Wesentliche Cybersicherheitsanforderungen
Die verbindlichen Sicherheitsanforderungen in Anhang I des CRA, unterteilt in zwei Teile. Teil I legt 11 Sicherheitseigenschaften fest, die Produkte mit digitalen Elementen durch Design und Standard erreichen müssen. Teil II legt 8 Pflichten zur Schwachstellenbehandlung fest, die Hersteller als Prozesse über den gesamten Produktlebenszyklus umsetzen müssen.
Quellenangaben
Siehe auch
Struktur
Anhang I der Verordnung (EU) 2024/2847 ist in zwei Teile gegliedert:
Teil I — Sicherheitsanforderungen für Produkte mit digitalen Elementen
Produkte müssen so konzipiert, entwickelt und produziert werden, dass sie:
- Keine bekannten ausnutzbaren Schwachstellen — ohne bekannte ausnutzbare Schwachstellen ausgeliefert
- Sicher standardmäßig — sicherheitsrelevante Standardeinstellungen; unnötige Funktionen deaktiviert
- Vertraulichkeit — Datenschutz im Ruhezustand und bei der Übertragung
- Integrität — Schutz gegen unbefugte Manipulation
- Angriffsfläche einschränken — minimale Schnittstellen und Kommunikationskanäle
- Ausfallsicherheit — Minimierung der Auswirkungen von Vorfällen
- Störungen begrenzen — Begrenzung von Dienstunterbrechungen
- Sichere Datenverarbeitung — nur notwendige Daten sammeln und schützen
- Zugangskontrolle — Schutz gegen unbefugten Zugriff
- Sichere Aktualisierung — Möglichkeit zur Installation von Updates
- Endbenutzerdaten — Mechanismus zum sicheren Löschen von Daten
Teil II — Anforderungen zur Schwachstellenbehandlung (Prozesse)
Hersteller müssen Richtlinien und Prozesse einrichten für:
- Identifizierung und Dokumentation von Schwachstellen, einschließlich SBOM
- Behebung von Schwachstellen ohne ungebührliche Verzögerung
- Regelmäßige Sicherheitstests und -bewertungen
- Öffentliche Bekanntmachung von Informationen zu behobenen Schwachstellen
- Einrichten und Durchsetzen einer CVD-Richtlinie
- Erleichterung der Meldung über eine einzige Kontaktstelle
- Sichere Verteilung von Sicherheitsupdates
- Kostenlose Sicherheitsupdates während der Unterstützungsdauer
Konformitätsvermutung
Die Anwendung einer einschlägigen harmonisierten Norm (Art. 27) begründet eine Konformitätsvermutung für die entsprechenden wesentlichen Cybersicherheitsanforderungen.