Cyber Resilience Act: Was Hersteller jetzt müssen und warum die Zulieferer zum Risiko werden

Wen betrifft der Cyber Resilience Act?

Die Verordnung gilt für Produkte mit digitalen Elementen, also für vernetzte Hardware und Software. Die EU-Kommission nennt Babymonitore, Smartwatches, Apps und Computerprogramme als Beispiele. Auch separat verkaufte Software- und Hardwarekomponenten fallen darunter. Es gibt keine Untergrenze: Auch kleine und mittlere Unternehmen sind verpflichtet, wenn sie solche Produkte in Verkehr bringen.

Die Hauptlast tragen die Hersteller. Importeure müssen sicherstellen, dass eingeführte Produkte aus Nicht-EU-Staaten die Vorgaben erfüllen, Händler dürfen nur konforme Ware verkaufen. Ausnahmen gibt es laut der Beratungsgesellschaft Ebner Stolz für bestimmte, bereits streng regulierte Bereiche wie die Medizintechnik und für nicht kommerziell vertriebene Open-Source-Software.

Wer ein Produkt unter eigenem Namen verkauft, sollte also nicht davon ausgehen, dass nur der Softwarelieferant gemeint ist. Maschinenbauer, Gerätehersteller und Anbieter von Steuerungen sind genauso angesprochen wie reine Softwarehäuser.

Warum Zulieferer zum größten Risiko werden

Moderne Produkte bestehen nur zum Teil aus eigener Software. Betriebssysteme, Open-Source-Bibliotheken, Kommunikationsmodule, Container und Firmware kommen von anderen. Eine eingebaute Bibliothek kann weitere Komponenten enthalten, die der Hersteller gar nicht kennt. Eine einzige Schwachstelle kann sich so über mehrere Lieferstufen auf viele Produkte auswirken.

Die Verordnung verlangt deshalb Sorgfalt beim Einbau fremder Komponenten. Jan Wendenburg, Chef des Sicherheitsanbieters ONEKEY, sagt es so: Wer ein Produkt unter eigenem Namen auf den Markt bringe, müsse die Risiken des gesamten Produkts beherrschen. Lieferantenbescheinigungen ersetzten die eigene Bewertung nicht. Das gilt auch für freie Open-Source-Bausteine, besonders für ältere, die niemand mehr pflegt.

Was ist eine SBOM?

SBOM steht für Software Bill of Materials, zu Deutsch Software-Stückliste. Sie führt alle in einem Produkt enthaltenen Softwarekomponenten auf, auch die von Dritten und aus Open Source. Sie ist so etwas wie die Zutatenliste eines Geräts. Wird eine neue Sicherheitslücke bekannt, zeigt sie, welche Produkte und Versionen betroffen sein können.

Ohne eine solche Liste lässt sich die 24-Stunden-Frist kaum einhalten: Wer erst suchen muss, in welchen Geräten eine Bibliothek steckt, verliert die Zeit, die er für die Meldung braucht. Wendenburg warnt besonders vor Lieferanten aus Asien, bei denen der Cyber Resilience Act noch kaum bekannt sei. Das ist die Einschätzung eines Anbieters, der solche Prüfungen verkauft, deckt sich im Kern aber mit der Rechtslage: Der Hersteller des Endprodukts muss die Konformität nachweisen.

Was bedeutet der Cyber Resilience Act für Händler und Anwender?

Betroffen sind nicht allein Technikanbieter. Importeure müssen sicherstellen, dass Ware aus Nicht-EU-Staaten die Vorgaben erfüllt, Händler dürfen ab Dezember 2027 nur konforme Produkte anbieten. Wer ein Gerät unter eigener Marke vertreibt, sollte seine Rolle genau klären. Die Handelskammer Hamburg rät kleinen und mittleren Betrieben, zuerst genau das festzustellen: Fällt mein Produkt darunter, und bin ich Hersteller, Importeur oder Händler?

Auch Firmen, die Technik nur einkaufen, sind mittelbar betroffen. Die bayerischen IHKs nennen in ihrer Webinarreihe die sichere Beschaffung von Hard- und Software, Anforderungen an Lieferanten sowie Patch- und Schwachstellenmanagement als neue Aufgaben für IT und Einkauf. In Ausschreibungen lässt sich künftig nach CE-Kennzeichnung, Stückliste und Dauer der Sicherheitsupdates fragen.

Für Verbraucher verspricht die Kommission, dass sie schneller über Lücken informiert werden, und nennt als Beispiel vernetzte Türschlösser. Das CE-Zeichen soll zeigen, dass ein Produkt die Anforderungen erfüllt. Unsichere Standardpasswörter und fehlende Updates, zwei häufige Schwachstellen, sollen damit verschwinden. Ob das gelingt, hängt an der Marktüberwachung, die erst aufgebaut wird.

Cyber Resilience Act oder NIS2: Was ist der Unterschied?

Die beiden werden oft verwechselt. Der Cyber Resilience Act ist ein Produktgesetz: Er regelt die Sicherheit dessen, was verkauft wird. NIS2 richtet sich an den Betrieb von Unternehmen in wichtigen Sektoren und deren eigene IT-Sicherheit. Ein Unternehmen kann unter beide fallen. Die IHK-Organisation bietet dazu einen Umsetzungsrahmen und Webinare an. Auch Betriebe, die nur einkaufen, profitieren: Mit dem CE-Zeichen und Stücklisten können sie Lieferanten künftig gezielter nach Sicherheit fragen.