Cyber Resilience Act nimmt die gesamte Lieferkette ins Visier
Neue Leitlinien der EU-Kommission konkretisieren den Cyber Resilience Act. Sie zeigen zugleich: Hersteller müssen nicht nur den eigenen Code absichern, sondern auch Open-Source-Bausteine, Cloud-Dienste, Maschinenidentitäten und digitale Zugangsdaten kontrollieren.
Die neuen Leitlinien der Europäischen Kommission sollen Unternehmen die Umsetzung des Cyber Resilience Act (CRA) erleichtern. Sie behandeln unter anderem Open-Source-Software, Supportzeiträume und die Frage, wann ein Update als wesentliche Änderung gilt. Die Hinweise sind zwar nicht verbindlich, verdeutlichen aber, wie weit die Verantwortung der Hersteller reicht. Die zentralen CRA-Pflichten gelten ab dem 11. Dezember 2027. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle greifen bereits am 11. September 2026.
Verantwortung endet nicht am eigenen Code
Nach Einschätzung von Darren Guccione, CEO und Mitbegründer von Keeper Security, liegt die „eigentliche Compliance-Herausforderung“ in der Kontrolle sämtlicher technischer Abhängigkeiten. Dazu zählen Drittanbieter, Open-Source-Komponenten, Cloud-Plattformen und Dienste zur entfernten Datenverarbeitung, sofern sie Bestandteil eines vernetzten Produkts sind.
Hersteller müssen damit Risiken über den gesamten Lebenszyklus eines Produkts mit digitalen Elementen berücksichtigen. Der CRA schreibt verbindliche Cybersicherheitsanforderungen für Hard- und Software vor und verankert eine Sorgfaltspflicht der Anbieter.
Digitale Identitäten werden zum Compliance-Thema
Besondere Bedeutung erhalten nicht-menschliche Identitäten und sogenannte Secrets. Dazu gehören:
- Programmierschnittstellen-Schlüssel
- Zugriffstoken
- Servicekonten
- Maschinenidentitäten
Über diese Zugangsdaten kommunizieren Anwendungen mit Bibliotheken, Plattformen und Infrastrukturdiensten. Fehlende Transparenz kann verhindern, dass Hersteller Schwachstellen, betroffene Komponenten und unberechtigte Zugriffe rechtzeitig erkennen.
Laut einer Keeper-Studie nennen bereits 25 Prozent der deutschen Unternehmen die unzureichende Kontrolle von Drittanbieter- und Lieferantenzugriffen als Schwachstelle ihrer Governance.
September 2026 setzt den ersten Termin
Hersteller müssen künftig innerhalb von 24 Stunden eine Frühwarnung zu meldepflichtigen Ereignissen übermitteln; eine vollständige Meldung folgt grundsätzlich innerhalb von 72 Stunden. Wer erst 2027 damit beginnt, Abhängigkeiten und Zugangsdaten systematisch zu erfassen, könnte daher schon zuvor Schwierigkeiten mit der Nachweis- und Meldefähigkeit bekommen. Zentrale Verwaltung, klare Zuständigkeiten und eine lückenlose Dokumentation werden damit zu Grundlagen der CRA-Compliance.
Darren Guccione, CEO und Mitbegründer von Keeper Security
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
