Countdown bis zum Inkrafttreten des Cyber-Resilience-Acts
Die Meldepflichten gemäß dem CRA gelten ab dem 11. September 2026, und die Verordnung tritt am 11. Dezember 2027 vollständig in Kraft.
Zukunftssichere Cybersecurity für vernetzte und eingebettete Systeme
Das EU-Gesetz zur Cyber-Resilienz (CRA) legt verbindliche Anforderungen an die Cybersecurity sowie wesentliche Sicherheitsanforderungen fest, die in Anhang I für Hardware- und Softwareprodukte aufgeführt sind, die in der Europäischen Union in Verkehr gebracht werden, und gewährleistet so die Sicherheit auf dem gesamten EU-Markt. Ziel ist es, sicherzustellen, dass alle vernetzten Geräte und IoT-Produkte während ihres gesamten Produktlebenszyklus – von der Entwurfs- und Entwicklungsphase über die Produktion, Aktualisierungen und Wartung bis hin zur sicheren Außerbetriebnahme – die grundlegenden Anforderungen an die Cybersicherheit erfüllen.
Mit jahrzehntelanger Erfahrung in den Bereichen Embedded-Computing, Edge-Systeme und Sicherheit im industriellen Internet der Dinge (IoT) unterstützt Kontron Hersteller bei der Umsetzung modularer, praxisorientierter und CRA-konformer Lösungen. Das Ergebnis sind Produkte, die nicht nur den gesetzlichen Anforderungen entsprechen, sondern auch ein Höchstmaß an Betriebssicherheit, Skalierbarkeit und Zukunftssicherheit bieten.
CRA-konforme Produkte müssen über eine dokumentierte Sicherheitsarchitektur verfügen, einschließlich einer robusten Benutzerauthentifizierung und Zugriffskontrolle sowie:
Sicherer Systemstart und Hardware-Schutz (TPM, HSM)
Verschlüsselte Datenübertragung und Datenspeicherung
Signierte Firmware-Updates und Lebenszyklusmanagement
Proaktive Erkennung von Bedrohungen und Überwachung von Vorfällen
Transparente Prozesse für Sicherheitsvorfälle und Nachvollziehbarkeit
Warum die Einhaltung der CRA-Vorschriften gerade jetzt so wichtig ist
Das Gesetz zur Cyber-Resilienz verändert die europäische Cybersicherheitslandschaft grundlegend. Künftig müssen Hersteller, Systemintegratoren, Distributoren und Softwareanbieter nachweisen, dass ihre Produkte mit digitalen Komponenten über ihren gesamten Lebenszyklus hinweg sicher sind und kontinuierlich aktualisiert werden.
Auszug aus den CRA-Verpflichtungen:
Risikobewertung und kontinuierliches Schwachstellenmanagement zur Minderung von Cybersicherheitsrisiken, zur Steuerung von Sicherheitsrisiken und zur Behebung ausgenutzter Schwachstellen
„Security by Design“ als Entwicklungsprinzip
Transparente Update- und Patch-Prozesse, einschließlich des Umgangs mit Schwachstellen und der Pflege einer SBOM
Meldung von Sicherheitsvorfällen an die ENISA, einschließlich formeller Benachrichtigung und anderer Meldepflichten
Die frühzeitige Einhaltung der CRA-Vorschriften gewährleistet nicht nur Rechtssicherheit durch die vorgeschriebene Konformitätsbewertung, Marktüberwachung und CE-Kennzeichnung, sondern auch einen klaren Wettbewerbsvorteil durch Vertrauen, Transparenz und Betriebssicherheit in der Lieferkette.
Wie Kontron Sie auf Ihrem Weg zur CRA unterstützt
Kontron bietet Unternehmen umfassende Unterstützung in allen Phasen der CRA-Konformität – von der sicheren Systemarchitektur über das kontinuierliche Update-Management bis hin zur intelligenten Erkennung von Bedrohungen und CRA-kompatibler Hardware.
KontronOS – Abgehärtete, CRA-konforme Basis für Embedded-Systeme
KontronGrid – Transparente Updates, Compliance-Berichterstattung und Lebenszyklusmanagement
KontronAIShield – KI-gestützte Erkennung und Reaktion auf Cyberbedrohungen
AL i.MX8M Mini/LTE NXP Arm® - IoT-Gateway AL i.MX8M Mini/LTE, basierend auf NXP Arm - CRA-Ready Industrial
Kontron A-251 AML/ADN – Robustes, leistungsstarkes industrielles Edge-System, vorkonfiguriert für CRA-Konformität mit Secure Boot, TPM-Unterstützung, Lebenszyklussicherheit und optimaler Rechenleistung für Edge-Analysen und KI-Anwendungen
Der L i.MX8M Mini/LTE NXP Arm® und die A-251 AML/ADN Box ermöglichen es Unternehmen, Hardware, Betriebssystem und Sicherheitslösungen nahtlos zu kombinieren und so die CRA-Konformität von der Software bis zur physischen Plattform sicherzustellen.
KontronOS
Robuste, CRA-konforme Grundlage für eingebettete Systeme
KontronOS, Teil des susietec®-Toolset, ist ein sicheres, gehärtetes, Linux®-basiertes Betriebssystem, das Open-Source-Software nutzt und darauf ausgelegt ist, Angriffsflächen zu minimieren. Es wurde speziell für industrielle und eingebettete Edge-Geräte entwickelt.
Vorteile:
Sicherer Systemstart und Hardwareschutz durch TPM
Signierte Updates und kontinuierliches Lebenszyklusmanagement
Verschlüsselte Datenkommunikation und Speicherintegrität
CRA-konformes Sicherheitsbasisdesign für eingebettete Systeme
KontronGrid
Zentralisierte Verwaltung von IoT-Geräten und Überwachung der Compliance
KontronGrid ermöglicht die zentrale Überwachung, Konfiguration und Aktualisierung verteilter Edge-Geräte. Dadurch lassen sich die Sicherheits- und Compliance-Anforderungen der CRA kontinuierlich überprüfen.
Vorteile:
Fernkonfiguration und automatische Updates
Transparente Compliance-Berichte und Audit-Funktionen
Sichere, verschlüsselte Kommunikation zwischen Edge-Geräten und der Cloud
Nahtlose Integration mit KontronOS
KontronAIShield
KI-gestützte Echtzeit-Bedrohungserkennung
KontronAIShield nutzt KI-basierte Analysen, um Anomalien und Cyberbedrohungen in Echtzeit zu erkennen. Dies ermöglicht proaktive Gegenmaßnahmen und die kontinuierliche Einhaltung der CRA-Anforderungen.
Vorteile:
Echtzeitüberwachung von Geräte- und Netzwerkaktivitäten
Automatisierte Erkennung von Anomalien und Alarmierung
Integration in bestehende Sicherheits- und Compliance-Prozesse
Proaktiver Schutz vor bekannten und unbekannten Bedrohungen
AL i.MX8M Mini/LTE NXP Arm®
Ideale Hardware-Option: IoT-Gateway AL i.MX8M Mini/LTE, basierend auf NXP Arm – CRA-Ready Industrial
Das Kontron AL i.MX8M Mini/LTE ist ein kompaktes, lüfterloses Gateway für fortschrittliche Automatisierungslösungen. Ausgestattet mit KontronOS und KontronGrid bietet es eine solide Grundlage für CRA-fähige Anwendungen.
Vorteile:
CRA-konforme Sicherheitsarchitektur mit Secure Boot und TPM-Unterstützung
Langfristige Verfügbarkeit und regelmäßige Sicherheitsupdates
Kompaktes Gateway für anspruchsvolle Automatisierungsanwendungen
CU Control Unit 6x / Mini 6x NXP Arm®
Flexible industrielle Steuerungsplattform für sichere Embedded- und Edge-Systeme
Die Kontron CU Control Unit 6x / Mini 6x sind auf dem NXP i.MX8M Plus basierende Steuerungsplattformen, die Strategien für Cybersicherheit, Wartung und Lebenszyklus unterstützen, die auf die Anforderungen des Cyber Resilience Act abgestimmt sind.
Vorteile:
Unterstützt „Security-by-Design“-Strategien für die CRA-orientierte Systementwicklung
Skalierbare Leistung für anspruchsvolle Edge- und industrielle Automatisierungsanwendungen
Langfristige Verfügbarkeit zur Unterstützung von Wartungs- und Aktualisierungsstrategien
KBox A-251 AML/ADN
Geeignete Hardware-Option: KBox A-251 AML/ADN – CRA-fähige industrielle Edge-Box
Die Kontron KBox A-251 AML/ADN ist ein robustes, leistungsstarkes industrielles Edge-System für datenintensive und KI-basierte Anwendungen. Dank der vorinstallierten KontronOS- und KontronGrid-Software ist sie optimal für den Einsatz im Rahmen von CRA vorbereitet.
Vorteile:
CRA-konforme Sicherheitsarchitektur mit Secure Boot und TPM-Unterstützung
Langfristige Verfügbarkeit, ein festgelegter Supportzeitraum und regelmäßige Sicherheitsupdates
Hohe Rechenleistung für maschinelles Lernen, Bildverarbeitung und Edge-Analytik
Häufig gestellte Fragen
Was ist der Cyber-Resilience-Act (CRA)?
Der Cyber-Resilience-Act (CRA) ist die EU-Verordnung (EU) 2024/2847. Es führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein, die auf dem EU-Markt bereitgestellt werden, darunter Hardware, Software und bestimmte damit verbundene Lösungen zur Fernverarbeitung von Daten.
Warum wurde der Cyber-Resilience-Act eingeführt?
Der CRA wurde eingeführt, um dem niedrigen Niveau der Cybersecurity bei vielen vernetzten Produkten und dem Mangel an klaren Sicherheitsinformationen für Nutzer entgegenzuwirken. Ihr Ziel ist es, die Produktsicherheit über den gesamten Lebenszyklus hinweg zu verbessern und es Unternehmen und Kunden zu erleichtern, sichere digitale Produkte zu erkennen und zu nutzen.
Welche Produkte fallen unter den CRA?
Der CRA gilt für Produkte mit digitalen Elementen, deren Verwendungszweck oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst. Dies umfasst sowohl Fertigprodukte als auch separat in Verkehr gebrachte Komponenten.
Gilt der CRA für eingebettete Systeme, Edge-Systeme und IoT-Systeme?
Ja. Der CRA ist für eingebettete Systeme, Edge-Systeme und IoT-Systeme von großer Bedeutung, da sie vernetzte Hardware und Software abdeckt und zudem Kategorien wie Betriebssysteme, Bootmanager, Netzwerkschnittstellen, Router und Switches zu den wichtigen Produkten mit digitalen Elementen zählt.
Sind Cloud-Dienste, SaaS oder Open-Source-Software abgedeckt?
Nicht automatisch. Cloud- oder SaaS-Dienste fallen nur dann unter den Geltungsbereich, wenn sie als Lösung zur Ferndatenverarbeitung gelten, die für die Erfüllung einer der Funktionen des Produkts erforderlich ist; reine, eigenständige Cloud-Dienste fallen in der Regel nicht unter den Geltungsbereich. Open-Source-Software fällt nur dann in den Geltungsbereich, wenn sie im Rahmen einer gewerblichen Tätigkeit auf dem Markt bereitgestellt wird, während für Open-Source-Software-Verwalter eine weniger strenge, maßgeschneiderte Regelung gilt.
Wer ist davon betroffen und was sind die wichtigsten Anforderungen des CRAs?
Der CRA betrifft Hersteller, Importeure, Händler und Bevollmächtigte, wobei die Hauptpflichten zur Einhaltung der Vorschriften bei den Herstellern liegen. Zu den wichtigsten Anforderungen gehören Risikobewertungen zur Cybersecurity, die Grundsätze „Secure-by-Design“ und „Secure-by-Default“, der Umgang mit Sicherheitslücken, technische Dokumentation, Benutzerinformationen, die Angabe der Supportdauer, die Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung vor dem Inverkehrbringen der Produkte auf dem EU-Markt.
Wann setzt der CRA in Kraft?
Der CRA trat am 10. Dezember 2024 in Kraft. Die Vorschriften für die Meldung von Konformitätsbewertungsstellen gelten ab dem 11. Juni 2026, die Meldepflichten gelten ab dem 11. September 2026, und der CRA tritt am 11. Dezember 2027 vollständig in Kraft.
Welche Meldepflichten und Sanktionen sind im CRA vorgesehen?
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Vorfälle, die die Produktsicherheit beeinträchtigen, über die CRA Single Reporting Platform melden, einschließlich einer Frühwarnung innerhalb von 24 Stunden und einer ausführlicheren Meldung innerhalb von 72 Stunden. Die Nichteinhaltung dieser Vorschriften kann je nach Art des Verstoßes zu erheblichen Strafen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes führen und zudem Durchsetzungsmaßnahmen wie Marktbeschränkungen nach sich ziehen.