02 / Compliance und Zertifizierung
Die Cyberresilienz-Verordnung, für Produkte mit Code im Inneren
Wir helfen Herstellern, ihre Produkte an den grundlegenden Cybersicherheitsanforderungen zu messen, das Ausgelieferte zu testen und den Umgang mit Schwachstellen aufzubauen, den die Verordnung über den gesamten Unterstützungszeitraum erwartet.
Überblick
Was die Cyberresilienz-Verordnung von Ihnen verlangt
Die Cyberresilienz-Verordnung (Cyber Resilience Act, CRA), Verordnung (EU) 2024/2847, legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der EU auf den Markt kommen: Hard- und Software, die direkt oder indirekt mit einem Gerät oder Netz verbunden wird. Produkte, für die bereits bestimmte sektorale Regeln gelten, etwa Medizinprodukte oder Fahrzeuge, sind ausgenommen.
Die Pflichten treffen vor allem Hersteller, daneben auch Einführer und Händler. Produkte müssen die grundlegenden Cybersicherheitsanforderungen von Beginn an erfüllen, Hersteller müssen Schwachstellen während des Unterstützungszeitraums behandeln, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden und die Konformität durch technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung belegen.
Die Pflichten greifen gestaffelt über mehrere Jahre, und wir arbeiten entlang der jeweils geltenden. Black Fox ist weder benannte Stelle noch Marktüberwachungsbehörde. Für die meisten Produkte bewertet der Hersteller die Konformität selbst; bei bestimmten wichtigen und kritischen Produkten sind eine benannte Stelle oder ein Zertifizierungsschema beteiligt. Wir bereiten Sie auf beides vor.
Für wen es gedacht ist
Hersteller vernetzter Hardware, Software und Firmware, die in der EU verkauft wird, darunter IoT-Geräte, Desktop- und Mobilanwendungen und virtuelle Appliances. Außerdem Einführer und Händler, die wissen müssen, was sie von den Produkten verlangen sollten, die sie in Verkehr bringen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Anwendbarkeit und Einstufung
Wir sichten Ihr Produktportfolio und klären mit Ihnen, welche Produkte erfasst sind, welche Rolle Sie jeweils haben und ob ein Produkt voraussichtlich als wichtig oder kritisch gilt.
Gap-Analyse der grundlegenden Anforderungen
Eine Prüfung jedes Produkts gegen die grundlegenden Cybersicherheitsanforderungen, unter anderem sichere Standardkonfiguration, Schutz von Daten, Zugriffskontrolle, Verringerung der Angriffsfläche und sichere Updates.
Sicherheitstests am Produkt
Penetrationstests und Release-Sicherheitsprüfungen des ausgelieferten Produkts, einschließlich Firmware, Mobil-, Desktop- und Virtual-Appliance-Builds und der Dienste, mit denen sie sprechen.
Umgang mit Schwachstellen
Ein Prozess für Annahme, Bewertung, Behebung und Offenlegung von Schwachstellen, eine Software-Stückliste (SBOM) und ein Weg für die Meldungen, die die Verordnung verlangt.
Technische Dokumentation
Unterstützung bei der Cybersicherheitsrisikobewertung und der technischen Dokumentation, die Ihre Konformitätserklärung trägt.
Sichere Entwicklung
Praktische Änderungen daran, wie das Produkt gebaut, geprüft und freigegeben wird, damit die Pipeline die Anforderungen erfüllt und nicht ein Kraftakt kurz vor dem Start.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren, welche Produkte, Versionen und Teams betroffen sind, und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Produktaufnahme
Wir erfassen Komponenten, Schnittstellen, Abhängigkeiten und Update-Weg jedes Produkts sowie seine voraussichtliche Einstufung.
Gap-Analyse
Dokumentenprüfung, Gespräche mit der Entwicklung und ein technischer Blick auf das Produkt, am Ende ein priorisierter Bericht je Produkt.
Tests
Sicherheitstests des ausgelieferten Produkts mit Management- und technischem Bericht sowie Proofs of Concept.
Prozesse und Dokumentation
Wir arbeiten mit Ihren Teams an Schwachstellenbehandlung, SBOM, Meldewegen und technischer Dokumentation.
Übergabe und Nachbetreuung
Empfehlungen und ein Plan je Produkt, danach auf Wunsch Nachtests neuer Releases, während die Pflichten greifen.
Was Sie erhalten
- Übersicht über erfasste Produkte und ihre Einstufung
- Gap-Analyse gegen die grundlegenden Cybersicherheitsanforderungen
- Bericht zum Penetrationstest oder zur Release-Sicherheitsprüfung
- Verfahren für Schwachstellenbehandlung und Offenlegung
- Zuarbeit für Risikobewertung und technische Dokumentation
- Priorisierter Maßnahmenplan je Produkt
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Sind Sie eine benannte Stelle?
Nein. Benannte Stellen werden von den Mitgliedstaaten für Konformitätsbewertungen durch Dritte benannt. Wir bereiten Produkt und Dokumentation vor, testen und helfen bei der Reaktion auf Feststellungen, gleich welcher Bewertungsweg gilt.
Gilt sie auch für Open-Source-Software?
Freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird, fällt grundsätzlich nicht unter die Hauptpflichten, und für Verwalter quelloffener Software gibt es ein leichteres Regime. Wenn Sie ein Produkt mit Open-Source-Komponenten verkaufen, liegen diese Komponenten als Hersteller in Ihrer Verantwortung.
Ab wann gelten die Pflichten?
Gestaffelt. Die Meldepflichten gelten vor den übrigen Anforderungen. Prüfen Sie die Termine anhand der Verordnung und der Leitlinien der Kommission. Wir planen so, dass zuerst fertig ist, was zuerst gilt.
Belegt ein Penetrationstest die Konformität?
Nein. Tests sind ein Nachweis für einzelne Anforderungen, die Konformität beruht aber auf Risikobewertung, Konzeption, Schwachstellenbehandlung und Dokumentation zusammen. Ein Test zeigt, wo das Produkt heute steht.
Verwandte Leistungen
- Beratung und ReaktionDevSecOps und sichere EntwicklungDevSecOps von Black Fox Security: sichere Entwicklung, Bedrohungsmodellierung, Code-Review, Sicherheit in CI/CD, Abhängigkeits- und Secret-Scans, Schulung.
- Managed SecuritySchwachstellenmanagementRegelmäßige Schwachstellenprüfungen von Black Fox Security: Scans, Triage, Priorisierung nach Ausnutzbarkeit und Exposition, Nachverfolgung und Trendberichte.
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
Beginnen Sie mit Ihrem nächsten Release
Sagen Sie uns, was Sie bauen und wie es zum Kunden kommt. Wir zeigen Ihnen, wo die grundlegenden Anforderungen und Ihr Produkt auseinandergehen.