Cyber Resilience Act: was Hersteller digitaler Produkte wissen müssen

Wer betroffen ist

Hardware- und Softwareprodukte, deren Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt: vernetzte Haushalts- und Industriegeräte, Router, Steuerungen, Firmware und Software, die als Produkt verkauft wird. Ausgenommen sind Bereiche mit eigenen Regeln, etwa Medizinprodukte, Kraftfahrzeuge und die Zivilluftfahrt.

Die Pflichten des Herstellers

Cybersicherheit von der Entwicklung an, Umgang mit Schwachstellen samt SBOM und kostenlosen Sicherheitsupdates, ein Unterstützungszeitraum von in der Regel mindestens fünf Jahren, Meldungen über die Plattform der ENISA, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.

Wichtige und kritische Produkte

Für die meisten Produkte genügt die interne Kontrolle durch den Hersteller. Bestimmte wichtige oder kritische Produkte – etwa Router, Firewalls oder sichere Elemente – brauchen strengere Verfahren, teils mit einer notifizierten Stelle.