Aktuelles, Branche - geschrieben von dp am Dienstag, Mai 7, 2024 18:13 - noch keine Kommentare
Cyber Resilience Act: Verstöße können Unternehmen CE-Kennzeichnung kosten
Hersteller, Importeure und Händler sollten umgehend cyber-sicherheitskonforme Prozesse schaffen und automatisieren
[datensicherheit.de, 07.05.2024] Im März 2024 hatte das Europäische Parlament den „Cyber Resilience Act“ (CRA) verabschiedet. Die finale Version wird demnach in den nächsten Wochen veröffentlicht und gibt den Startschuss für die Übergangsfrist: „Unternehmen sollten zeitnah prüfen, inwieweit die Anforderungen des CRA die eigenen Produkte betreffen und wie schnellstmöglich eine umfassende Konformität sichergestellt werden kann“, rät Jan Wendenburg, Geschäftsführer von ONEKEY.
Compliance Wizard soll umfassende Cyber-Sicherheitsbewertung von Produkten ermöglichen
Dazu seien Anpassungen in den eigenen Produktions- und Entwicklungsprozessen notwendig, welche auf Basis der neuesten Iterationen nun besser greifbar seien. ONEKEY hat nach eigenen Angaben eine Lösung zum Patent angemeldet, welche Herstellern, Importeuren und Verkäufern von Technologieprodukten mit digitalen Elementen wesentliche Schritte erleichtern soll: Den „Compliance Wizard“ ermögliche eine umfassende Cyber-Sicherheitsbewertung von Produkten. Durch die Kombination von automatischer Schwachstellenerkennung, CVE-Priorisierung und Filterung mit einem ganzheitlichen, interaktiven Compliance-Fragebogen würden Aufwand und Kosten von Cyber-Sicherheits-Compliance-Prozessen deutlich reduziert.
Die von der EU angedrohten Sanktionen bei Sicherheitslücken seien empfindlich – und umfassten neben Bußgeldern für Unternehmen auch Geldstrafen für Geschäftsführer. Wendenburg warnt: „Herstellern, Händlern und Importeuren kann auch die CE-Kennzeichnung entzogen werden: Das bedeutet einen Verkaufsstopp auf dem gesamten EU-Markt.“
Vielen Unternehmen fehlen noch Informationen über grundlegenden Anforderungen aus dem Cyber Resilience Act
Mit dem CRA werde das Prinzip „Security by Design“ Gesetz: Künftig reiche es nicht mehr aus, die Konformität eines Produkts mit digitalen Elementen erst zum Zeitpunkt des Inverkehrbringens sicherzustellen. Vielmehr sei eine kontinuierliche Risikobewertung erforderlich – und die sofortige Behebung von Sicherheitslücken. Beim Zukauf von Komponenten von Drittanbietern und Open-Source-Komponenten müssten Hersteller eine „Due Diligence“ durchführen, um das Endprodukt durch den Einbau dieser Bestandteile nicht zu gefährden.
Bislang fehlten den Unternehmen jedoch viele Informationen über die grundlegenden Anforderungen des CRA sowie einheitliche Standards. Auch das solle sich nun ändern: „Die EU-Kommission hat bereits horizontale Standards für zentrale Tätigkeiten und Sicherheitsanforderungen sowie vertikale Standards für wichtige und kritische Produkte – insgesamt 42 – angekündigt. Damit – und mit den entsprechenden Tools wie unserem ,Compliance Wizard’ – können Unternehmen schneller analysieren, was umgesetzt werden muss, um Compliance mit dem CRA zu erreichen“, erläutert Wendenburg. Unternehmen könnten – um auf der sicheren Seite zu sein – zudem ein „CRA Readiness Assessment“ durch das ONEKEY-Expertenteam buchen.
SBOM: Dokumentationspflicht zur Stärkung der Cyber-Sicherheit
Im Rahmen der Dokumentationspflicht müssten die Hersteller künftig auch die Software-Stückliste (Software Bill of Materials / SBOM) führen und generell die gesamte Lieferkette hinsichtlich der Sicherheit von Produkten und Komponenten analysieren. Automatisierung sei hierbei der Schlüssel für produktgerechte Prozesse, „die sich nicht negativ auf die Handelspreise auswirken“. Bei diesem digitalen Dokument handele es sich um eine Gesamtliste aller in einem Produkt verwendeten Softwarekomponenten – auch der versteckten. „Hersteller, Importeure und Händler sollten wissen, dass diese SBOM immer aktuell sein muss. Jeder Patch oder jedes Update erfordert daher eine idealerweise automatisierte Aktualisierung der SBOM“, rät Wendenburg.
Mit dem „Compliance Wizard“ werde eine SBOM automatisch erstellt und könne jederzeit ebenso automatisiert gepflegt werden. Zudem sei vielen Unternehmen noch nicht klar, was alles unter den Begriff „Produkte mit digitalen Elementen“ falle: „Mobile Geräte wie Laptops, Smartwatches, Smart-Home-Devices wie Thermostate oder Intelligente Stromzähler und vor allem der immens große und besonders risikobehaftete Bereich der industriellen Steuerungen bis hin zum Kraftfahrzeug fallen darunter: Also alles, was mit einem IT-Netzwerk oder dem Internet verbunden ist“, fasst Wendenburg abschließend zusammen.
Weitere Informationen zum Thema:
Bundesamt für Sicherheit in der Informationstechnik, 04.08.2023
SBOM-Anforderungen: TR-03183-2 stärkt Sicherheit in der Software-Lieferkette
ONEKEY
COMPLIANCE WIZARD™
Aktuelles, Experten, Veranstaltungen - Jul 27, 2024 0:58 - noch keine Kommentare
ULD-Sommerakademie 2024 in Kiel: Digitale Datenräume und Archive im Fokus
weitere Beiträge in Experten
- NIS-2-Umsetzungsfrist bis 18. Oktober 2024: eco warnt vor unzureichender Vorbereitung deutscher Unternehmen
- KI-Verordnung tritt am 1. August 2024 in Kraft
- Cyber-Resilienz – potenzielle Bedrohungen proaktiv erkennen und IT-Notfallplan vorbereiten
- CrowdStrike: Ein IT-Update und es wackelt die ganze Welt
- IT-Sicherheitsupdate sorgt für Chaos: eco kommentiert weltweite technische Probleme vom 19. Juli 2024
Aktuelles, Branche, Veranstaltungen - Jul 27, 2024 0:46 - noch keine Kommentare
Schutz persönlicher Daten: SOPHOS lädt zu Web-Seminar mit der Ethischen Hackerin Rachel Tobac ein
weitere Beiträge in Branche
- Job-Betrug in Sozialen Medien: Tipps zum Erkennen auf den ersten Blick
- Robuste Sicherheitspraktiken notwendig: CrowdStrike-Vorfall hat IT-Schwachstellen enthüllt
- Warnung von Kaspersky: Botnets bereits ab 99 US-Dollar im Darknet erhältlich
- Melissa Bischoping benennt Lehren aus dem CrowdStrike-Ausfall
- Crowdstrike-Vorfall als Weckruf für ganzheitliche digitale Sicherheit
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren