Hersteller, Importeure und auch Händler von Produkten mit digitalen Elementen – also alles, was einen Mikrochip enthält – werden zu einer Reihe strenger Maßnahmen verpflichtet. Bislang gibt es dafür kaum etablierte Prozesse: „Der Cyber Resilience Act wird unter anderem eine Cyber-Risikobewertung vorschreiben, bevor ein Produkt auf den Markt gebracht wird. Alle Hersteller müssen jetzt beginnen die kommenden Anforderungen in die Produktentwicklung zu integrieren, da die Entwicklung neuer Produkte und Varianten oft viele Monate und Jahre benötigt“, sagt Jan Wendenburg, Geschäftsführer von Onekey.
Das auf Produkt-Cybersicherheit spezialisierte Unternehmen hat dazu den ersten komprimierten Leitfaden vorgelegt, der für die Industrie die kommenden Regularien, wesentlichen Maßnahmen und praktische Hinweise zu deren Umsetzung zusammenfasst. Zudem bietet Onekey ein 45-minütiges Online-Seminar an, bei dem die Gesetzesgrundlage und deren Umsetzung im Vordergrund stehen.
Dokumentationspflicht und Software Bill of Materials
Neben den Sicherheitsmaßnahmen gegen unbefugten Zugriff sind Unternehmen künftig auch zum Software-Schwachstellen- und Patch-Management verpflichtet – und zwar bevor Schäden durch von Hackern ausnutzbare Schwachstellen entstehen. „Während des gesamten Produktlebenszyklus müssen Hersteller die Schwachstellen ihrer Produkte effektiv managen, regelmäßige Tests durchführen und ein umfassendes Patch-Management vorweisen.
Hinzu kommt die Pflicht, eine klare Dokumentation zu führen“, so Wendenburg weiter. Dazu gehört auch die Führung einer Software Stückliste „Software Bill of Materials“ (kurz SBOM), die alle in einem Gerät oder einer Anlage enthaltenen Softwareprodukte – auch versteckte – detailliert auflistet. Je nach Produkt und verbauten Komponenten können das hunderte von verschiedenen Baugruppen mit eigenem „Gehirn“ und damit versteckten Risiken sein.
Auch personelle Strukturen müssen geschaffen werden: Bestimmte Aufgaben und Pflichten des CRA müssen von einem Beauftragten im Namen der Organisation wahrgenommen werden. Dazu gehört beispielsweise die Rolle des Ansprechpartners für die Marktaufsichtsbehörden.
Neugestaltung etablierter Prozesse
Neben den Dokumentationspflichten müssen Unternehmen regelmäßig den Datenbestand zu den Produkten aktualisieren und die Daten bis zu zehn Jahre nach dem Inverkehrbringen des Produkts aufbewahren. „Es wird deutlich, dass der Druck, auch wenn die EU-Kommission das Gesetz etwas verschiebt, hoch ist. Produkte und Komponenten, auch von Drittanbietern, müssen auf Schwachstellen untersucht werden, Hersteller und Importeure müssen dies dokumentieren und die notwendigen Kapazitäten für die Informationspflichten bereitstellen.
Für die Industrie bedeutet dies ein Umdenken in den etablierten Entwicklungs- und Produktionsprozessen. Wer hier nicht rechtzeitig handelt, riskiert hohe Strafzahlungen durch die Behörden“, resümiert Jan Wendenburg von Onekey. Als Spezialist für Produkt-Cybersicherheit betreibt das Unternehmen eine der weltweit größten automatisierten Analyse-Plattformen, um Produkte mit digitalen Elementen auf Schwachstellen zu untersuchen, die Hacker ausnutzen könnten. Damit liefert Onekey bereits heute die automatisierten Analysen und Informationen, die von Herstellern zur Absicherung ihrer Produkte dringend benötigt werden.
