TLDR: Aikido Security hilft Ihnen, den Cyber Resilience Act einzuhalten. Wir helfen Ihnen auch, Sicherheitsrichtlinien und Compliance-Prüfungen für SOC2, ISO27001, CIS & NIS2 zu automatisieren.
Hier erklären wir die Bedeutung des Cyber Resilience Act und wie Aikido Ihnen hilft, diesen einzuhalten.
Was ist der Cyber Resilience Act und warum ist er für die Softwaresicherheit wichtig?
Der Cyber Resilience Act (CRA) ist eine im Dezember 2024 eingeführte Verordnung der Europäischen Union (EU), die grundlegende Cybersicherheits- und Compliance-Anforderungen für alle Produkte mit digitalen Elementen – einschließlich ihrer Bausteine (Hardware und Software) –, die in der EU verkauft werden, festlegt. Dies umfasst Software-as-a-Service (SaaS)-Produkte, die als Remote-Datenverarbeitungslösungen gelten. Sie betrifft alle Hersteller und Händler, die digitale Produkte in der Europäischen Union verkaufen, nicht nur in der EU ansässige Unternehmen.
Dies überträgt die Haftung für die Verhinderung von Cybersicherheitsversagen auf die Hersteller, mit erheblichen Strafen bei Nichteinhaltung, bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes. Dies bedeutet effektiv, dass Produktsicherheit zu einer Markteintrittsbarriere und einer nicht verhandelbaren Anforderung wird, um in der digitalen Lieferkette relevant zu bleiben.
Die Verordnung zielt darauf ab, den Betroffenen klare Richtlinien zu geben – aber wenn sie so klar wäre, würden Sie diese Seite nicht lesen, also lassen Sie uns sie für Sie aufschlüsseln.
Warum wurde der Cyber Resilience Act eingeführt?
Die Europäische Kommission hat den CRA eingeführt, um das niedrige Basissicherheitsniveau von Produkten auf dem Binnenmarkt zu bekämpfen. Die schnell wachsende Zahl digitaler Produkte, die häufig mit bekannten Schwachstellen und oft ohne Sicherheitsupdates auf den Markt gebracht werden, erweitert die Angriffsfläche für Verbraucher und Unternehmen. Auch wenn sie oft harmlos erscheinen mögen, kann bereits ein einziges vernetztes Gerät als Einstiegspunkt für böswillige Akteure dienen, die ein größeres Netzwerk kompromittieren wollen.
Zum Schutz der Verbraucher unterstellt der CRA kritische Produkte, darunter intelligente Türschlösser, Babyüberwachungssysteme, Alarmanlagen, vernetztes Spielzeug und tragbare Gesundheitstechnologie, einer strengeren Compliance, wodurch die Last effektiv vom Endnutzer auf den Hersteller verlagert wird. Indem der CRA standardmäßig automatische Sicherheitsupdates vorschreibt und klare Benutzeranweisungen fordert, stellt er sicher, dass Verbraucher ordnungsgemäß informiert sind und ihre Geräte in einem sicheren Zustand halten können, ohne fortgeschrittene technische Kenntnisse zu benötigen.
Ein weiteres Problem, das die EU lösen möchte, ist, wie schwierig es für Verbraucher und Unternehmen ist zu wissen, welche Produkte sicher sind, wenn sie etwas kaufen.
Der CRA stellt sicher, dass Software und vernetzte Geräte aktualisiert, sicher und dauerhaft widerstandsfähig gegenüber sich ständig weiterentwickelnden Cyberangriffen sind. Viele Produkte wurden in der Vergangenheit mit bekannten Schwachstellen ausgeliefert, was groß angelegte Lieferkettenangriffe befeuerte; der CRA zielt darauf ab, dies zu ändern.
Wann tritt der CRA in Kraft?
Für Teams, die Software entwickeln, gibt es zwei Fristen:
- Ab dem 11. September 2026 müssen Softwarehersteller die obligatorischen Meldepflichten einhalten, was bedeutet, dass Sie gesetzlich verpflichtet sind, alle aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfälle innerhalb von 24 Stunden nach Kenntnisnahme den EU-Behörden zu melden.
- Die zweite und letzte Frist ist der 11. Dezember 2027, bis zu der Ihre Produkte alle wesentlichen Sicherheitsanforderungen vollständig erfüllen müssen, einschließlich einer sicheren Standardkonfiguration, einer Konformitätserklärung und der CE-Kennzeichnung, um auf dem EU-Markt verkauft werden zu dürfen.
Die CRA-Produktklassifikationen
Der CRA definiert vier Klassifizierungsstufen für Produkte mit digitalen Elementen, basierend auf ihren inhärenten Cybersicherheitsrisiken:
- Standardklasse: Diese umfasst die Mehrheit der Produkte und ermöglicht es Herstellern, eine Selbsteinschätzung durchzuführen, um die CRA-Compliance ohne obligatorische Audits durch Dritte nachzuweisen.
- Wichtige Klasse I: Diese Kategorie umfasst Produkte mit grundlegenden Sicherheitsfunktionen, wie Betriebssysteme, Passwortmanager und Router, die eine strengere Validierung erfordern, zum Beispiel über harmonisierte Standards (die sich in Entwicklung befinden).
- Wichtige Klasse II: Diese höhere Risikokategorie umfasst operative Sicherheitskomponenten wie Firewalls, Hypervisoren und Intrusion Detection Tools und erfordert vor dem Markteintritt eine obligatorische unabhängige Prüfung durch eine benannte Stelle.
- Kritisch: Reserviert für Software und Hardware mit höchster Sicherheit, wie Smartcards, Secure Elements und Smart Meter Gateways, erfordert diese Klasse eine unabhängige Konformitätsbewertung durch Dritte über eine benannte Stelle.
Wie die CRA Compliance Entwickelnde und Sicherheitsteams beeinflusst
Wenn Sie Teil eines Engineering- oder Sicherheitsteams sind, hat dies große Auswirkungen, da es die Art und Weise verändert, wie Sie Software entwerfen, entwickeln, testen und ausliefern. Vom Schwachstellenmanagement bis zur Incident Response bedeutet Compliance, Sicherheit von Grund auf in Ihren Entwicklungslebenszyklus zu integrieren.
Wie Aikido Security die CRA-Compliance-Anforderungen vereinfacht
Die CRA listet strenge Anforderungen für Hersteller auf, vom Schwachstellen-Scanning und der SBOM-Generierung bis hin zur Resilienz gegenüber DoS-Angriffen. Aikido hilft Ihnen, diese Anforderungen mit automatisiertem Security-Scanning, Laufzeitschutz und Compliance-Reporting in einem zentralen System zu erfüllen.
Hier sehen Sie genauer, wie Aikido Ihnen hilft, spezifische Anforderungen zu erfüllen: Produkte sollten ein angemessenes Cybersicherheitsniveau basierend auf Risiken bieten. Aikido hilft, indem es Ihren Code, Ihre Cloud und Ihre Laufzeit kontinuierlich auf bekannte Risiken überwacht. Dies verschafft Ihnen einen guten Überblick über Ihre Security Posture.
Produkte sollten ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden
Hier ist Aikido unerlässlich; Aikido bietet eine Reihe von Scannern, die nach Schwachstellen suchen. Dazu gehören SAST – das Scannen Ihres Quellcodes nach Sicherheitslücken, Software-Kompositionsanalyse (SCA) – Scannen von Open-Source-Abhängigkeiten auf Schwachstellen, Scannen von virtuellen Maschinen (AWS EC2-Instanzen), DAST, Cloud Security Posture Management (CSPM) – Überprüfung von Cloud-Fehlkonfigurationen, API-Scanning, Secrets-Scan, Container-Scanning, Infrastructure-as-Code (IaC)-Scanning, Malware-Scanning und Open-Source-Lizenz-Scanning.
Bevor ein Produkt ausgeliefert wird, bietet Aikido Zen, eine Laufzeit-Selbstschutz für Anwendungen (RASP), die eine Anwendung durch eine In-App-Firewall schützt. Dies erkennt Bedrohungen, während Ihre Anwendung läuft, stoppt Angriffe wie Zero-Days in Echtzeit und blockiert kritische Injection-Angriffe automatisch. Durch die Installation von Zen müssen Sie sich keine Sorgen um neue Schwachstellen machen.
Produkte sollten die Verfügbarkeit wesentlicher Funktionen schützen, einschließlich der Widerstandsfähigkeit gegen und der Minderung von Denial-of-Service-Angriffen.
Aikido Zen kann bösartigen Traffic am Edge filtern und Ratenbegrenzung anwenden, was zur Minderung von DoS-/DDoS-Angriffen beiträgt. Es reduziert den Explosionsradius von volumetrischen oder ressourcenerschöpfenden Angriffen, bevor diese die Anwendungslogik erreichen.
Produkte sollten negative Auswirkungen auf die Verfügbarkeit von Diensten, die von anderen Geräten oder Netzwerken bereitgestellt werden, minimieren.
Aikido Zen kann sicherstellen, dass kompromittierte Dienste keinen Missbrauchstraffic nach außen verbreiten.
Produkte sollten so konzipiert, entwickelt und produziert werden, dass Angriffsflächen, einschließlich externer Schnittstellen, begrenzt werden.
Durch die Identifizierung exponierter Dienste, unsicheren Codes und anfälliger Abhängigkeiten hilft Aikido, Angriffsflächen zu reduzieren. Autonomes Penetration Testing untersucht Schnittstellen und Endpunkte dynamisch und hilft so, unerwartete Expositionen zu identifizieren.
Produkte, die so konzipiert, entwickelt und produziert werden, dass sie die Auswirkungen eines Vorfalls durch geeignete Mechanismen und Techniken zur Exploitation-Minderung reduzieren.
Durch die frühzeitige Erkennung anfälliger Bibliotheken oder unsicherer Codierungspraktiken mittels Aikido Code Quality reduziert Aikido aktiv die Ausnutzbarkeit. Unser autonomes Penetration Testing validiert, ob Mitigationen (z.B. WAF-Regeln, Sandboxing, sichere Deserialisierung) tatsächliche Exploits stoppen. Währenddessen kann DAST validieren, ob Laufzeitverteidigungen tatsächlich funktionieren, und Ihnen im Wesentlichen mitteilen, ob die Überprüfung unter Beschuss wirksam ist (oder nicht). Durch die Simulation von Exploit-Versuchen wird überprüft, dass selbst wenn eine Schwachstelle existiert, kompensierende Kontrollen den Schaden begrenzen können.
Schwachstellen können durch Sicherheitsupdates behoben werden, gegebenenfalls auch durch automatische Updates und die Benachrichtigung der Benutzer über verfügbare Updates.
Aikido überwacht kontinuierlich neue Schwachstellen in Ihren Abhängigkeiten und alarmiert Sie, um sicherzustellen, dass Updates zeitnah angewendet werden.
Hersteller sollten Schwachstellen und Komponenten, die im Produkt enthalten sind, identifizieren und dokumentieren, einschließlich der Erstellung einer Software-Stückliste (SBOM) in einem gängigen und maschinenlesbaren Format, das zumindest die Top-Level-Abhängigkeiten des Produkts abdeckt.
Sie können Aikido nutzen, um mit einem Klick eine vollständige Software-Stückliste (SBOM) in CycloneDX oder SPDX zu exportieren. Dies bietet ein vollständiges Inventar aller Pakete und ihrer Lizenzen für Audits und Transparenz.
In Bezug auf die Risiken, die Produkte mit digitalen Elementen bergen, Schwachstellen unverzüglich beheben und beseitigen, einschließlich durch die Bereitstellung von Sicherheitsupdates.
Aikido ist die beste Option, um die Behebungszeit zu verkürzen, da unsere Scans das Rauschen (False Positives) um 95 % reduzieren. Darüber hinaus kann unser Statische Anwendungssicherheitstests (SAST)-Tool die Möglichkeit der Ausnutzbarkeit ausschließen, und wenn dies nicht ausgeschlossen werden kann, werden die Warnmeldungen automatisch für Sie zur Priorisierung triagiert.
Darüber hinaus können wir eine Reihe von Problemen mit unserer KI-Autofix-Funktion automatisch mit einem Klick beheben. Wir wissen aus unserer eigenen Forschung unter Entwickelnden, AppSec Engineers und CISOs in ganz Europa und den USA, dass 79 % der Organisationen bereits KI-Autofix-Tools für Schwachstellen verwenden, und weitere 18 % daran interessiert sind, dies zu tun.
Ergebnisse unseres autonomen Penetration Testing können auch in Remediation Pipelines integriert werden, was die Validierung erleichtert, dass Fixes tatsächlich funktionieren.
Darüber hinaus können wir eine Reihe von Problemen mit unserer KI-Autofix-Funktion automatisch mit einem Klick beheben. Wir wissen aus unserer eigenen Forschung unter Entwickelnden, AppSec Engineers und CISOs in ganz Europa und den USA, dass 79 % der Organisationen bereits KI-Autofix-Tools für Schwachstellen verwenden, und weitere 18 % daran interessiert sind, dies zu tun.
Ergebnisse unserer neuen autonomen Penetration-Testing-Lösung können auch in Remediation-Pipelines integriert werden, was die Validierung erleichtert, dass Fixes tatsächlich funktionieren.
Führen Sie effektive und regelmäßige Tests und Überprüfungen der Sicherheit des Produkts mit digitalen Elementen durch.
Aikido bietet autonomes Penetration Testing, das gründlicher und effizienter ist als manuelle Alternativen, und ermöglicht es Organisationen, automatisierte Tests bedarfsgesteuert oder kontinuierlich durchzuführen. (Dies verwandelt wochenlange Pen-Tests in Bewertungen, die weniger als eine Stunde dauern). Getrennt davon automatisiert Aikido auch Sicherheitstests bei jeder Codeänderung oder jedem Build und gewährleistet so kontinuierliche Überprüfungen.
Jenseits von ISO27001, NIS2 und DORA: Was der Cyber Resilience Act hinzufügt
Viele Organisationen erfüllen bereits Frameworks wie ISO27001, NIS2 oder DORA. Diese konzentrieren sich hauptsächlich darauf, wie Ihr Unternehmen Sicherheit auf organisatorischer Ebene verwaltet (Richtlinien, Risikomanagement, Incident Response und Berichterstattung). Aikido bietet bereits Compliance-Berichte innerhalb seiner Plattform für:
- ISO 27001:2022 Compliance
- SOC2 Compliance
- OWASP Top 10 Compliance
- CIS Compliance
- NIS2 Compliance
- NIST 800-53 Compliance
- PCI Compliance
- HIPAA Compliance
- DORA Compliance
- HITRUST LVL3 Compliance
- ENS Compliance
- GDPR
Der Cyber Resilience Act (CRA) ist anders. Er führt produktspezifische Sicherheitsverpflichtungen ein, was bedeutet, dass die Verordnung direkt für die digitalen Produkte gilt, die Sie entwickeln und verkaufen. Bei Compliance geht es nicht nur darum zu beweisen, dass Sie die richtigen Prozesse etabliert haben, sondern auch darum zu beweisen, dass Ihr Produkt selbst sicher ist:
- Es muss ohne bekannte Schwachstellen ausgeliefert werden
- Es muss eine SBOM enthalten, die zumindest Top-Level-Abhängigkeiten abdeckt.
- Es muss widerstandsfähig gegen Angriffe sein (z. B. DoS/DDoS)
- Es muss automatische Sicherheitsupdates für mindestens 5 Jahre erhalten.
- Es muss regelmäßig auf ausnutzbare Schwachstellen getestet werden
Dies sind Anforderungen an das Produkt selbst, nicht nur an das Sicherheitsmanagementsystem Ihres Unternehmens.
Weitere Sicherheitstools, die Sie möglicherweise für die vollständige CRA Compliance benötigen
Während Aikido Code-, Cloud- und Laufzeitsicherheit in einem zentralen System abdeckt, berührt der Cyber Resilience Act auch Risikobewertung, funktionale und architektonische Sicherheit, Identitätsmanagement, Verschlüsselung, Datenschutz und Netzwerksicherheit. Abhängig von Ihrer Umgebung benötigen Sie möglicherweise ergänzende Tools wie IAM, Threat-Modeling-Tools, kryptografische Kontrollen oder Disaster-Recovery-Lösungen neben Aikido.
FAQ
Fazit
Der Cyber Resilience Act setzt einen neuen Standard für sichere Software in Europa. Cybersicherheit ist nicht länger ein optionales Compliance-Kontrollkästchen, sondern eine Markteintrittsbarriere. Für Engineering- und Sicherheitsteams bedeutet dies, Sicherheit von Anfang an zu konzipieren und nachzuweisen, dass Ihre Produkte die CRA-Anforderungen erfüllen.
Aikido Security macht dies einfach. Von Code über die Cloud bis zur Laufzeit bietet Aikido automatisiertes Scanning, Code-Qualität, SBOM-Generierung, Penetrationstests und Laufzeitschutz in einer Plattform. Kein Jonglieren mit mehreren Tools. Kein zusätzlicher Aufwand. Einfach schnellere Wege zur Compliance und sicherere Produkte. Möchten Sie sehen, wie Aikido Ihnen hilft, die CRA-Anforderungen zu erfüllen?
Buchen Sie eine Demo und beginnen Sie, sichere Software zu entwickeln, ohne Ihr Team zu verlangsamen.
