Nach Angaben des Weltwirtschaftsforums (WEF) wäre die weltweite Cyberkriminalität die drittgrößte Wirtschaftsmacht der Welt – nach den USA und China. Schätzungen auf Basis der Daten von Cybersecurity Ventures verdeutlichen, dass die Cyberkriminalität im Jahr 2025 weltweit Kosten von 10,5 Billionen US-Dollar verursachen wird.
„Die Kombination von Cyber und Resilienz ist heute in aller Munde“, sagt Pär Torstensson, Product Manager of IoT bei Nexus.
Als Reaktion auf diese rasant wachsenden Bedrohungen hat die EU das Cyberresilienzgesetz (Cyber Resilience Act - CRA) und andere Richtlinien wie NIS2, DORA und RCE auf den Weg gebracht, um die zunehmende Zahl der digitalen Systeme zu schützen.
In jeden Fall ist klar, dass die EU mit dem neuen Gesetz dem aktuellen Trend folgt.
„Die Kombination von Cyber und Resilienz ist heute in aller Munde“, sagt Pär Torstensson, Product Manager of IoT bei Nexus. „Während ‚Cyber‘ in der Regel nur einen Bezug zur IT hat, wird ‚Resilienz‘ in verschiedenen Zusammenhängen verwendet, insbesondere seit der Pandemie. Resilienz steht auch für die Notwendigkeit, sich in schwierigen Zeiten anzupassen. Das ist ein etwas anderer Fokus als bei der ‚Cybersicherheit‘."
Lesen Sie auch: Vorbereitung auf NIS2 – Checkliste für betroffene Organisationen
Es handelt sich dabei um eine EU-Verordnung, die derzeit vom Europäischen Parlament beraten wird und die darauf abzielt, die Cyberresilienz von Hardware- und Softwareprodukten mit vernetzten digitalen Elementen zu verbessern. Um auf die wachsenden Herausforderungen und Kosten der Cybersicherheit zu reagieren und Schwachstellen zu beseitigen, verfolgt die Verordnung vier spezifische Ziele:
Kommt es zur Verabschiedung der EU-Verordnung in ihrer jetzigen Form, wird es beispielsweise eine CE-Kennzeichnung für Produkte mit vernetzten digitalen Elementen geben, die entsprechende Sicherheitsanforderungen erfüllen. Folglich könnten dann Produkte ohne diese CE-Kennzeichnung nicht mehr in der EU verkauft werden.
Im Kern gilt die Verordnung für alle Software- und Hardwarehersteller, deren Produkte in der EU vertrieben werden.
Im Kern gilt die Verordnung für alle Hersteller von Produkten mit vernetzten digitalen Elementen, die in der EU angeboten werden, und zwar unabhängig davon, ob sie in der EU ansässig sind oder nicht. Zu den Produkten mit vernetzten digitalen Elementen gehören alle Software- oder Hardwareprodukte, die eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk haben.
Bisher richteten sich die europäischen Cybersicherheitsverordnungen in erster Linie an die Betreiber, die auch die Risikoträger für ihre „kritischen Dienste“ sind. Somit müssen hier die Betreiber die Verantwortung für die Cybersicherheit übernehmen. Die steigende Zahl von Sicherheitsvorfällen in den Lieferkette und die zunehmende Verbreitung des Internets der Dinge (IoT) haben in den letzten Jahren jedoch ein kritisches Problem verdeutlicht: Die Betreiber haben Schwierigkeiten, die verschiedenen Hardware- und Softwarekomponenten zu überwachen, für die sie verantwortlich sind. Das liegt oft daran, dass ihnen das technische Fachwissen fehlt und sie sich daher hauptsächlich auf die Hersteller verlassen müssen. Die neue Verordnung hat daher das Ziel, die Cyberresilienz der Betreiber in der EU zu verbessern, indem sie die Verantwortung zu einem beträchtlichen Teil direkt auf die Hersteller überträgt.
Die Hersteller müssen die Einhaltung der Verordnung über den gesamten Herstellungsprozess sicherstellen, d. h. in der Planungs-, Entwicklungs- und Produktionsphase. Darüber hinaus ist es Aufgabe der Importeure und Händler, die Einhaltung der Vorschriften durch die Hersteller zu überprüfen.
Für die Hersteller ergeben sich dadurch folgende Verpflichtungen:
Der Entwurf des Cyberresilienzgesetzes befindet sich noch in einer frühen Phase. Nach der Verabschiedung haben die Hersteller zwei Jahre Zeit, die Vorgaben zu erfüllen. Die Meldepflichten gelten jedoch bereits 12 Monate nach Inkrafttreten (Artikel 57). Ausgehend von früheren Verordnungen und Richtlinien wird die vollständige Einhaltung der Vorgaben nicht vor 2025 oder 2026 erforderlich sein.
Die Vorbereitung dafür sollte jedoch nicht aufgeschoben werden. Als die Datenschutzgrundverordnung (DSGVO) in der EU in Kraft trat, mussten die Unternehmen umfassende Veränderungen ihrer Abläufen vornehmen, insbesondere im Umgang mit Kundendaten, in der Werbung, mit Cookies usw. Das Cyberresilienzgesetz könnte ähnlich umfangreiche Auswirkungen haben. So wird es die Art und Weise verändern, wie IoT-Hersteller und Softwareanbieter die Sicherheit ihrer Produkte managen.
Nexus ist Ihr zuverlässiger Partner, wenn es um komplexe Cybersicherheitslösungen und die Einhaltung des Cyberresilienzgesetzes geht. Mit unserem Expertenwissen können wir Sie umfassend beraten und sicherstellen, dass Ihre Produkte und Services die neuesten Anforderungen erfüllen. Mit unseren innovativen Sicherheitslösungen, die auf modernster PKI-Technologie (Public Key Infrastructure) basieren, verbessern wir die Cyberresilienz Ihrer IoT-Geräte, gewährleisten die Einhaltung von Vorgaben und schützen Ihre Geschäftsprozesse.
Published
16/02 2024
Join our webinar as we delve into the Cyber Resilience Act and discover how trusted digital identities and secure device communication, supported by state-of-the-art PKI technology, can empower your organization to comply with this new directive.