Was ist passiert?
Die Meldepflicht des EU Cyber Resilience Acts (CRA) ist in Kraft getreten. Vor diesem Hintergrund hat Genetec, ein Anbieter von Software für physische Sicherheit, einen Leitfaden veröffentlicht, der Sicherheitsverantwortlichen helfen soll, die Cybersicherheitskompetenz von Technologieanbietern zu bewerten. Der Leitfaden formuliert fünf zentrale Fragen, mit denen Unternehmen beurteilen können, wie Anbieter vernetzte Produkte entwickeln, warten und über den gesamten Lebenszyklus unterstützen.
Die Details
Der CRA legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der Europäischen Union verkauft werden. Im Mittelpunkt stehen eine sichere Produktentwicklung, ein funktionierendes Schwachstellenmanagement, Transparenz in der Cybersicherheit sowie kontinuierlicher Produktsupport über den gesamten Lebenszyklus hinweg. Die Verordnung richtet sich zwar in erster Linie an Hersteller, wirkt sich aber auch auf Unternehmen aus, die vernetzte Geräte vertreiben, installieren, beschaffen und betreiben – also auch auf Betreiber von Alarmanlagen, Videoüberwachung oder Zutrittskontrollsystemen.
Genetec empfiehlt Sicherheitsverantwortlichen, potenziellen Technologieanbietern folgende fünf Fragen zu stellen:
- Wie lange erhält das Produkt Sicherheitsupdates und Support? Der CRA verpflichtet Hersteller, Sicherheitsupdates während eines definierten Supportzeitraums bereitzustellen, der grundsätzlich mindestens fünf Jahre oder die erwartete Nutzungsdauer des Produkts umfasst, sofern diese kürzer ist.
- Wurde Cybersicherheit von Anfang an integriert? Die Prinzipien „Secured by Design“ und „Secure by Default“ stehen im Mittelpunkt des CRA. Anbieter sollten erläutern können, wie Cybersicherheit in Design, Entwicklung, Tests und den gesamten Produktlebenszyklus eingeflossen ist.
- Wie identifiziert, kommuniziert und behebt der Anbieter Sicherheitslücken? Dazu gehören regelmäßige Sicherheitstests, ein koordiniertes Verfahren zur Offenlegung von Schwachstellen, deren zügige und risikobasierte Behebung, die sichere Bereitstellung von Updates sowie klare Informationen zu behobenen Schwachstellen.
- Ist der Anbieter transparent bezüglich seiner eigenen Cybersicherheitspraktiken? Verantwortungsbewusste Anbieter kommunizieren, wie sie Produkte entwickeln, testen und warten, und geben Kunden sowie Systemintegratoren klare Leitlinien für eine sichere Bereitstellung.
- Wie unterstützt der Anbieter die langfristige Cyberresilienz? Dazu zählt, wie der Supportzeitraum festgelegt und kommuniziert wird, wie mit Sicherheitslücken umgegangen wird, wie Updates bereitgestellt werden und wie das Ende der Lebensdauer des Produkts organisiert wird.
Mathieu Chevalier, Principal Security Architect bei Genetec Inc., ordnet die Entwicklung ein: „Der Cyber Resilience Act bekräftigt viele Prinzipien des ‚Secure-by-Designs‘ und des Lebenszyklusmanagements, für die sich Genetec seit Jahren einsetzt. Die CRA-Vorschriften erhöhen die Anforderungen an Produktsicherheit und Transparenz und bieten so Käufern eine klare Grundlage für die Bewertung von Technologieanbietern und optimieren langfristig ihre Cyberresilienz.“
Einordnung
Für die Branche der physischen Sicherheitstechnik – von Videoüberwachung über Zutrittskontrolle bis hin zu vernetzten Alarmanlagen – bedeutet der CRA einen spürbaren Wandel. Geräte, die früher primär unter mechanischen oder baulichen Sicherheitsaspekten bewertet wurden, etwa bei Einwurftresoren oder Opferstöcken, sind heute zunehmend vernetzt und damit potenziellen Cyberrisiken ausgesetzt. Wer vernetzte Technik beschafft, installiert oder betreibt, trägt künftig eine Mitverantwortung dafür, dass diese Systeme den CRA-Anforderungen entsprechen. Die Verordnung verschiebt damit den Fokus von einer einmaligen Kaufentscheidung hin zu einer kontinuierlichen Partnerschaft zwischen Anbieter und Betreiber.
Praxis-Tipps
- Vor der Beschaffung klären, wie lange der Hersteller Sicherheitsupdates garantiert – Richtwert laut CRA sind mindestens fünf Jahre oder die erwartete Nutzungsdauer.
- Nachfragen, ob „Secure by Design“ und „Secure by Default“ bereits in der Entwicklungsphase berücksichtigt wurden.
- Verfahren des Anbieters zum Schwachstellenmanagement prüfen, insbesondere Prozesse zur Offenlegung und Behebung von Sicherheitslücken.
- Transparenz einfordern: Dokumentiert der Anbieter seine eigenen Sicherheitspraktiken und liefert Anleitungen zur Systemhärtung?
- Strategien für das Supportende (End-of-Life) der Produkte frühzeitig erfragen, auch für vernetzte Komponenten wie einen Wardhub in Sicherheitssystemen.
Ausblick
Mit dem Inkrafttreten der CRA-Meldepflicht wird Cybersicherheit zu einem festen Bewertungskriterium bei der Auswahl physischer Sicherheitstechnik. Unternehmen, die vernetzte Sicherheitslösungen betreiben, sollten die genannten fünf Fragen als Grundlage für Lieferantengespräche nutzen und ihre Beschaffungsprozesse entsprechend anpassen. Langfristig dürfte sich laut Chevalier ein Ansatz durchsetzen, bei dem Cybersicherheit nicht als einmalige Entscheidung, sondern als kontinuierliche Partnerschaft zwischen Herstellern, Systemintegratoren und Betreibern verstanden wird.
