Durch die neue EU-Verordnung zu Cyber-Resilienz besteht laut IoT-Security Experte ONEKEY ein hohes finanzielles Risiko für Hersteller, Distributoren und Importeure.
Mit dem Gesetz über Cyberresilienz vom 15 September 2022,auch bekannt als Cyber Resilience Act (CRA), der EU-Kommission soll der digitale Flickenteppich rund um Geräte und Anlagen mit Netzwerkanschluss – vom Drucker über Router bis zu smarten Haushaltshelfern und industriellen Steuerungssystemen – geschlossen werden. Besonderen Schutz erfordern dabei industrielle Netzwerke und kritische Infrastrukturen.
Laut der Europäischen Union gibt es aktuell alle elf Sekunden einen Ransomware-Angriff; allein in den letzten Wochen traf es unter anderem einen führenden Hersteller von Kindernahrung und einen globalen Tier1-Automobilzulieferer mit Hauptsitz in Deutschland, wobei letzterer Opfer eines massiven Ransomware-Angriffs wurde.
Ein solcher Angriff führte beim Fahrradhersteller Prophete im Januar 2023 sogar zur Insolvenz. Um Hersteller, Distributoren und Importeure in die Pflicht zu nehmen, drohen empfindliche Strafen, wenn Sicherheitslücken bei Geräten auffallen und nicht korrekt gemeldet und geschlossen werden. „Der Druck auf die Industrie – Hersteller, Distributoren und Importeure – wächst immens. Die EU wird diese Verordnung kompromisslos umsetzen, auch wenn noch einige Arbeitsschritte zu erledigen sind, etwa bei den lokalen Landesbehörden“, sagt Jan Wendenburg, Geschäftsführer des Cybersecurity Unternehmens ONEKEY.
Bußgelder in Höhe von 15 Millionen Euro – oder 2,5 Prozent des Jahresumsatzes
Die Strafzahlungen für betroffene Hersteller und Distributoren sind daher hoch: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes im abgelaufenen Geschäftsjahr – die größere Zahl zählt. „Damit ist unmissverständlich klar: Bei Nichtumsetzung der Vorgaben drohen den Herstellern empfindliche Strafen“, so Wendenburg weiter.
Hersteller, Distributoren und Importeure sind verpflichtet, ENISA – die Agentur der Europäischen Union für Cybersicherheit – innerhalb von 24 Stunden zu benachrichtigen, wenn eine Sicherheitslücke in einem ihrer Produkte ausgenutzt wird. Schon die Überschreitung der Meldefristen wird sanktioniert.
Hersteller müssen jetzt auf Cyber-Resilience-Readiness reagieren
Der Vorschlag der Kommission sieht eine Geltung der neuen Vorgaben bereits 24 Monate nach Inkrafttreten der Verordnung vor. Einzelne Elemente wie bspw. die Meldepflicht bei Sicherheitsvorfällen sollen bereits nach 12 Monaten gelten. „Der Zeithorizont ist knapp, wenn man bedenkt, dass Bestellungen für IT-Produkte bei OEM-Herstellern bereits dieses Jahr für die kommenden 12-18 Monate getätigt werden. Daher muss die zeitliche Situation schon jetzt bedacht und gelöst werden, bevor am Ende ein Produkt aufgrund von Mängeln nicht auf den Markt gebracht werden kann oder sich die Markteinführung verzögert“, erklärt Jan Wendenburg von ONEKEY. Das Unternehmen betreibt eine Firmware-Analyse-Plattform zum Auffinden von Sicherheitslücken in smarten und vernetzten Geräten – von Staubsaugerrobotern bis zu Industriesteuerungen mit Millionenwert. Mit einem Cyber Resilience Readiness-Assessment bietet ONEKEY die Möglichkeit, dass Hersteller, Distributoren und Importeure bereits jetzt ihre Produkte auf essentielle Anforderungen des Cyber Resilience Acts prüfen und darüber hinaus Sicherheitslücken untersuchen und auch den von der EU-Kommission geforderten SBOM (Software Bill of Materials) mit Inhalten füllen können.
Mit dem Cyber Resilience Act (CRA) der EU-Kommission soll der digitale Flickenteppich rund um Geräte und Anlagen mit Netzwerkanschluss – vom Drucker über Router bis zu smarten Haushaltshelfern und industriellen Steuerungssystemen – geschlossen werden. Besonderen Schutz erfordern dabei industrielle Netzwerke und kritische Infrastrukturen. Laut der Europäischen Union gibt es aktuell alle elf Sekunden einen Ransomware-Angriff; allein in den letzten Wochen traf es unter anderem einen führenden Hersteller von Kindernahrung und einen globalen Tier1-Automobilzulieferer mit Hauptsitz in Deutschland, wobei letzterer Opfer eines massiven Ransomware-Angriffs wurde.
Ein solcher Angriff führte beim Hersteller Prophete im Januar 2023 sogar zur Insolvenz. Um Hersteller, Distributoren und Importeure in die Pflicht zu nehmen, drohen empfindliche Strafen, wenn Sicherheitslücken bei Geräten auffallen und nicht korrekt gemeldet und geschlossen werden. „Der Druck auf die Industrie – Hersteller, Distributoren und Importeure – wächst immens. Die EU wird diese Verordnung kompromisslos umsetzen, auch wenn noch einige Arbeitsschritte zu erledigen sind, etwa bei den lokalen Landesbehörden“, sagt Jan Wendenburg, Geschäftsführer des Cybersecurity Unternehmens ONEKEY.
Bußgelder in Höhe von 15 Millionen Euro – oder 2,5 Prozent des Jahresumsatzes
Die Strafzahlungen für betroffene Hersteller und Distributoren sind daher hoch: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes im abgelaufenen Geschäftsjahr – die größere Zahl zählt. „Damit ist unmissverständlich klar: Bei Nichtumsetzung der Vorgaben drohen den Herstellern empfindliche Strafen“, so Wendenburg weiter.
Hersteller, Distributoren und Importeure sind verpflichtet, ENISA – die Agentur der Europäischen Union für Cybersicherheit – innerhalb von 24 Stunden zu benachrichtigen, wenn eine Sicherheitslücke in einem ihrer Produkte ausgenutzt wird. Schon die Überschreitung der Meldefristen wird sanktioniert.
Hersteller müssen jetzt auf Cyber-Resilience-Readiness reagieren
Der Vorschlag der Kommission sieht eine Geltung der neuen Vorgaben bereits 24 Monate nach Inkrafttreten der Verordnung vor. Einzelne Elemente wie bspw. die Meldepflicht bei Sicherheitsvorfällen sollen bereits nach 12 Monaten gelten. „Der Zeithorizont ist knapp, wenn man bedenkt, dass Bestellungen für IT-Produkte bei OEM-Herstellern bereits dieses Jahr für die kommenden 12-18 Monate getätigt werden. Daher muss die zeitliche Situation schon jetzt bedacht und gelöst werden, bevor am Ende ein Produkt aufgrund von Mängeln nicht auf den Markt gebracht werden kann oder sich die Markteinführung verzögert“, erklärt Jan Wendenburg von ONEKEY. Das Unternehmen betreibt eine Firmware-Analyse-Plattform zum Auffinden von Sicherheitslücken in smarten und vernetzten Geräten – von Staubsaugerrobotern bis zu Industriesteuerungen mit Millionenwert. Mit einem Cyber Resilience Readiness-Assessment bietet ONEKEY die Möglichkeit, dass Hersteller, Distributoren und Importeure bereits jetzt ihre Produkte auf essentielle Anforderungen des Cyber Resilience Acts prüfen und darüber hinaus Sicherheitslücken untersuchen und auch den von der EU-Kommission geforderten SBOM (Software Bill of Materials) mit Inhalten füllen können.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Dr. Jakob Jung is Editor-in-Chief of Security Storage and Channel Germany. He has been working in IT journalism for more than 20 years. His career includes Computer Reseller News, Heise Resale, Informationweek, Techtarget (storage and data center) and ChannelBiz. He also freelances for numerous IT publications, including Computerwoche, Channelpartner, IT-Business, Storage-Insider and ZDnet. His main topics are channel, storage, security, data center, ERP and CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de