Anhang I — Wesentliche Cybersicherheitsanforderungen
Der normative Anhang des CRA mit den verbindlichen technischen und prozessbezogenen Anforderungen, die Produkte mit digitalen Elementen erfüllen müssen. Er ist in Teil I (11 Sicherheitseigenschaften, die Produkte durch Design und Standard aufweisen müssen) und Teil II (8 Pflichten zur Schwachstellenbehandlung für die Entwicklungs- und Wartungsprozesse des Herstellers) unterteilt.
Quellenangaben
Siehe auch
Überblick
Anhang I der Verordnung (EU) 2024/2847 enthält die zwei Gruppen wesentlicher Cybersicherheitsanforderungen, auf die in der gesamten Verordnung Bezug genommen wird.
Teil I — Sicherheitsanforderungen für Produkte mit digitalen Elementen
Produkte müssen so konzipiert, entwickelt und produziert werden, dass sie:
- Keine bekannten ausnutzbaren Schwachstellen in öffentlich zugänglichen Datenbanken aufweisen
- Sicher standardmäßig sind — sicherheitsrelevante Standardkonfigurationen; unnötige Funktionen deaktiviert
- Vertraulichkeit gewährleisten — Datenschutz gegen unbefugten Zugriff
- Integrität gewährleisten — Schutz gegen unbefugte Manipulation
- Nur notwendige Daten verarbeiten (Datensparsamkeit)
- Die Verfügbarkeit wesentlicher Funktionen schützen
- Die eigene negative Auswirkung auf andere Dienste minimieren
- Die Angriffsfläche begrenzen
- Die Auswirkungen eines Vorfalls durch Isolation und Resilienz reduzieren
- Relevante Sicherheitsereignisse protokollieren und überwachen
- Die sichere Übertragung aller Daten vor Lebensende ermöglichen
Teil II — Anforderungen zur Schwachstellenbehandlung
Hersteller müssen Prozesse einrichten und pflegen, um:
- Schwachstellen zu identifizieren und dokumentieren, einschließlich SBOM
- Schwachstellen zu beheben ohne ungebührliche Verzögerung
- Regelmäßige Sicherheitstests durchzuführen
- Informationen über behobene Schwachstellen öffentlich bekanntzugeben
- Eine CVD-Richtlinie einzurichten
- Die Meldung von Schwachstellen zu ermöglichen
- Die sichere Verteilung von Sicherheitsupdates sicherzustellen
- Sicherheitsupdates während der Unterstützungsdauer kostenlos bereitzustellen