Cyber Resilience Act (CRA): Was Unternehmen beachten sollten

Software ist längst ein fester Bestandteil vieler Produkte. Gleichzeitig steigen die Anforderungen an die Cybersicherheit. Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals einen einheitlichen Rechtsrahmen. Er verpflichtet Hersteller dazu, Cyber-Security über den gesamten Lebenszyklus eines Produkts sicherzustellen. Doch was bedeutet das konkret für Unternehmen? Und wie lassen sich die neuen Anforderungen effizient umsetzen?

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Ziel ist es, Sicherheitslücken bereits während der Entwicklung zu minimieren und sicherzustellen, dass Produkte auch nach Markteinführung kontinuierlich geschützt werden.

Betroffen sind nahezu alle Produkte, die Software enthalten oder mit einem Netzwerk verbunden werden können. Industrieanlagen, IoT-Geräte, Maschinensteuerungen oder intelligente Haushaltsgeräte sind nur einige Beispiele.

Hersteller müssen künftig unter anderem nachweisen, dass Sicherheitsrisiken systematisch bewertet wurden, bekannte Schwachstellen behoben und während eines definierten Zeitraums Sicherheitsupdates bereitgestellt werden. Zudem steigen die Anforderungen an die technische Dokumentation sowie an die Nachvollziehbarkeit von Entwicklungen und Anpassungen.

Die Verordnung ist bereits in Kraft, wobei die meisten Anforderungen ab Dezember 2027 gelten. Unternehmen sollten ihre Prozesse rechtzeitig vorbereiten.

Welche Auswirkungen hat der CRA?

Für viele Unternehmen bedeutet der CRA einen grundlegenden Wandel. Cyber-Security wird nicht länger als reine Aufgabe der IT betrachtet, sondern als integraler Bestandteil des gesamten Produktlebenszyklus.

Besonders im Maschinen- und Anlagenbau stellt dies Hersteller vor neue Herausforderungen. Spezialmaschinen sind häufig 13 Jahre oder länger im Einsatz. Während dieser Zeit müssen bekannte Schwachstellen kontinuierlich bewertet und beseitigt werden. Gleichzeitig wächst mit jeder neuen Softwareversion die Anzahl potenzieller Sicherheitsupdates und damit auch der Aufwand für deren Verwaltung. Hinzu kommt: Werden bestehende Maschinen wesentlich verändert – beispielsweise durch neue Softwarefunktionen oder eine nachträgliche Vernetzung – können auch Bestandsanlagen in den Anwendungsbereich des CRA fallen.

In der Praxis ergeben sich unter anderem folgende Herausforderungen: Lange Produktlebenszyklen bei gleichzeitig steigenden regulatorischen Anforderungen, die klare Trennung zwischen Maschinenfunktion, Konnektivität und Security sowie ein hoher Aufwand für Tests, Freigaben und Nachweise bei Änderungen.

Konventionelles Patching, also das Einspielen von Software-Updates zum Schließen von Sicherheitslücken, stößt unter diesen Rahmenbedingungen schnell an seine Grenzen. Daher gewinnt eine Security-Architektur an Bedeutung, die Sicherheitsfunktionen möglichst von der eigentlichen Maschinenfunktion trennt. Ein solcher Ansatz kann den Umgang mit Schwachstellen vereinfachen und den Aufwand für sicherheitsrelevante Änderungen reduzieren. 

Wie können Unternehmen auf die Anforderungen reagieren?

Die CRA-Umsetzung erfordert sowohl organisatorische als auch technische Anpassungen. Im Kern geht es um einen durchgängigen Prozess, der Cybersicherheit von der ersten Produktidee bis zum Ende des Lebenszyklus begleitet. Unerlässlich sind unter anderem klar definierte Verantwortlichkeiten, dokumentierte Prozesse sowie ein nutzerfreundliches Änderungs- und Schwachstellenmanagement. 

Viele Unternehmen sehen den CRA nicht als bürokratische Hürde, sondern vielmehr als Chance. Als Anlass, bestehende Entwicklungsprozesse zu überprüfen und stärker zu digitalisieren. Informationen zentral verfügbar zu machen, Medienbrüche zu vermeiden und eine konsistente Datenbasis für Entwicklung, Qualitätssicherung und Compliance zu schaffen, sind erstrebenswerte und erreichbare Ziele.

Warum spielt Product Lifecycle Management eine wichtige Rolle?

Product Lifecycle Management (PLM) bietet den organisatorischen Rahmen, um alle Informationen über den gesamten Lebenszyklus hinweg zu verwalten. Anforderungen, Konstruktionsdaten, Stücklisten etc. werden miteinander verknüpft und bleiben stets nachvollziehbar.

Gerade im CRA-Kontext entsteht so ein entscheidender Vorteil: Sicherheitsanforderungen können direkt mit den betroffenen Komponenten verbunden werden. Änderungen lassen sich dokumentieren, während Freigaben und Prüfprozesse transparent umgesetzt werden und nachvollziehbar bleiben. 

Wichtig: Ein modernes PLM-System unterstützt Unternehmen nicht dabei, die gesetzlichen Anforderungen automatisch zu erfüllen. Allerdings schafft es die Struktur, um die geforderten Nachweise effizient zu erbringen.

Wie kann die 3DEXPERIENCE-Plattform hier unterstützen?

Ein Beispiel für eine moderne PLM-Plattform ist die 3DEXPERIENCE-Plattform. Sie verbindet unterschiedliche Disziplinen wie Konstruktion, Simulation, Softwareentwicklung, Projektmanagement und Dokumentation auf einer gemeinsamen Datenbasis. Dadurch können Informationen aus verschiedenen Fachbereichen miteinander verknüpft werden. Anforderungen lassen sich über den gesamten Entwicklungsprozess hinweg verfolgen, Änderungen werden versioniert dokumentiert und Freigabeprozesse transparent abgebildet. Gleichzeitig entsteht eine durchgängige Rückverfolgbarkeit zwischen Anforderungen, Entwicklungsständen, Tests und den jeweiligen Produktversionen.

Diese Transparenz unterstützt Unternehmen insbesondere dann, wenn sie gegenüber Kunden oder Behörden nachweisen müssen, wie Sicherheitsanforderungen umgesetzt wurden. Die Plattform ersetzt dabei zwar weder Sicherheitskonzepte noch organisatorische Prozesse. Aber: Sie erleichtert deren strukturierte Umsetzung und Dokumentation erheblich.

Fazit

Der CRA macht Cyber-Security zu einer dauerhaften Aufgabe über den gesamten Produktlebenszyklus hinweg. Unternehmen müssen Sicherheitsanforderungen frühzeitig berücksichtigen, Änderungen dokumentieren und in der Lage sein, ihre Maßnahmen jederzeit nachvollziehbar zu belegen.

Dafür reicht es in der Regel nicht aus, „Insellösungen“ zu verwalten. Gefragt sind integrierte Prozesse und eine zentrale Datenbasis. Product Lifecycle Management – insbesondere Plattformen wie 3DEXPERIENCE – bietet hierfür die notwendige Struktur.