Gemäß der CRA müssen Hersteller von Produkten mit digitalen Elementen ENISA und das zuständige nationale CSIRT innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls über eine Frühwarnung informieren. Darauf folgt eine vollständige Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrekturmaßnahme oder ein Patch für die ausgenutzten Schwachstellen verfügbar ist, oder innerhalb eines Monats, wenn Meldungen über schwerwiegende Vorfälle eingereicht werden.
Die Sicherheitsvorkehrungen von Moxa basieren auf einem validierten Secure Development Lifecycle (SDL). Als einer der ersten Anbieter, der die doppelte Zertifizierung nach Reifegrad 3 (ML3) gemäß IEC 62443-4-1 von IECEE und ISCI/ISASecure erhalten hat, beweist Moxa, dass seine Produktsicherheitsprozesse wiederholbar sind und unternehmensweit konsequent angewendet werden. Diese Fähigkeiten bilden eine solide Grundlage für die Erfüllung der Cybersicherheitsverpflichtungen nach der Markteinführung gemäß CRA.
Die Einhaltung der 24-Stunden-Meldepflichten der CRA geht über die reine Reaktion auf Sicherheitsvorfälle hinaus; sie erfordert ein integriertes Governance-Framework für Cybersicherheit. Dieses ermöglicht es Herstellern, betroffene Produkte schnell zu identifizieren, die Auswirkungen auf die Cybersicherheit zu bewerten und Entwicklungsteams zu koordinieren, um zeitnah regulatorische Entscheidungen zu treffen.
Moxa hat ein umfassendes Schwachstellenmanagement implementiert, um diesen Anforderungen gerecht zu werden. Dazu gehören:
Ein ausgereiftes Product Security Incident Response Team (PSIRT), das Schwachstellenbehebungen schnell validieren, bewerten und koordinieren kann.
Ein umfassendes Software Bill of Materials (SBOM)-Management, das Entwicklungsteams die schnelle Identifizierung betroffener Softwarekomponenten, Produkte und Firmware-Versionen ermöglicht.
End-to-End-Produktrückverfolgbarkeit, einschließlich Softwarezusammensetzung, Firmware-Versionen und Lebenszyklusdaten.
Ein Software Development Link (SDL), der die vollständige Rückverfolgbarkeit der Entwicklungs- und disziplinierten Schwachstellenbehebungsprozesse gewährleistet.
Klar definierte Governance-Verfahren sorgen für eine Abstimmung der Entscheidungsfindung in den Bereichen Entwicklung, Produktmanagement, Cybersicherheit, Recht und Management, um eine zeitnahe Meldung an die Aufsichtsbehörden zu ermöglichen.
Um die Meldung von Schwachstellen weiter zu verbessern, erweitert Moxa seine Kapazitäten durch die Integration von SBOM-Daten in seine Produktdatenbanken. Wenn neue Schwachstellen in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen werden, kann unser PSIRT die Daten schnell korrelieren, die Auswirkungen bewerten, die Reaktionen priorisieren und eine zeitnahe Einhaltung der CRA-Vorschriften gewährleisten.
„Die Einhaltung der 24-Stunden-Meldepflicht der CRA ist nicht nur ein Wettlauf gegen die Zeit, sondern beweist auch die Cybersicherheitsreife eines Unternehmens und das sichtbare Ergebnis jahrelanger Investitionen in die Cybersicherheits-Governance“, sagte John Chang, Leiter der F&E-Abteilung und des Produktsicherheitszentrums bei Moxa. „Anbieter wie Moxa, die diese Verpflichtung konsequent erfüllen, haben eine Engineering-Governance, sichere Entwicklungspraktiken, Prozesse für das Schwachstellenmanagement und eine funktionsübergreifende Koordination etabliert, die es ihnen ermöglichen, betroffene Produkte schnell zu identifizieren, Cybersicherheitsrisiken zu bewerten, technische Reaktionen zu koordinieren und den Aufsichtsbehörden genaue Informationen bereitzustellen.“.
Für Maschinenhersteller, Systemintegratoren und Betreiber kritischer Infrastrukturen bietet die Zusammenarbeit mit Lieferanten, die über diese Fähigkeit verfügen, die Gewissheit, dass ihr Lieferant nicht nur heute sichere Produkte anbietet, sondern auch auf die Bewältigung neuer Cyberrisiken in den kommenden Jahren vorbereitet ist.
Da der Cybersecurity Regulation Act (CRA) die Verantwortung für Cybersicherheit branchenweit neu definiert, betont Moxa, dass Vertrauen nicht nur an den Sicherheitsmerkmalen von Produkten, sondern auch am Engagement des Herstellers für Cybersicherheit während des gesamten Produktlebenszyklus gemessen wird. Durch die Implementierung von SDL-zertifizierten Verfahren, effektivem Schwachstellenmanagement, PSIRT-Operationen, SBOM-Governance und transparenten Prozessen unterstützt Moxa Kunden dabei, Cybersicherheitsrisiken zu minimieren und die Einhaltung der CRA-Vorgaben nach der Markteinführung zu vereinfachen.
Um mehr über Moxas Engagement im Bereich der CRA-Vorsorge zu erfahren, besuchen Sie das Moxa Cyber Resilience Act (CRA) Portal.
