Ein Türschloss, das per App aufgeht. Eine Kamera im Flur. Ein Saugroboter, der die Wohnung kartiert. In einem durchschnittlichen Haushalt hängen inzwischen ein Dutzend Geräte im Netz, die alle Software ausführen und potenzielle Sicherheitslücken haben können.
Die ehrliche Frage ist: Würdest du es überhaupt mitbekommen, wenn eines dieser Geräte gehackt wird? Bisher lag das beim Hersteller. Manche veröffentlichten einen Hinweis, andere schoben still ein Update nach, wieder andere taten jahrelang nichts.
Nach Angaben von inside-digital.de greift seit dem 11. September der erste praktische Teil des Cyber Resilience Act (CRA). Wird eine Schwachstelle nachweislich ausgenutzt oder trifft ein schwerer Sicherheitsvorfall ein Produkt, muss der Hersteller binnen 24 Stunden eine Frühwarnung abgeben. Nach 72 Stunden folgt eine ausführlichere Meldung.
Der CRA legt verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen fest - von reiner Software bis zu vernetzter Hardware wie Türschlössern, Kameras oder Steckdosen. Gefordert sind sichere Voreinstellungen statt Standardpasswörtern, Verschlüsselung, Zugriffskontrolle und Updates über einen festgelegten Supportzeitraum.
Die Meldung von Sicherheitslücken läuft über eine zentrale EU-Plattform. Adressat ist das CSIRT am Hauptsitz des Herstellers, also das nationale Reaktionsteam für IT-Sicherheitsvorfälle. Gleichzeitig erhält die EU-Agentur ENISA die Informationen.
Bei Verstößen gegen die wesentlichen Sicherheitsanforderungen drohen bis zu 15 Millionen Euro Bußgeld oder 2,5 Prozent des weltweiten Vorjahresumsatzes. Die EU-Kommission schätzt die Umsetzungskosten branchenweit auf rund 29 Milliarden Euro.
Ab Dezember 2027 müssen alle betroffenen Produkte die CE-Kennzeichnung tragen und das vorgesehene Konformitätsverfahren durchlaufen haben. Ausgenommen sind Medizinprodukte, Fahrzeuge, Luft- und Raumfahrtprodukte sowie militärische Güter und nichtkommerzielle Open-Source-Software.
