Cyber Resilience Act (CRA)
Mit dem Cyber Resilience Act (CRA) führt die Europäische Union neue Anforderungen für die Cybersicherheit von Produkten mit digitalen Elementen ein. Ziel der Verordnung ist es, Sicherheitsstandards für Geräte und Software über deren gesamten Lebenszyklus zu verbessern. Der Cyber Resilience Act verpflichtet Hersteller dazu, Cybersicherheit bereits bei der Entwicklung von Produkten zu berücksichtigen und während des gesamten Produktlebenszyklus zu gewährleisten. Dazu gehören unter anderem:
- die Bewertung möglicher Sicherheitsrisiken
- die Bereitstellung von Sicherheitsupdates
- die Information von Kunden über bekannte Schwachstellen
- Unterstützung bei Sicherheitsvorfällen
Wir, die Bluhm Weber Group, verfolgen die Entwicklung des Cyber Resilience Act sehr genau und arbeiten bereits an der Bewertung unserer Produkte sowie an den notwendigen organisatorischen und technischen Maßnahmen. Dabei können wir auf bestehende Strukturen und Prozesse aufbauen, die wir aus anderen regulatorischen Anforderungen – beispielsweise der Maschinenrichtlinie – bereits etabliert haben. Dazu gehören unter anderem:
- strukturierte Produktdokumentation
- Risikobewertungen
- klare Entwicklungs- und Freigabeprozesse
Eine wichtige Grundlage bildet zudem unsere bestehende TISAX®-Zertifizierung, mit der wir nachweisen, dass unsere Entwicklungs- und IT-Umgebungen hohen Anforderungen an Informationssicherheit entsprechen. Diese etablierten Sicherheitsstrukturen unterstützen uns dabei, die zukünftigen Anforderungen des Cyber Resilience Act systematisch umzusetzen.
Sicherheit gemeinsam stärken – Unser PSIRT
Haben Sie eine Schwachstelle oder einen Sicherheitsvorfall in einem unserer Produkte entdeckt? Unser Product Security Incident Response Team (PSIRT) nimmt Ihren Hinweis gerne entgegen. Wir nehmen jede Meldung ernst, behandeln sie vertraulich und umgehend, um die Sicherheit aller Nutzer schnell und transparent zu gewährleisten. So läuft der Meldungsprozess ab:
- Füllen Sie unser Formular zur Meldung der Schwachstelle oder des Sicherheitsvorfalls aus
- Sie erhalten zeitnah eine Eingangsbestätigung
- Unser Team prüft den Hinweis, reproduziert ihn in einer isolierten Testumgebung und bewertet die Auswirkung nach CVSS v3.1.
- Sie werden über den Bearbeitungsstand informiert und erhalten Hinweise und Updates zur Behebung des Problems
Gemeinsame Basis: Unser Code of Conduct
Vertraulicher Austausch und respektvoller Umgang sind die Grundlage für erfolgreiche Sicherheitsarbeit. Deshalb haben wir klare Vereinbarungen für beide Seiten:
Unser Versprechen an Sie- Schnelle Eingangsbestätigung und Rückmeldung zu Ihrem Fall
- Strikte Vertraulichkeit Ihrer Identität und aller Meldungsinhalte
- Informationsaustausch ausschließlich mit autorisierten Beteiligten
- Uns ausreichend Zeit zur Untersuchung und Behebung zu geben, bevor Details öffentlich gemacht werden
- Bei Sicherheitsprüfungen keine produktiv genutzten Systeme beeinträchtigen oder stören, keine Daten verändern oder löschen und keine Denial of Service Angriffe durchführen.
- Kontaktmöglichkeiten angeben
Standards & Compliance
Unsere Prozesse werden auf die Anforderungen des CRA ausgerichtet und orientieren sich an den Technischen Richtlinien des BSI (TR-03183 Serie). Mithilfe von Software Bills of Materials (SBOM, deutsch: Software-Stücklisten) und etablierten Überwachungstools sorgen wir für Ihren Schutz. Unser Tool prüft kontinuierlich die offiziellen Schwachstellendatenbanken auf bekannte Sicherheitslücken in den von uns eingesetzten Komponenten. Damit sorgen wir unsererseits dafür, dass wir umgehend auf das Bekanntwerden von Schwachstellen reagieren können.