Das Europäische Parlament hat den Cyber Resilience Act (CRA) verabschiedet. Die neuen Standards sollen sicherstellen, dass Produkte mit digitalen Funktionen in der EU vor Cyber-Bedrohungen geschützt sind und ausreichende Informationen über ihre Sicherheitseigenschaften bieten.
„Der Cyber Resilience Act wird die Cyber-Sicherheit vernetzter Produkte stärken, Sicherheitslücken in Hardware und Software gleichermaßen angehen und die EU zu einem sichereren und widerstandsfähigeren Kontinent machen“, erklärte der führende Abgeordnete Nicola Danti. Dazu habe das Parlament Lieferketten geschützt und sicherheitskritische Produkte wie Router und Antivirenprogramme prioritär behandelt. Ebenfalls wichtig waren Danti nach die Kooperation mit Unternehmen sowie die bessere Einbindung von Interessengruppen.
Kategorisierung und Überprüfung
Die digitalen Produkte werden aufgrund ihrer Bedeutung und des Risikos für die Cyber-Sicherheit in verschiedene Listen eingestuft. Diese werden von der Europäischen Kommission vorgeschlagen und aktualisiert. Produkte mit höherem Risiko unterliegen einer strengeren Prüfung durch eine benannte Stelle, während andere einen leichteren Bewertungsprozess durchlaufen, der häufig intern von den Herstellern verwaltet wird.
Als Ergebnis der Verhandlungen im Parlament werden auch folgende Produkte von den neuen Regeln erfasst: Passwortmanager, biometrische Lesegeräte, Smart-Home-Assistenten und private Sicherheitskameras. Produkte sollten auch Sicherheits-Updates automatisch und separat von Funktions-Updates installieren.
Einbindung von ENISA
Die Abgeordneten drängten weiter darauf, dass die Europäische Agentur für Cyber-Sicherheit (ENISA) enger eingebunden wird. Wenn Sicherheitslücken gefunden und Vorfälle gemeldet werden, soll die Agentur von dem betroffenen Mitgliedstaat benachrichtigt werden. Bei Identifizierung eines systemischen Risikos informiert ENISA dann andere Mitgliedstaaten.
Die Verordnung wurde mit 517 Stimmen dafür, 12 dagegen und 78 Enthaltungen angenommen. Sie wurde zwar bereits im Dezember 2023 mit dem Rat vereinbart, muss aber noch formell von diesem verabschiedet werden, um in Kraft zu treten.
 verabschiedet. Die neuen Standards sollen digitale Produktesicherer machen.){kind=link}