Cyber Resilience Act - Compliance Risk oder Consumer Respect Act?

Mit dem CRA hat die EU-Kommission eine Verordnung auf den Weg gebracht, die die IT-Sicherheit von Produkten reguliert, mit der Motivation, die Interessen der Verbraucher zu stärken und die EU insgesamt widerstandsfähiger gegen Cyberangriffe zu machen. Dieses Gesetz legt Anforderungen für "Produkte mit digitalen Elementen" fest. Von Herstellern wird die Erstellung einer Cybersicherheitsrisikobewertung und die Bereitstellung von Sicherheitsupdates verlangt. Bestimmte alltägliche Softwareprodukte, wie Betriebssysteme, Browser und Password-Manager, werden als "wichtige Produkte" eingestuft. Diese werden auf die Einhaltung von grundlegenden IT-Sicherheitsanforderungen überprüft. Auch Open-Source-Software und ihre Communities werden von diesem Gesetz betroffen sein. Es wird gefordert, dass diese eine Cybersicherheitsstrategie vorlegen, welche unter anderem den Umgang mit Schwachstellen regelt. Ein Verstoß gegen die Bestimmungen kann mit bis zu 15 Millionen Euro oder 2,5 % des Weltweiten Jahresumsatzes geahndet werden. Des Weiteren wird die ENISA eine Meldeplattform anbieten, über welche Hersteller Schwachstellen melden. In Hinblick auf die Praktikabilität und Effektivität stellen sich eine Reihe von Fragen, auch sind noch nicht alle Details bekannt, z.B. die Spezifikation von SBOMs. *TL; DR: Neues EU-Gesetz, welches Hersteller verpflichtet (IT-)sicherere Produkte zu entwickeln.*