IT-Sicherheit · Branchen-Briefing

Der Cyber Resilience Act (CRA) schafft EU-weit einheitliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen. Ab 11. Dezember 2027 müssen alle Produkte die CRA-Anforderungen vollumfänglich erfüllen und mit CE-Kennzeichnung versehen sein. Hersteller sind verpflichtet, Cybersicherheit über den gesamten Produktlebenszyklus zu berücksichtigen, eine technische Dokumentation mit Software Bill of Materials (SBOM) zu erstellen und Security-Updates mindestens fünf Jahre bereitzustellen. Ab 11. September 2026 greift die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Hersteller müssen innerhalb von 24 Stunden eine Frühwarnung über die zentrale europäische CRA Single Reporting Platform einreichen, weitere Informationen innerhalb von 72 Stunden nachreichen und einen Abschlussbericht spätestens 14 Tage nach einem Sicherheitsupdate oder einen Monat nach der initialen Meldung erstellen. Verstöße gegen den CRA können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.

Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft und regelt verbindliche Sicherheitsstandards für digitale Produkte im EU-Binnenmarkt. Ab dem 11.09.2026 besteht für Hersteller und Importeure die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und zur Umsetzung eines Schwachstellenmanagemenprozesses. Für Produkte, die nach dem 11.12.2027 neu in Verkehr gebracht werden oder Bestandsprodukte mit neuen Funktionen erhalten, gelten umfassende Compliance-Anforderungen.

EU-Richtlinie NIS2 (2022/2555) definiert neue Cybersecurity-Anforderungen für Unternehmen mit mindestens 50 Mitarbeitern oder Jahresumsatz von 10 Millionen Euro in kritischen Sektoren sowie für Organisationen mit systemischer wirtschaftlicher Bedeutung. Die Regulierung legt verbindliche Meldepflichten für Cybersecurity-Vorfälle fest: Early Warning innerhalb von 24 Stunden nach Entdeckung, formale Benachrichtigung mit Schweregrad-Einschätzung innerhalb von 72 Stunden und umfassender Abschlussbericht mit Root-Cause-Analyse innerhalb eines Monats an nationale CSIRTs. Artikel 20 verankert Board-Level-Verantwortung und persönliche Haftung der Geschäftsführung für Nicht-Compliance, während Artikel 21 technische, operative und organisatorische Maßnahmen verpflichtend macht, einschließlich Supply-Chain-Security und Multi-Faktor-Authentifizierung. Durchsetzungsbefugnisse ermöglichen regelmäßige Audits und Vor-Ort-Inspektionen mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen. Artikel 21.2.d verpflichtet regulierte Unternehmen zur Kontrolle ihrer Lieferanten und Dienstleister auf Compliance, wodurch Cybersecurity-Standards über die gesamte Lieferkette verbindlich werden.

CalPrivacy hat zwei Durchsetzungsmaßnahmen gegen Datenmakler eingeleitet: LocateSmarter zahlte 110.490 Dollar für fehlende Registrierung und CCPA-Verstöße, insbesondere für übermäßige Verifikationsanforderungen beim Opt-out; Cybba zahlte 52.400 Dollar für Versäumnisse bei der Delete-Act-Registrierung. Beide Fälle signalisieren verstärkte kalifornische Durchsetzung von Datenmakler-Meldepflichten und Compliance mit dem Delete Act. Das DOJ erreichte eine 400-Millionen-Dollar-Einigung mit TikTok und ByteDance wegen COPPA-Verstößen (illegale Datenerfassung von Kindern unter 13 Jahren), während Brasilien ByteDance 30 Millionen Dollar wegen unrechtmäßiger Verarbeitung von Minderjährigendaten unter der LGPD auferlegte. Die EU AI Act wurde am 2. August vollständig anwendbar mit neuen Transparenzpflichten für KI-Anbieter.