Cyber Resilience Act Bereit für die 24-Stunden-Meldepflichten des CRA

Anbieter zum Thema

Moxa Europe GmbH

RITTAL GmbH & Co. KG

conplement AG

LRQA Deutschland GmbH

Moxa ist darauf vorbereitet, die verbindlichen Meldepflichten für Schwachstellen und Vorfälle des Cyber Resilience Act der EU zu erfüllen, sobald diese am 11. September 2026 in Kraft treten.

Gemäß CRA müssen Hersteller von Produkten mit digitalen Komponenten innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls eine Frühwarnung an die ENISA und das zuständige nationale CSIRT übermitteln. Innerhalb von 72 Stunden muss eine vollständige Meldung erfolgen.

Bei aktiv ausgenutzten Schwachstellen ist zudem innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme beziehungsweise eines Patches ein Abschlussbericht einzureichen. Nach der Meldung schwerwiegender Sicherheitsvorfälle beträgt diese Frist einen Monat.

Bei der Erfüllung dieser Verpflichtungen stützt sich Moxa auf einen validierten Secure Development Life Cycle (SDL). Als einer der ersten Anbieter hat Moxa eine zweifache Zertifizierung nach IEC 62443-4-1 Maturity Level 3 (ML 3) sowohl von der IECEE als auch von ISCI/ISASecure erhalten. Damit hat das Unternehmen bewiesen, dass es über wiederholbare Produktsicherheitsprozesse verfügt, die unternehmensweit einheitlich angewendet werden. Diese Fähigkeiten bilden eine solide Grundlage für die Erfüllung der CRA-Cybersicherheitsverpflichtungen nach der Markteinführung.

Die 24-Stunden-Meldepflichten der CRA zu erfüllen, geht über die reine Reaktion auf Vorfälle hinaus; vielmehr ist ein integriertes Rahmenwerk für die Cybersicherheits-Governance erforderlich. Dies ermöglicht es Herstellern, betroffene Produkte schnell zu identifizieren, die Auswirkungen auf die Cybersicherheit zu bewerten sowie die Entwicklungsteams zu koordinieren, um zeitnah regulatorische Entscheidungen treffen zu können.

Moxa hat ein umfassendes Schwachstellenmanagement implementiert, um diese Anforderungen zu erfüllen. Dies umfasst unter anderem:

• ein ausgereiftes Product Security Incident Response Team (PSIRT), das in der Lage ist, Reaktionen auf Schwachstellen schnell zu validieren, zu bewerten und zu koordinieren,

• ein umfassendes Management der Software-Stückliste (Software Bill of Materials, SBOM), das es den Entwicklungsteams ermöglicht, betroffene Softwarekomponenten, Produkte und Firmware-Versionen schnell zu identifizieren,

• eine durchgängige Produktrückverfolgbarkeit, welche die Software-Zusammensetzung, Firmware-Versionen und Lebenszyklusdaten abdeckt,

• ein SDL, der eine vollständige Rückverfolgbarkeit der Entwicklung sowie strukturierte Prozesse zur Behebung von Schwachstellen gewährleistet und

• klar definierte Governance-Verfahren, die die Entscheidungsfindung in den Bereichen Entwicklung, Produktmanagement, Cybersicherheit, Recht und Geschäftsführung aufeinander abstimmen, um eine zeitnahe Berichterstattung an die Aufsichtsbehörden zu gewährleisten.

Zudem baut Moxa seine Fähigkeiten zur Meldung von Schwachstellen durch die Integration von SBOM-Daten in Produktdatenbanken weiter aus. Werden neue Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, kann das PSIRT von Moxa Daten umgehend miteinander verknüpfen, Auswirkungen bewerten, Maßnahmen priorisieren und die rechtzeitige Einhaltung der CRA-Vorgaben sicherstellen.

„Die 24-Stunden-Meldepflicht des CRA zu erfüllen ist nicht nur ein Wettlauf gegen die Zeit, sie zeigt auch die Reife einer Organisation im Bereich Cybersicherheit und ist das sichtbare Ergebnis jahrelanger Investitionen in die Cybersicherheits-Governance“, sagt John Chang, Director of R&D Management and the Product Security Center bei Moxa. „Anbieter wie Moxa, die diese Verpflichtung konsequent erfüllen, haben eine technische Governance, sichere Entwicklungspraktiken, Prozesse für das Schwachstellen-Management und funktionsübergreifende Koordination etabliert, um betroffene Produkte schnell zu erfassen, Cybersicherheitsrisiken zu bewerten, technische Maßnahmen zu koordinieren und den Aufsichtsbehörden präzise Informationen zur Verfügung zu stellen.“

Für Maschinen- und Anlagenbauer, Systemintegratoren und Betreiber kritischer Infrastrukturen bietet die Zusammenarbeit mit Lieferanten, die über diese Fähigkeiten verfügen, die Gewissheit, dass ihr Zulieferer nicht nur heute sichere Produkte liefert, sondern auch für die kommenden Jahre gerüstet ist, um neu auftretende Cybersicherheitsrisiken zu bewältigen.

Der CRA definiert die Verantwortlichkeiten im Bereich Cybersicherheit in der Industrie neu. Damit wird Vertrauen künftig sowohl an den Sicherheitsmerkmalen der Produkte als auch am Engagement des Herstellers für Cybersicherheit über den gesamten Produktlebenszyklus hinweg gemessen. Durch die Implementierung zertifizierter SDL-Verfahren, eines effektiven Schwachstellen-Managements, PSIRT-Maßnahmen, einer SBOM-Governance und transparenter Prozesse hilft Moxa seinen Kunden, Cybersicherheitsrisiken zu reduzieren und ihren CRA-Pflichten nach der Markteinführung nachzukommen.

(ID:50951506)