Wir sind für den Embedded Award 2026 in der Kategorie „Tools“ nominiert und würden uns über Ihre Unterstützung freuen! Stimmen Sie für den C/C++-Test CT ab >>
WEBINAR
Sehen Sie sich an, wie die Compliance-Experten von Parasoft, Arthur Hicken und Ricardo Camacho, erläutern, was die CRA für Ihr Unternehmen bedeutet, unabhängig von Ihrem Standort. Sie zeigen einen praxisorientierten, technisch fundierten Weg zur Einhaltung der Vorschriften auf.
Erfahren Sie, wie Automatisierung, Shift-Left-Security und moderne DevOps-Praktiken den Aufwand für die Einhaltung von Vorschriften deutlich reduzieren und gleichzeitig Ihre allgemeine Sicherheitslage verbessern können. Wir zeigen Ihnen obligatorische und empfohlene Schritte, die Sie sofort umsetzen können, zum Beispiel:
Der EU Cyber Resilience Act (CRA) ist da und verändert die Spielregeln für Softwaresicherheit und Compliance. Diese neue Verordnung verpflichtet Unternehmen, Sicherheit von Anfang an in ihre Produkte zu integrieren – vom Design bis zur laufenden Wartung. Es geht nicht nur darum, Bußgelder zu vermeiden, sondern darum, bessere und vertrauenswürdigere Produkte für den EU-Markt zu entwickeln.
Der Cyber Resilience Act ist eine verbindliche Verordnung der Europäischen Union. Er legt obligatorische Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest, die in der EU verkauft werden. Dies umfasst sowohl Hardware als auch Software, einschließlich eingebetteter Systeme und vernetzter Geräte. Der Kerngedanke ist, dass Hersteller Sicherheit von Anfang an in ihre Produkte integrieren müssen – und zwar über deren gesamten Lebenszyklus hinweg. Das bedeutet, von Beginn an auf sicheres Design zu achten, angemessene Risikoanalysen durchzuführen, Mechanismen zum Umgang mit Schwachstellen bereitzustellen und bei Bedarf Sicherheitsupdates anzubieten.
Wenn Ihr Unternehmen Produkte in der EU verkauft, fallen Sie unter die Regelungen. Der Firmensitz spielt dabei keine Rolle. Die CRA verknüpft Cybersicherheit zudem mit der CE-Kennzeichnung, die als Gütesiegel fungiert. Produkte müssen nachweisen, dass sie diese Anforderungen erfüllen, bevor sie in der EU verkauft werden dürfen. Für technische Teams bedeutet dies, dass die Erstellung einer Software-Stückliste (SBOM), der strukturierte Umgang mit Sicherheitslücken und die Dokumentation der Compliance-Maßnahmen nun offizielle Anforderungen und nicht mehr nur Empfehlungen sind.
Das Gesetz trat offiziell im Dezember 2024 in Kraft, die Hauptverpflichtungen werden jedoch erst im Dezember 2027 vollständig wirksam. Die Regeln zur Meldung von Schwachstellen und Vorfällen gelten jedoch bereits seit September dieses Jahres.
Warum also hat die EU diese Verordnung erlassen? Nun, die Zahlen sind erschreckend. Der Schaden durch Cyberkriminalität wird voraussichtlich jährlich 1.5 Billionen Dollar erreichen, und das noch ohne zu berücksichtigen, ob die Angriffsrate steigt. Wir beobachten immer mehr Angriffe auf kritische Bereiche wie Regierungssysteme, Krankenhäuser und wichtige Infrastrukturen – im Grunde Systeme, die jeden betreffen.
Ein Großteil des Problems liegt in der starken Vernetzung aller Systeme. Oftmals kann eine einzige Schwachstelle in einer Open-Source-Komponente zu einem massiven Cybersicherheitsvorfall führen und unzählige Systeme lahmlegen. Es ist, als würde ein einziges schwaches Glied in einer Kette einen globalen Ausfall verursachen. Die Cybersecurity Regulation Act (CRA) zielt darauf ab, dringend benötigte Kontrolle zu schaffen, indem sie unter anderem sichere Programmierpraktiken durchsetzt, Hersteller zur Verantwortung zieht, die Offenlegung von Sicherheitslücken vorschreibt und die CE-Kennzeichnung nutzt, um zu bestätigen, dass Produkte die Sicherheitsstandards erfüllen. Sie schreibt außerdem die Meldung von Sicherheitsvorfällen vor.
Ein Beispiel aus der Praxis: Der MOVEit-Datendiebstahl
Um die Tragweite zu verdeutlichen, betrachten wir den MOVEit-Datendiebstahl vom Mai 2023. Angreifer nutzten kritische Sicherheitslücken in MOVEit Transfer aus, einer weit verbreiteten Software für den sicheren Datenaustausch. Tausende Organisationen weltweit verwendeten diese Software zum Austausch sensibler Daten. Hacker entdeckten und nutzten eine Zero-Day-SQL-Injection-Schwachstelle – eine Art von Fehler, der durch gute Programmierpraktiken vollständig vermeidbar ist. Diese Schwachstelle ermöglichte es ihnen, ohne Anmeldung auf die Datenbank der Software zuzugreifen.
Obwohl die Sicherheitslücke innerhalb weniger Tage nach ihrer Entdeckung geschlossen wurde, war der Schaden bereits angerichtet. Über 2,700 Organisationen und potenziell 90 Millionen Einzelpersonen waren betroffen, da ihre sensiblen persönlichen und finanziellen Daten kompromittiert wurden. Dieser Vorfall ist ein Paradebeispiel für einen Lieferkettenangriff und verdeutlicht, wie eine einzige Schwachstelle in einer Drittanbietersoftware weitreichende globale Folgen haben kann und wie sich Cyberkriminalität zunehmend auf groß angelegte Datenerpressung konzentriert.
Die CRA ist im Wesentlichen die Antwort der EU auf diese weit verbreiteten und schwerwiegenden Risiken moderner Software. Sie zielt darauf ab, klare Regeln zu schaffen, Anbieter durch mögliche Bußgelder zur Rechenschaft zu ziehen und sicherzustellen, dass Schwachstellen offengelegt werden, damit Nutzer informiert sind und Maßnahmen ergreifen können, um die Kettenreaktion von Systemausfällen abzumildern.
Wer innerhalb der EU Software, Hardware oder auch softwarebasierte Cloud-Dienste verkauft, muss die EU-Richtlinie zur Bekämpfung von Cyberkriminalität (CRA) einhalten. Dies gilt unabhängig davon, ob Ihr Unternehmen in der EU oder anderswo ansässig ist. Dazu gehören cloudbasierte Geräte, IoT-Produkte und Fernwartungsdienste – beispielsweise Smartphones, Smart Devices, Roboter und Autos.
Eine zentrale Anforderung ist, dass Organisationen für die Sicherheit der von ihnen verwendeten Drittanbieterkomponenten verantwortlich sind. Es reicht nicht aus, einfach davon auszugehen, dass eine Komponente sicher ist, nur weil sie von jemand anderem hergestellt wurde. Sie müssen ihre Sicherheit genauso gewährleisten wie die jedes anderen Systembestandteils.
Die finanziellen Strafen
Die Folgen einer Nichteinhaltung können schwerwiegend sein:
Diese Bußgelder können sich schnell summieren. Daher ist es unerlässlich, dass Ihre Software von Anfang an auf Sicherheit ausgelegt ist und Sie Ihre Sicherheitsmaßnahmen gegenüber Ihren Kunden transparent kommunizieren. Neben der Einhaltung gesetzlicher Bestimmungen trägt die Entwicklung sicherer Software zu stabileren und zuverlässigeren Produkten bei und stärkt das Kundenvertrauen.
Auch wenn die CRA-Vorschriften zunächst abschreckend wirken mögen, gibt es konkrete Schritte, die Sie unternehmen können. Im Mittelpunkt steht die Integration von Sicherheitsmaßnahmen in Ihre täglichen Entwicklungs- und Betriebsprozesse – und zwar lange vor den Fristen für deren Inkrafttreten.
Die CRA legt großen Wert auf Verantwortlichkeit. Artikel 13 verpflichtet Hersteller, während des gesamten Produktlebenszyklus Cybersicherheitsrisikobewertungen durchzuführen und aufrechtzuerhalten. Dies ist keine einmalige Aufgabe; die Bewertung muss sich mit der Weiterentwicklung des Produkts und dem Auftreten neuer Bedrohungen anpassen. Sie dient als Grundlage für die Auswahl von Sicherheitsmaßnahmen, Tests und Dokumentation.
Artikel 31 schreibt eine umfassende technische Dokumentation vor, die belegt, wie die Cybersicherheit während Design, Entwicklung und Verifizierung berücksichtigt wurde. Die Behörden nutzen diese Nachweise zur Überprüfung der Einhaltung der Vorschriften. Anhang 1, Teil 2, fordert ein strukturiertes Vorgehen bei Sicherheitslücken, einschließlich der Führung einer Software-Stückliste (SBOM), formaler Prozesse zur Offenlegung von Sicherheitslücken sowie der effizienten Entwicklung und Verteilung von Sicherheitspatches.
Artikel 14 sieht strenge Meldepflichten vor: Aktiv ausgenutzte Sicherheitslücken oder schwerwiegende Vorfälle müssen innerhalb von 24 Stunden nach deren Entdeckung gemeldet werden. Diese Meldungen werden über eine Plattform der EU-Agentur für Cybersicherheit übermittelt und anschließend an die zuständigen nationalen Einsatzteams weitergeleitet.
Schließlich müssen die Produkte gemäß Anhang 3 oder 4 als „wichtig“ oder „kritisch“ eingestuft werden. Diese Einstufung bestimmt den Umfang der Überprüfung und die erforderliche Konformitätsbewertung.
Wenn Sie bei einer dieser Fragen unsicher sind, sind Sie noch nicht vollständig auf die Einhaltung der CRA-Vorschriften vorbereitet.
Das Ergebnis dieses Audits sollte ein Gap-Analysebericht sein, der sich direkt auf die CRA-Artikel bezieht, gefolgt von einem Maßnahmenplan mit klaren Fristen. Ziel ist es, bis 2027 für die Marktüberwachung gerüstet zu sein, um die Einhaltung der Vorschriften sicher nachweisen und Strafen vermeiden zu können.
Tools wie statische Code-Analyse kann viele Arten von Schwachstellen frühzeitig in der Entwicklung erkennen. Unit-TestIntegrationstests und Systemtests sind ebenfalls unerlässlich. Sie müssen nicht nur nachweisen, dass Tests durchgeführt wurden, sondern auch, welcher Code abgedeckt wurde, welche Risiken berücksichtigt wurden und wie festgestellte Mängel behoben wurden. Alle diese Daten sollten in ein zentrales Berichtssystem eingespeist werden, um die von den Aufsichtsbehörden benötigten Nachweise zu erbringen.
Die CRA betont die Bedeutung von Sicherheit im Entwicklungsprozess. Artikel 13 und Anhang 1 heben sichere Design-, Entwicklungs- und Produktionsphasen hervor, die sich optimal mit modernen DevOps-Praktiken decken. Dies bedeutet, dass Sicherheitsprüfungen während des gesamten Softwarelebenszyklus kontinuierlich durchgeführt werden müssen.
Anhang 1, Teil 2, definiert das kontinuierliche Schwachstellenmanagement. Sie müssen Sicherheitsprüfungen in Ihre CI/CD-Pipelines integrieren. Hier setzen Sie die Sicherheit durch, führen das Schwachstellenmanagement durch, erstellen Dokumentationen und validieren Updates vor jeder Veröffentlichung. Ihre CI/CD-Pipeline wird so zum zentralen Mechanismus für die Einhaltung der Vorschriften.
Implementieren Sie automatisierte, wiederholbare Sicherheitskontrollen als Prüfpunkte in Ihrem Workflow. Diese Automatisierung generiert Nachweise für die Einhaltung von Vorschriften, erstellt Audit-Trails für jeden Build und ermöglicht die zeitnahe Behebung von Schwachstellen durch automatisierte Patch-Validierung.
Automatisierung ist der Schlüssel zur Nachhaltigkeit dieses Prozesses. Durch die direkte Integration von Tests und Analysen in die CI/CD-Pipeline können Sie Sicherheitstests für jeden Build konsistent durchführen. Die Durchsetzung von Richtlinien gewährleistet die einheitliche Anwendung von Regeln für sichere Programmierung und reduziert so die Abhängigkeit von manuellen Überprüfungen. Schnelles, umsetzbares Feedback hält die Entwickler motiviert und minimiert Reibungsverluste.
Artikel 14 des CRA enthält einige der operativ anspruchsvollsten Anforderungen, insbesondere die 24-Stunden-Meldefrist für aktiv ausgenutzte Sicherheitslücken. Wenn Angreifer eine Schwachstelle in Ihrem Produkt erfolgreich ausgenutzt haben, müssen Sie dies innerhalb von 24 Stunden melden.
Nach der ersten Warnung haben Sie 72 Stunden Zeit, technische Details und Maßnahmen zur Risikominderung bereitzustellen, und innerhalb von 14 Tagen eine vollständige Analyse inklusive Ursachenermittlung und Nachweis der Behebung. All dies muss sowohl den nationalen IT-Sicherheitsvorfall-Reaktionsteams (CSIRTs) als auch der Europäischen Agentur für Cybersicherheit (ENISA) gemeldet werden.
Die Zeit drängt bereits, denn die Meldepflichten beginnen im September.
Betrachten Sie den Aufbau Ihrer CRA-Meldefähigkeit als vergleichbar mit der Einrichtung eines Notfallreaktionssystems. Sie müssen durch Übungen und Vorbereitung ein Gefühl für die Abläufe entwickeln und nicht erst reagieren, wenn ein Vorfall eintritt.
Die CRA schreibt zwar keine spezifischen Rahmenwerke vor, akzeptiert aber harmonisierte Standards oder gleichwertige Maßnahmen zum Nachweis der Konformität. Hier kommen Rahmenwerke wie beispielsweise ins Spiel. OWASP (Open Web Application Security Project) und CWE (Common Weakness Enumeration) werden von unschätzbarem Wert.
Dies sind weltweit anerkannte Standards, die dazu beitragen, die im CRA genannten Schwachstellen zu vermeiden. Ihre Anwendung liefert nachvollziehbare Nachweise für sichere Entwicklungspraktiken, zeigt den Aufsichtsbehörden, dass Sie modernste Sicherheitsmaßnahmen einsetzen, und beschleunigt die Überprüfung der Einhaltung von Vorschriften.
Eine strenge Eingabevalidierung zur Verhinderung von Injection-Angriffen deckt sich beispielsweise direkt mit den von OWASP identifizierten Injection-Risiken und spezifischen CWE-Schwachstellen wie SQL-Injection (CWE89) oder Command-Injection. Die Einhaltung der Vorschriften wird durch automatisierte Prüfungen und Testfälle nachgewiesen, die zeigen, dass Ihr Code schädliche Eingaben ablehnt.
Die CRA verlangt einen externen, überprüfbaren Nachweis der Sorgfaltspflichten im Bereich Cybersicherheit. Dies bedeutet, dass nachgewiesen werden muss, dass die Sicherheit über den gesamten Lebenszyklus hinweg gewährleistet ist und dass Ihr Produkt vor der Auslieferung an die Kunden bereit für die Markteinführung ist.
Die CRA verwendet ein dreistufiges, risikobasiertes System:
Diese Klassifizierung bestimmt den Umfang der Tests, die Menge der benötigten Nachweise und Ihre gesamte Compliance-Strategie.
Tools können Ihren Code automatisch analysieren, anhand von OWASP und CWE schwerwiegende Sicherheitsrisiken identifizieren und potenzielle Schwachstellen klar aufzeigen. Werden kritische Probleme in Komponenten gefunden, die die öffentliche Sicherheit beeinträchtigen, ist dies ein deutliches Indiz für eine kritische Einstufung. Die Automatisierung des Audit-Trails durch CI/CD-Integration, Durchsetzung von Sicherheitsregeln und Dokumentation von Tests, Ergebnissen und Korrekturen liefert der CRA ohne großen manuellen Aufwand einen vollständig nachvollziehbaren Datensatz.
Neue KI-Funktionen können die Sicherheit weiter verbessern, indem sie Verstöße analysieren, die schwerwiegendsten priorisieren und sogar Codekorrekturen vorschlagen oder anwenden. Dies kann den Prozess der Identifizierung und Behebung von Schwachstellen optimieren und Berichte erstellen, die die Ergebnisse und die ergriffenen Maßnahmen zusammenfassen. Diese Integration von KI mit Entwicklungswerkzeugen Die Sicherheitsanalyse bietet eine leistungsstarke Möglichkeit, Qualität und Sicherheit zu managen und so die täglichen Arbeitsabläufe effizienter zu gestalten.
Durch die Anwendung eines „Secure-by-Design“-Ansatzes und den Einsatz von Automatisierung können Unternehmen nicht nur die Anforderungen des EU Cyber Resilience Act erfüllen, sondern auch robustere und vertrauenswürdigere Produkte entwickeln und die Compliance in einen Wettbewerbsvorteil verwandeln.
