Guardian360
Kostenlos testenPartner werden
← Alle Beiträge

Meinung

Alle schauen auf NIS2. Der Cyber Resilience Act ist der, der Ihr Produkt vom Markt nehmen kann.

Von Jan Martijn Broekhof ·

Am 9. Juli war ich bei CRA Connect, einer Veranstaltung zum Cyber Resilience Act, organisiert von CyberVeilig Nederland, FME und dem Wirtschaftsministerium, ausgerichtet von Tesorion in Nieuwegein. Ich ging hinein in der Annahme, das Wesentliche bereits zu kennen. Guardian360 baut Software, also gilt der CRA natürlich für uns; daran bestand nie ein Zweifel. Was mich überraschte, war das Tempo. Nicht das prominente Datum Dezember 2027, das die meisten im Raum aufsagen konnten, sondern das, das still davor liegt: der 11. September 2026. Das ist keine ferne Pflicht. Das ist Vorbereitungszeit, die bereits läuft.

Ich vermute, ich bin nicht der Einzige, der die Zeitachse etwas falsch im Kopf hatte. Und das ist aus einem einfachen Grund wichtig: Gerade jetzt schaut fast jeder in der Cybersicherheit auf NIS2. Der CRA kommt in dessen Schatten, und von beiden ist der CRA der, der Sie am Ende daran hindern kann, Ihr Produkt überhaupt noch zu verkaufen.

Was ist der Cyber Resilience Act genau?

Der Cyber Resilience Act ist eine europäische Verordnung, die auf die Sicherheit von Produkten mit digitalen Elementen abzielt. Er trat am 10. Dezember 2024 in Kraft und gilt, weil es eine Verordnung und keine Richtlinie ist, unmittelbar in der gesamten EU, ohne in nationales Recht übersetzt zu werden.

Sein Anwendungsbereich ist weit. Er umfasst nicht nur physische vernetzte Geräte wie IoT-Hardware, Firewalls und Netzwerkausrüstung, sondern auch Software: Betriebssysteme, mobile Apps, Firmware und separat vermarktete Softwarekomponenten. Wird ein Produkt mit digitalen Elementen im Rahmen einer kommerziellen Tätigkeit auf dem EU-Markt bereitgestellt, fällt es sehr wahrscheinlich in den Anwendungsbereich. Diese Reichweite geht auch über Europa hinaus; ein Hersteller außerhalb der EU ist an den CRA gebunden, sobald seine Produkte auf dem EU-Markt bereitgestellt werden.

Es gibt eine Ausnahme, die zu nennen sich lohnt, weil sie oft missverstanden wird. Nicht-kommerzielle Open-Source-Software fällt außerhalb des CRA. Doch sobald Sie Open-Source-Komponenten in ein kommerzielles Produkt integrieren, sind diese Komponenten Teil Ihres Produkts, und die CRA-Pflichten gelten für das Ganze. Sie können die Verantwortung nicht an ein Upstream-Projekt auslagern, für das Sie nie bezahlt haben.

Wann müssen Sie tatsächlich compliant sein?

Hier liegt die Überraschung. Es gibt zwei Daten, und das zweite bekommt die ganze Aufmerksamkeit, während das erste den Schaden anrichtet.

Am 11. September 2026 beginnt die Meldepflicht. Ab diesem Datum müssen Hersteller, die von einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall in ihrem Produkt Kenntnis erlangen, dies melden, mit einer ersten Meldung innerhalb von 24 Stunden, über den nationalen Kanal unter mijn.NCSC.nl. Am 11. Dezember 2027 gilt der Rest der Verordnung vollständig: die grundlegenden Cybersicherheitsanforderungen, die Konformitätsbewertung, die CE-Kennzeichnung, die technische Dokumentation. Ab diesem Datum dürfen nur CRA-konforme Produkte auf dem EU-Markt bereitgestellt werden.

Drehen Sie diese Daten nun um. Sehen Sie sie nicht als Fristen, sondern als den Moment, zu dem Ihre Vorbereitung fertig sein muss. Ein funktionierender Prozess zur Meldung von Vorfällen und Schwachstellen, getestet und besetzt, muss vor September 2026 bestehen. Eine vollständige Konformitätsbewertung, mit der gesamten Dokumentation dahinter, muss vor Dezember 2027 erledigt sein. Ziehen Sie die Zeit ab, die jedes davon wirklich braucht, und beide Daten weisen zurück auf denselben unbequemen Ort: jetzt.

Alle schauen auf NIS2. Das ist der gefährliche Teil.

Die Cybersicherheitsbranche hat die letzten zwei Jahre mit NIS2 und dessen niederländischer Umsetzung verbracht. Diese Aufmerksamkeit ist nicht falsch, aber sie hat einen blinden Fleck geschaffen, und der blinde Fleck ist gerade deshalb gefährlich, weil die beiden Gesetze keine Konkurrenten um Ihre Aufmerksamkeit sind. Sie greifen ineinander.

Der CRA ist im Grunde das Lieferketten-Instrument unter NIS2. Eine Organisation, die unter NIS2 fällt, kann nur dann sicher sein, wenn die Produkte, die sie kauft, selbst sicher sind. Ein Krankenhaus, ein Versorger, ein Logistiker; jeder ist nur so widerstandsfähig wie die vernetzten Produkte und die Software, die er beschafft. Und genau das regelt der CRA auf Produktebene. Schauen Sie nur auf NIS2, verwalten Sie die Hälfte des Problems und nehmen an, die andere Hälfte erledige sich von selbst.

Auch die Einsätze unterscheiden sich, und das ist der Teil, der aufhorchen lassen sollte. Verstöße gegen NIS2 bringen Aufsicht und Bußgelder. Die sind ernst. Aber der CRA funktioniert wie die CE-Kennzeichnung für physische Sicherheit: Ab Dezember 2027 darf ein Produkt ohne gültige Konformitätsbewertung schlicht nicht auf dem EU-Markt bereitgestellt werden. Der schlimmste Fall unter NIS2 ist eine Strafe. Der schlimmste Fall unter dem CRA ist, dass Ihr Produkt nicht verkauft werden kann. Für einen Softwareanbieter sind das keine Compliance-Kosten. Das ist existenziell.

Wir haben es an uns selbst getestet

Ich möchte ehrlich sein, wo Guardian360 hier steht, denn das ist der klarste Weg zu zeigen, warum „das machen wir später“ der falsche Reflex ist.

Wir sind ISO 27001 zertifiziert. Wir führen bereits eine Software Bill of Materials für unsere Produkte. Auf dem Papier waren wir besser vorbereitet als die meisten. Und die Schlussfolgerung, zu der wir kamen, war dennoch ernüchternd: Diese Vorbereitung verschafft uns einen Vorsprung, keine Befreiung. ISO 27001 regelt unser Informationssicherheits-Managementsystem, unsere Organisation und ihre Prozesse. Der CRA regelt die Sicherheit des Produkts selbst. Die beiden ergänzen sich, sind aber nicht austauschbar, und ein ISO-27001-Zertifikat an der Wand macht ein Produkt nicht CRA-konform.

Dann begannen wir, unsere eigenen Produkte gegen die Kategorien des CRA zu legen, und es wurde noch interessanter. Die Verordnung teilt Produkte mit digitalen Elementen ein in reguläre Produkte, wichtige Produkte der Klasse I und Klasse II sowie kritische Produkte, wobei die Bewertung schwerer wird, je höher das Risiko steigt. Klasse II, zu der Systeme zur Angriffserkennung und -abwehr gehören, erfordert eine Bewertung durch eine externe benannte Stelle; Selbstbewertung genügt nicht. Ein Teil dessen, was wir tun, liegt genau in diesem Bereich der Angriffserkennung. Mit anderen Worten: Einige unserer Produkte weisen auf das schwerere Regime, nicht auf das leichtere. Genau herauszufinden, welches Produkt in welche Kategorie fällt, und die Begründung zu dokumentieren, ist genau die Art von Aufgabe, die Monate dauert. Das erledigt man nicht in Eile im Spätsommer 2026.

Warum Sie nicht warten können, nicht einmal auf „nur“ die Meldepflicht

Hier ist der berechtigte Einwand, und er verdient eine klare Antwort. Jemand wird sagen: September 2026 ist nur die Meldepflicht, nicht die volle Produktkonformität. Volle Compliance ist 2027. Übertreiben wir die Dringlichkeit also nicht?

Nein, und hier ist der Grund. Die Meldepflicht ist kein Schalter, den man umlegt. Sie können nicht melden, was Sie nicht überwachen, was bedeutet, dass der Erkennungs- und Meldeprozess betriebsbereit und eingeübt sein muss, bevor das Datum kommt. Sie können nicht genau über ein Produkt melden, dessen Abhängigkeiten von Dritten Sie nie erfasst haben, und hier kommt die Software Bill of Materials ins Spiel; eine über ein echtes Produktportfolio zusammenzustellen ist Monate an Arbeit, kein Nachmittag. Und für jeden, der physische Produkte baut, ist die Zeitachse noch unnachgiebiger. Bei der Veranstaltung sprach Ferry Mulders von VDL Agrobotics über den Lebenszyklus einer Maschine, darüber, über die Jahre ihres Einsatzes nachzuweisen, dass eine Maschine nicht gehackt werden kann. Ein Maschinenbauer mit einem mehrjährigen Entwicklungszyklus entwirft heute die Produkte, die nach 2027 auf den Markt kommen. Für ihn ist 2027 nicht die Zukunft. Es ist der aktuelle Entwurfsauftrag.

Erik de Jong von Tesorion, dessen Unternehmen die Veranstaltung ausrichtete, brachte die ehrliche Fassung davon unverblümt auf den Punkt: Sie helfen anderen, compliant zu werden, und sitzen selbst auf einer erheblichen CRA-Aufgabe. Das ist die Realität in unserer gesamten Branche. Die Menschen, die hierzu beraten, unterliegen ihm ebenfalls.

Was das für Partner bedeutet

Sind Sie Partner, MSP, Integrator, Reseller oder Cybersicherheitsspezialist, landet dies zweimal auf Ihrem Schreibtisch.

Erstens für Sie selbst. Wenn Sie ein Produkt mit digitalen Elementen entwickeln, importieren oder vertreiben, prüfen Sie, ob der CRA für Sie gilt und in welche Kategorie jedes Produkt fällt. Nehmen Sie nicht an, dass ein Dienstleistungsgeschäft außerhalb des Anwendungsbereichs liegt; sehr viele Dienstleister liefern auch Software, Appliances oder integrierte Produkte, ohne sie so zu betrachten.

Zweitens für Ihre Kunden. Sie werden fragen, was der CRA für sie bedeutet, und die Partner, die darauf gut antworten können, ruhig, konkret, mit Zeitachse und Kategorien im Griff, sind diejenigen, die das daraus folgende Vertrauen verdienen. Das Gespräch kommt so oder so. Die einzige Frage ist, ob Sie die Arbeit getan haben, bevor Ihr Kunde fragt, oder danach.

Also hier ist die Frage, die ich Ihnen mitgeben würde. Haben Sie Ihre eigenen Produkte schon gegen die Anhänge des CRA gelegt, oder nehmen Sie still an, dass 2027 noch bequem weit weg ist? Denn wenn Sie die Daten umdrehen, ist es das nicht.

Quellen