EU-Verordnung zu Cyber Resilienz mit hohen Strafen

B2B Cyber Security ShortNews

Beitrag teilen

Mit dem Cyber Resilience Act (CRA) der EU-Kommission soll der digitale Flickenteppich rund um Geräte und Anlagen mit Netzwerkanschluss geschlossen werden. Besonderen Schutz erfordern dabei industrielle Netzwerke und kritische Infrastrukturen. Die EU-Verordnung zu Cyber-Resilienz kann Millionenstrafen für Hersteller, Distributoren und Importeure bedeuten.

Laut der Europäischen Union gibt es aktuell alle elf Sekunden einen Ransomware-Angriff; allein in den letzten Wochen traf es unter anderem einen führenden Hersteller von Kindernahrung und einen globalen Tier1-Automobilzulieferer mit Hauptsitz in Deutschland, wobei letzterer Opfer eines massiven Ransomware-Angriffs wurde. Ein solcher Angriff führte beim Hersteller Prophete im Januar 2023 sogar zur Insolvenz.

Bewusste Sicherheitslücken werden bestraft

Um Hersteller, Distributoren und Importeure in die Pflicht zu nehmen, drohen empfindliche Strafen, wenn Sicherheitslücken bei Geräten auffallen und nicht korrekt gemeldet und geschlossen werden. „Der Druck auf die Industrie – Hersteller, Distributoren und Importeure – wächst immens. Die EU wird diese Verordnung kompromisslos umsetzen, auch wenn noch einige Arbeitsschritte zu erledigen sind, etwa bei den lokalen Landesbehörden“, sagt Jan Wendenburg, Geschäftsführer des Cybersecurity Unternehmens ONEKEY.

Bußgelder: 15 Mill. Euro oder 2,5 Prozent des Jahresumsatzes

Die Strafzahlungen für betroffene Hersteller und Distributoren sind daher hoch: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes im abgelaufenen Geschäftsjahr – die größere Zahl zählt. „Damit ist unmissverständlich klar: Bei Nichtumsetzung der Vorgaben drohen den Herstellern empfindliche Strafen“, so Wendenburg weiter.

Hersteller, Distributoren und Importeure sind verpflichtet, ENISA – die Agentur der Europäischen Union für Cybersicherheit – innerhalb von 24 Stunden zu benachrichtigen, wenn eine Sicherheitslücke in einem ihrer Produkte ausgenutzt wird. Schon die Überschreitung der Meldefristen wird sanktioniert.

Hersteller müssen auf Cyber-Resilience Act reagieren

Der Vorschlag der Kommission sieht eine Geltung der neuen Vorgaben bereits 24 Monate nach Inkrafttreten der Verordnung vor. Einzelne Elemente wie bspw. die Meldepflicht bei Sicherheitsvorfällen sollen bereits nach 12 Monaten gelten. „Der Zeithorizont ist knapp, wenn man bedenkt, dass Bestellungen für IT-Produkte bei OEM-Herstellern bereits dieses Jahr für die kommenden 12-18 Monate getätigt werden. Daher muss die zeitliche Situation schon jetzt bedacht und gelöst werden, bevor am Ende ein Produkt aufgrund von Mängeln nicht auf den Markt gebracht werden kann oder sich die Markteinführung verzögert“, erklärt Jan Wendenburg von ONEKEY.

Das Unternehmen betreibt eine Firmware-Analyse-Plattform zum Auffinden von Sicherheitslücken in smarten und vernetzten Geräten – von Staubsaugerrobotern bis zu Industriesteuerungen mit Millionenwert. Mit einem Cyber Resilience Readiness-Assessment bietet ONEKEY die Möglichkeit, dass Hersteller, Distributoren und Importeure bereits jetzt ihre Produkte auf essentielle Anforderungen des Cyber Resilience Acts prüfen und darüber hinaus Sicherheitslücken untersuchen und auch den von der EU-Kommission geforderten SBOM (Software Bill of Materials) mit Inhalten füllen können.

Mehr bei ONEKEY.com

 


Über ONEKEY

ONEKEY (vormals IoT Inspector) ist die führende europäische Plattform für automatische Security & Compliance Analysen für Geräte in der Industrie (IIoT), Produktion (OT) und dem Internet der Dinge (IoT). Über automatisch erstellte „Digital Twins“ und „Software Bill of Materials (SBOM)“ der Geräte analysiert ONEKEY eigenständig Firmware auf kritische Sicherheitslücken und Compliance Verstöße, ganz ohne Sourcecode, Geräte- oder Netzwerkzugriff.


 

Passende Artikel zum Thema

Forensik realer Cyberangriffe lüftet Taktiken der Angreifer

Detaillierte Untersuchung der vom Sophos Incident Response Team übernommen Fälle macht deutlich, dass Angreifer immer kürzer im infiltrierten Netzwerk verweilen, ➡ Weiterlesen

Ransomware-Gruppe 8base bedroht KMUs

8base ist eine der aktivsten Ransomware-Gruppen. Sie fokussierte sich in diesem Sommer auf kleine und mittlere Unternehmen. Durch niedrige Sicherheitsbudgets ➡ Weiterlesen

ALPHV: Casinos und Hotels in Las Vegas per Hack lahmgelegt

MGM Resorts, ein US-amerikanischer Betreiber von Hotels und Spielcasinos, wurde vor kurzem von einem Ransomware-Angriff heimgesucht, der mehrere Systeme an ➡ Weiterlesen

Cyberbedrohung: Rhysida-Ransomware

Taktiken und Techniken der Rhysida-Ransomware ähneln denen der berüchtigten Ransomware-Bande Vice Society. Experten vermuten, dass Vice Society eine eigene Variante ➡ Weiterlesen

Gastgewerbe: Angriffe auf Buchungsplattform

Cyberkriminelle stahlen die Kreditkartendaten, persönliche Daten und Passwörter der Kunden der Gaststätten-Buchungsplattform IRM-NG. Bitdefender hat aktuelle Forschungsergebnisse einer derzeit laufenden ➡ Weiterlesen

In Post-Quanten-Kryptografie investieren

Schon jetzt setzt Google in seiner aktuellsten Version des Chrome Browsers auf ein quantensicheres Verschlüsselungsverfahren (Post-Quanten-Kryptografie). Unternehmen sollten das ebenfalls ➡ Weiterlesen

Veraltete Systeme: Cyberangriffe auf Gesundheitseinrichtungen

Weltweit waren 78 Prozent der Gesundheitseinrichtungen im letzten Jahr von Cybervorfällen betroffen. Jeder vierte Cyberangriff auf Gesundheitseinrichtungen in Deutschland hat ➡ Weiterlesen

Report: Weltweiter Anstieg der Cyber-Angriffe

Stärkster Anstieg von Cyber-Angriffen in den letzten zwei Jahren. Lockbit3 ist der Spitzenreiter unter den Ransomwares in der ersten Jahreshälfte ➡ Weiterlesen