Cyber Resilience Act der EU
Mit dem Cyberresilienzgesetz (Cyber Resilience Act, CRA) will die EU sicherstellen, dass alle Produkte mit digitalen Elementen bereits durch ihr Design eine erhöhte Cybersicherheit aufweisen und über ihren gesamten Lebenszyklus hinweg sicher bleiben. Daher führt sie verpflichtende Cybersicherheitsanforderungen für derartige Produkte ein, die auf dem EU-Markt in Verkehr gebracht werden. Die vollständige CRA-Konformität einschließlich CE-Zeichen für Cybersicherheit ist ab dem 11. Dezember 2027 obligatorisch.
Dies bedeutet, dass Konformität nicht nur eine Option, sondern eine Verpflichtung für Hardwareanbieter, Softwarehersteller und Systemintegratoren gleichermaßen ist, welche ihre Produkte auf dem europäischen Markt verkaufen möchten, unabhängig davon, ob sie ihren Sitz im EMEA-Raum, auf dem amerikanischen Kontinent oder in Asien haben.
Was bedeutet der CRA für Embedded-Systeme?
Wichtige Anforderungen auf einen Blick
| CRA-Anforderung | Beschreibung | Praktische Bedeutung |
|---|---|---|
| Secure-by-design | Sicherheit muss von Grund auf in die Produkte integriert sein und darf nicht nachträglich aufgesetzt werden. | Daten, die mit dem Produkt gespeichert oder übertragen werden, sind verschlüsselt, und die Angriffsfläche ist so klein wie möglich, um Datenschutz und Integrität zu bewahren. Ein TPM oder eine vergleichbare Maßnahme muss integriert werden. |
| Secure by Default | Produkte müssen mit sicherer Standardkonfiguration ausgeliefert werden, um Angriffsmöglichkeiten zu minimieren. | Debug-Ports und Telnet-Verbindungen müssen standardmäßig deaktiviert sein. Schwache Standard-Logins und Kennwörter („admin“/„admin“) sind zu vermeiden. |
| Risikoabschätzung | Vor der Markteinführung muss eine dokumentierte Cybersicherheits-Risikoabschätzung durchgeführt werden. | Hersteller müssen die Konformität ihrer Produkte selbst testen oder durch Dritte testen lassen. Der Großteil der Produkte kann von den Herstellern selbst anhand festgelegter Testspezifikationen überprüft werden. |
| SBOM (Software Bill of Materials, Softwarestückliste) | Ein maschinenlesbares Inventar aller Softwarekomponenten und -abhängigkeiten, zur Nachverfolgung und zur Meldung von Schwachstellen benötigt. | Wenn eine kritische Softwarelücke entdeckt wird, zum Beispiel im Linux-Kernel oder in einer Open-Source-Bibliothek, hilft dies bei der Feststellung, ob das Produkt betroffen ist. Die SBOM ist verpflichtend, muss jedoch nicht veröffentlicht werden. |
| Umgang mit und Meldung von Schwachstellen | Sicherheitslücken und Exploits müssen über den gesamten Produktlebenszyklus gemeldet, behoben und offengelegt werden. | Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen der ENISA (Agentur der Europäischen Union für Cybersicherheit) und dem zuständigen CSIRT (Computer Security Incident Response Team) durch eine Frühwarnung binnen 24 Stunden gemeldet werden. Ein interner Prozess und ein Ansprechpartner müssen festgelegt werden. |
| Sicherheitsupdates | Der Anbieter muss rechtzeitig Sicherheitsupdates bereitstellen und idealerweise Over-the-Air (OTA) ausliefern, wo dies möglich ist. | Updates müssen innerhalb eines festgelegten Zeitraums ausgeführt werden. OTA eignet sich ideal, weil Techniker nicht jede einzelne Maschine in der Werkhalle mit einem physischen USB-Stick aufsuchen müssen, wenn ein Update erforderlich ist – Updates können remote ausgerollt und vor dem Einspielen auf Authentizität geprüft werden. Dies spart Zeit und Kosten. |
Cybersicherheit und CRA-Konformität bedeuten stets Teamarbeit, was zu gemeinsamen Zuständigkeiten führt. congatec entwickelt seine Hardware- und Softwarelösungen gemäß IEC 62443-4-2 und bietet viele weitere Services, sodass Kunden ihre Anwendungen bereits auf einem sicheren Fundament aufbauen können.
Um die gemeinsame Verantwortung konkret umzusetzen, nutzt congatec das Konzept des „House of Cyber Security“. Dabei handelt es sich nicht um ein einzelnes Produkt oder eine Checkliste. Es ist ein Framework, das darstellt, wie technische Bausteine und organisatorische Prozesse ineinandergreifen.
An der Spitze des Hauses steht die Kundenanwendung. Hier werden die Cybersicherheitsanforderungen letztendlich sichtbar, zum Beispiel sichere Kommunikation, geschützte Daten und zuverlässiger Betrieb in der Praxis. Das Dach steht für das Ergebnis, das Anwender und Betreiber wahrnehmen. Es hängt vollständig von dem darunter liegenden Aufbau ab.
Das Haus wird durch drei Säulen gestützt, die alle Ebenen von Embedded-Systemen abdecken.
- Vertraulichkeit stellt sicher, dass nur autorisierte Parteien auf Daten zugreifen können. Dies wird durch Isolationsmaßnahmen, sicheren Speicher und Schlüsselverwaltung unterstützt.
- Integrität stellt sicher, dass Software und Firmware unverändert und authentisch bleiben. Dies wird durch Roots of Trust, Secure-Boot-Mechanismen und signierte Updates erreicht.
- Verfügbarkeit stellt sicher, dass Systeme weiterhin zuverlässig arbeiten, selbst in anspruchsvollen Industrieumgebungen, was durch robustes Hardwaredesign und Überwachungsmechanismen erreicht wird.
All diese Säulen können nicht durch eine einzelne Schicht aufrechterhalten werden. Sie können nur dann erwachsen, wenn Hardware, Firmware, Software und Anwendungen zusammenarbeiten.
Möchten Sie mehr über die Sicherheit eingebetteter Systeme und das „House of Cybersecurity“ erfahren?
Blogartikel lesen
Der CRA gilt nur für vernetzte oder mit dem Internet of Things (IoT) verbundene Geräte.
Das ist falsch. Der CRA gilt für alle Produkte mit digitalen Elementen (PDE). Geräte, die nicht mit dem IoT oder einem lokalen Netzwerk verbunden sind, sind ebenfalls betroffen, sobald sie eine direkte oder indirekte logische oder physische Datenverbindung enthalten. Das bedeutet, dass Systeme mit der Möglichkeit einer externen Verbindung zu einem lokalen Netzwerk, anderen Embedded-Plattformen oder digitalen Systemen und sogar mit einer nicht angeschlossenen Wartungs- oder Serviceschnittstelle betroffen sind.
Das Produkt darf weiter verkauft werden, solange es unverändert bleibt.
Dies resultiert aus einem falschen Verständnis der Begriffe „Inverkehrbringung auf dem Markt“ und „Bereitstellung auf dem Markt“. Wenn ein Gerät zum Beispiel vor dem 11. Dezember 2027 an einen Großhändler geliefert wird, wurde dieses spezifische Gerät damit rechtzeitig auf dem Markt in Verkehr gebracht. Wenn der Großhändler es 2028 verkauft, bedeutet dies lediglich die Bereitstellung auf dem Markt. Die Herstellung neuer Einheiten derselben Produktlinie im Jahr 2028 und ihre erstmalige Lieferung stellt jedoch eine neue Inverkehrbringung auf dem Markt dar. Dies gilt selbst dann, wenn das Gerät vor dem 11. Dezember 2027 entwickelt wurde.
Das Produkt muss nur so lange unterstützt werden, wie es auf der Roadmap verbleibt.
Hersteller müssen während eines festgelegten Supportzeitraums Schwachstellen beheben und Sicherheitsupdates bereitstellen. Dieser Zeitraum muss mit der erwarteten Produktlebensdauer übereinstimmen und beträgt mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht darunter liegt. Entscheidend ist, dass diese Vorschrift für jedes einzelne Produkt gilt, das auf dem Markt in Verkehr gebracht wird, nicht für Produktreihen, Entwicklungsgenerationen oder Marketing-Roadmaps. Beispiel: Ein PDE wird 2028 produziert, verbleibt bis 2033 im Lagerbestand des Anbieters und wird dann vom Anbieter auf dem Markt in Verkehr gebracht. Das bedeutet, dass es mindestens bis 2038 unterstützt werden muss.
Dedizierte CRA-Unterstützung von congatec
Das aReady.-Portfolio von congatec aus anwendungsfertigen Hard- und Softwarebausteinen ist für sichere Umgebungen entworfen und wird in einem sicheren Entwicklungsprozess entwickelt, der nach IEC 62443-4-1 zertifiziert ist. Die Anforderungen dieser Norm stimmen zu weiten Teilen mit den im CRA enthaltenen Pflichten hinsichtlich Secure-by-Design, Schwachstellenbehebung und Dokumentation überein.
- Mit den aReady.COM-Hardware- und Softwarebausteinen bietet congatec OEMs einen schnelleren und einfachen Weg, bei ihren Endprodukten CRA-Konformität zu erreichen, da viele der CRA-Anforderungen bereits umgesetzt sind.
- Die Kombination aus modularer Hardware und strukturierter Softwaregovernance, Sicherheitsüberwachung und Lifecycle Management reduziert die Komplexität der Konformität bereits vom ersten Tag an, da es nicht mehr notwendig ist, jeden einzelnen Sicherheitsmechanismus von Grund auf neu zu erstellen.
CRA-Konformitätsmerkmale von congatec auf einen Blick
| CRA-Anforderung | Lösung von congatec | Wichtigster Nutzen |
|---|---|---|
| „Secure-by-Design / Default“ | Services für BIOS-Modifikation und -Anpassung | Plattform, die vom ersten Tag an gemäß kundenspezifischen Sicherheitsrichtlinien abgesichert ist |
| Sichere Hardwarebasis | aReady.COM Computer-on-Modules | Sofort einsatzbereite und angepasste Designs basierend auf standardisierten COMs bieten eine Basis mit langer Lebensdauer und integrierten Sicherheitsfunktionen |
| Root of Trust | COM Modules + BIOS Services | Hardware- und softwarebasierte Sicherheit auf Hardware- und BIOS-Ebene, gemäß Risikoabschätzung |
| Systemisolation | conga-zones Hypervisor | Hardwaregestützte Trennung von Sicherheitsdomänen auf einer Plattform |
„Secure-by-design“ und „Root of trust“
Der nach IEC 62443-4-1 zertifizierte Bereich umfasst die anwendungsfertigen Bausteine und die aReady.COM-Technologiestacks von congatec, die Computer-on-Modules mit
- lizenzierten Betriebssystemen kombinieren – darunter das nach IEC 62443-4-1 entworfene Ubuntu Pro und das gemäß IEC 62443-4-2 zertifizierte ctrlX OS.
- IoT-Konnektivität conga-connect von aReady.IOT für Sicherheitsupdates und Zustandsüberwachung.
- Echtzeitfähiger Hypervisor conga-zones und sicherer Bootloader von aReady.VT, beide nach IEC 62443-4-2 zertifiziert für Vertraulichkeit und Integrität.
Unsere nach IEC 62443-4-1 zertifizierten Designprozesse umfassen sichere Coding-Richtlinien, Verifikations- und Validierungsverfahren sowie strukturiertes Management von Schwachstellen, Patches und Obsoleszenz.
Secure-by-Design-Bausteine
Sichere Hardwarebasis
aReady.COM Computer-on-Modules von congatec
Alle Cybersicherheitsservices und -lösungen von congatec basieren auf unseren anwendungsfertigen Computer-on-Modules (COMs). Dabei handelt es sich um kompakte, anwendungsfertige Verarbeitungseinheiten, die CPU, Arbeitsspeicher, Festspeicher und Sicherheitshardware auf einem einzigen Board integrieren.
Hauptvorteile für CRA-Konformität:
- Modul, Sicherheitsarchitektur, Dokumentation und Updateinfrastruktur wurden bereits nach IEC 62443-4-1 entwickelt
- Standardisierte Hardware ermöglicht Wiederverwendung, um Sicherheitszertifizierung und Dokumentation zu vereinfachen
- Langfristige Verfügbarkeit stellt sicher, dass Sicherheitsupdates für einen längeren Zeitraum bereitgestellt werden, was die Lebensdauer der Produkte verlängert
- Einfache Upgrades durch simplen Modultausch tragen erheblich zur Optimierung von Lebenszyklus, Zertifizierungsaufwand und Return-on-Investment bei
- Integrierte Sicherheitsfunktionen (TPM, Secure-Boot-Unterstützung, hardwareintegrierte Sicherheitstechnologien) reduzieren den Aufwand zum Aufbau eines Root of Trust
- Skalierbarkeit über Performance-Klassen hinweg – vom stromsparenden Edge-System bis zu leistungsstarken Industriesteuerungen – reduziert den Zertifizierungsaufwand durch Wiederverwendung
Services für BIOS-Modifikation und -Anpassung von congatec
Die Grundlage eines CRA-konformen Produkts besteht in einer robusten Firmware-Basis. congatec bietet maßgeschneiderte Services für BIOS-Modifikation und Anpassung, mit der Kunden:
- Ungenutzte Schnittstellen und Peripheriegeräte deaktivieren können, um die Angriffsfläche per Hardware zu reduzieren
- Secure Boot erzwingen können, damit nur signierte, vertrauenswürdige Firmware und Betriebssystem-Images geladen werden
- BIOS-Einstellungen sperren können, um nicht autorisierte Konfigurationsänderungen in der Praxis zu verhindern
- Kundenspezifische, auf ihre individuelle Risikoabschätzung abgestimmte Sicherheitsrichtlinien anwenden können
- Die Plattform während der Produktion für einen sicheren Standardzustand konfigurieren können
Diese Services werden für den speziellen Anwendungskontext und das Risikoprofil jedes einzelnen Kunden angepasst, wodurch sichergestellt ist, dass die Sicherheitsmaßnahmen angemessen und effektiv sind.
Weitere Einzelheiten finden Sie auf unsererSeite zur Sicherheit ↗
Systemkonsolidierung und -isolation: conga-zones Hypervisor
Moderne Embedded-Systeme sind sehr leistungsfähig und in der Lage, mehrere Anwendungen auf einer Hardwareplattform zu konsolidieren. Mit dem IEC 62443-4-2-zertifiziferten congatec Hypervisor conga-zones können Hersteller mehrere Systeme durch ein einziges Modul ersetzen. Der CRA schreibt vor, dass Sicherheitsdomänen ordnungsgemäß voneinander isoliert sein müssen, damit ein Einbruch in einem Subsystem nicht zur Kompromittierung anderer Subsysteme führt.
Im Einzelnen ermöglicht der conga-zones Hypervisor von congatec Folgendes:
- Ausführung mehrerer Betriebssysteme und Anwendungsdomänen auf einem einzigen COM-Modul, was die Anzahl der Systeme von vielen auf eines reduziert.
- Strikte Isolation von Sicherheitsdomänen – z. B. Trennung einer Echtzeitsteuerungs-Partition von einer vernetzten HMI-Partition.
- Effiziente Nutzung der gesamten Performance der Mehrkernarchitektur moderner CPUs zur parallelen Ausführung von Workloads ohne gegenseitige Beeinträchtigung.
- Unterstützung von Designs mit verschiedenen Kritikalitätsgraden, um zertifizierten oder sicherheitsrelevanten Code von allgemeiner Software zu isolieren.
Dieser Ansatz reduziert Hardwarekomplexität und Kosten, während die vom CRA und vergleichbaren Normen (z. B. IEC 62443) geforderten Sicherheitsschranken gewahrt bleiben.
Weitere Informationen zu unserem Baustein aReady.VT: aReady.VT ↗
Genauere Analyse des Cyber Resilience Act (CRA)
Die Regulation (EU) 2024/2847, auch bekannt als Cyber Resilience Act (Cyberresilienzgesetz, CRA), ist ein horizontaler Rechtsrahmen der Europäischen Union (EU), der für Hardware- und Softwareprodukte gilt („Produkte mit digitalen Elementen“), die auf dem europäischen Markt in Verkehr gebracht werden. Zu diesen Produkten zählen sowohl Endprodukte als auch Komponenten, die eigenständig auf dem Markt in Verkehr gebracht werden.
Sie zielt darauf ab, die Bedingungen für die Entwicklung sicherer Hardware und Software in der Union festzulegen, um das EU-Konzept für Cybersicherheit auszubauen und die Funktion des internen Markts zu stärken. Ebenso versetzt sie Anwender in die Lage, beim Kauf und bei der Nutzung derartiger Produkte die Cybersicherheit zu berücksichtigen, indem sie sicherstellt, dass entsprechende Informationen für Anwender verfügbar gemacht werden.
Inhalt des CRA
| CRA-Referenz | CRA-Verpflichtung (vereinfacht) | Lösung von congatec |
|---|---|---|
| Anhang I, Teil I (1–2) | Produkte müssen Secure-by-Design & Default sein, frei von bekannten Schwachstellen sein und eine sichere Konfiguration aufweisen | Secure-by-Design-Module mit TPM 2.0, Root-of-Trust-Implementierung in Hardware, widerstandsfähige Hardware, sicherer Bootloader |
| Anhang I, Teil I (c) | Sicherstellen, dass Schwachstellen durch Sicherheitsupdates behoben werden können | Regelmäßige BIOS/Firmware-Updates, LTS-Kernel-Unterstützung, koordinierte Security Advisories |
| Anhang I, Teil II (1–8) | Behebung von Schwachstellen | Offenlegungsrichtlinie für Schwachstellen, CVE-Nachverfolgung, Kontaktmöglichkeit für Kunden, sichere Updateverteilung, öffentliche Hinweise |
| Artikel 13 und Anhang I | An Risikoabschätzung angelehntes Design | Bedrohungsmodellierung, strukturierte Gefahren- und Bedrohungsanalyse (IEC 62443-4-1) |
| Artikel 31 und Anhang VII | Pflege und Aktualisierung technischer Dokumentation | Einsatzbereite Dokumentationspakete (Risikoabschätzung, Updaterichtlinien) |
| Artikel 13(8); Randnummer 13 | Festlegung und Einhaltung eines Supportzeitraums | Langfristige Roadmaps, garantierte Supportzeiträume, Patchverfügbarkeit über den gesamten Lebenszyklus hinweg |
Zugriff auf den Cyber Resilience Act in allen offiziellen EU-Sprachen
Weitere Informationen zur Umsetzung des Cyberresilienzgesetzes finden Sie unter
Eine umfassende Liste der Europäischen Union mit häufig gestellten Fragen zur Umsetzung des CRA finden Sie hier:
Vulnerability handling and reporting
Reporting security vulnerabilities
Effective vulnerability handling is an essential part of cybersecurity and CRA compliance. congatec provides a dedicated process for reporting, assessing, and addressing potential security vulnerabilities affecting our products.
If you have identified a potential vulnerability in a congatec product, please report it through our dedicated vulnerability reporting channel. Our Product Security team will review the information, investigate the issue, and coordinate appropriate corrective actions and disclosure where required.
