht nur regulatorische Risiken, sondern stärkt auch das Vertrauen in die Produkte. So können OEMs eine kontinuierliche Compliance gewährleisten und sicherstellen, dass ihre Produkte in diesem neuen Zeitalter der Cybersicherheitsvorschriften ihre Wettbewerbs- und Sicherheitsvorteile behalten.

 (sg)

* Francesco Vaiani ist Senior Product Manager bei Seco.

(ID:50909455)