Die Cybersecurity Regulation Act (CRA) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der Europäischen Union vermarktet werden. Sie legt besonderen Wert auf sichere Produktentwicklung, Schwachstellenmanagement, Transparenz der Cybersicherheit und kontinuierlichen Support während des gesamten Produktlebenszyklus. Obwohl die Gesetzgebung primär für Hersteller gilt, betreffen die Bestimmungen auch Organisationen, die vernetzte Geräte vertreiben, installieren, erwerben und verwalten.
„Der Cyber Resilience Act (CRA) stärkt viele der Prinzipien von Security-by-Design und Lifecycle-Management, für die sich Genetec seit Jahren einsetzt“, sagte Mathieu Chevalier, Principal Security Architect bei Genetec. „Durch die Erhöhung der Erwartungen an Produktsicherheit und Transparenz bietet die CRA-Verordnung Käufern eine klare Grundlage für die Bewertung von Technologieanbietern und der langfristigen Cyberresilienz ihrer Produkte.“.
Wie lange erhält das Produkt Sicherheitsupdates und technischen Support?
Die CRA betont die Wichtigkeit der Produktsicherheit über den gesamten Lebenszyklus hinweg. Sicherheitsexperten müssen wissen, wie lange der Hersteller Updates bereitstellt, wie er Schwachstellen behebt und welchen Support er am Ende des Produktlebenszyklus anbietet. Die CRA-Vorschriften verpflichten Hersteller, mindestens fünf Jahre lang Sicherheitsupdates und Schwachstellenmanagement bereitzustellen. Daher ist langfristiger Support ein wichtiger Faktor bei der Produktbewertung.
Wurde Cybersicherheit von Anfang an in das Produkt integriert?
Die Prinzipien „Secured by Design“ und „Secure by Default“ sind für CRA grundlegend. Es empfiehlt sich, den Anbieter zu bitten, zu erläutern, wie er Cybersicherheit in Design, Entwicklung, Tests und den laufenden Lebenszyklus des Produkts integriert.
Wie identifiziert, meldet und behebt der Anbieter Sicherheitslücken?
Keine Software ist immun gegen Sicherheitslücken. Die Reaktion eines Anbieters ist ein deutlicher Indikator für sein Engagement im Bereich Cybersicherheit. Achten Sie auf ein robustes Programm zum Schwachstellenmanagement, das regelmäßige Sicherheitstests, eine koordinierte Richtlinie zur Offenlegung von Sicherheitslücken, risikobasierte Behebung ohne unnötige Verzögerung, die sichere Verteilung von Sicherheitsupdates und klare Benachrichtigungen über behobene Sicherheitslücken umfasst.
Ist der Anbieter hinsichtlich seiner Cybersicherheitspraktiken transparent?
Cybersicherheit ist eine gemeinsame Verantwortung. Verantwortungsbewusste Anbieter erläutern, wie sie ihre Produkte entwickeln, testen und warten und bieten Kunden und Systemintegratoren klare Anleitungen für eine sichere Implementierung. Es empfiehlt sich, nachzufragen, wie der Anbieter die Produktsicherheit regelmäßig überprüft und bewertet, Schwachstellen und Sicherheitsupdates kommuniziert und Hinweise zur Systemhärtung gibt.
„Organisationen, die künftigen Cyberbedrohungen am besten begegnen wollen, betrachten Cybersicherheit als fortlaufende Zusammenarbeit und nicht als einmalige Anschaffungsentscheidung“, so Chevalier abschließend. „Die CRA trägt dazu bei, diesen Ansatz zu stärken, indem sie gemeinsame Erwartungen an Transparenz, diszipliniertes Schwachstellenmanagement und langfristigen technischen Support für Produkte festlegt. Davon profitieren Hersteller, Systemintegratoren und Organisationen, die auf vernetzte physische Sicherheitssysteme angewiesen sind.“.
