6 Der EU Cyber Resilience Act (CRA) (auf Englisch) markiert einen bedeutenden Wandel in der Regulierung der Cybersicherheit auf dem europäischen Markt. Erstmals führt die Verordnung rechtsverbindliche, horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein – für Hardware wie Software und über ihren gesamten Lebenszyklus. Während sich die frühe Diskussion über den CRA vor allem auf Gerätehersteller und IoT für Verbraucher konzentrierte, reichen die Folgen weit über Endgeräte hinaus. Für Unternehmen, die große Dateninfrastrukturen entwerfen, bereitstellen oder betreiben, wirft der CRA wichtige Fragen auf: zu Secure-by-Design-Architekturen, zum langfristigen Schwachstellenmanagement und zur Rolle von Speicherplattformen für die gesamte Cyberresilienz. Dieser Artikel betrachtet den Cyber Resilience Act aus der Perspektive von Dateninfrastruktur und Speicher. Er erläutert, was die Verordnung verlangt, wie die Verantwortlichkeiten entlang der Lieferkette verteilt sind und warum die Speicherarchitektur eine grundlegende Rolle beim Erreichen der CRA-Ziele spielt. Den Cyber Resilience Act verstehen Der Cyber Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt, die auf dem EU-Markt in Verkehr gebracht werden. Dazu gehören Produkte, die direkt oder indirekt mit einem Netzwerk oder einem anderen Gerät verbunden sind – unabhängig davon, ob sie an Verbraucher oder Unternehmen verkauft werden. Die Verordnung gilt für den gesamten Produktlebenszyklus, von Design und Entwicklung über Bereitstellung und Wartung bis zum Ende der Lebensdauer. Anders als branchenspezifische Gesetze schafft der CRA eine breit geltende Basis, mit zusätzlichen Pflichten für Produkte, die als risikoreicher eingestuft sind. Die erklärten Ziele des CRA sind: Die Cybersicherheit digitaler Produkte auf dem EU-Markt zu verbessern Sicherzustellen, dass Sicherheit von Grund auf integriert und standardmäßig aktiviert ist Die Zahl ausnutzbarer Schwachstellen zu verringern Transparenz und Rechenschaftspflicht entlang der Lieferkette zu erhöhen Die Verordnung trat im Dezember 2024 in Kraft. Die Meldepflichten für Schwachstellen gelten ab September 2026; die zentralen Cybersicherheitsanforderungen an Produkte werden im Dezember 2027 durchsetzbar. Anwendungsbereich: welche Produkte und Akteure betroffen sind Der CRA gilt für „Produkte mit digitalen Elementen“ – eine bewusst weit gefasste Kategorie, die Folgendes umfasst: Software, einschließlich eigenständiger Anwendungen und eingebetteter Software Netzwerkfähige Hardware und Appliances Komponenten, die in größere Systeme integriert werden Für Unternehmensumgebungen ist dieser Anwendungsbereich besonders relevant. Infrastruktursoftware, Speicherplattformen, Datenmanagementsysteme und cloudnahe Produkte können alle darunter fallen, wenn sie auf dem EU-Markt in Verkehr gebracht werden. Die Verordnung legt außerdem Verantwortlichkeiten für verschiedene Wirtschaftsakteure fest, darunter: Hersteller, die das Produkt entwerfen und entwickeln Einführer, die Produkte von außerhalb der EU auf den EU-Markt bringen Händler, die Produkte innerhalb der EU bereitstellen Hersteller tragen die umfassendsten Pflichten, doch auch Einführer und Händler müssen die Konformität prüfen und handeln, wenn Risiken erkannt werden. Zentrale Anforderungen des CRA Im Kern verlangt der CRA, dass Produkte grundlegende Cybersicherheitsanforderungen erfüllen, bevor sie auf dem EU-Markt in Verkehr gebracht werden dürfen. Diese Anforderungen sind bewusst ergebnisorientiert statt präskriptiv formuliert: Sie lassen Spielraum bei der Umsetzung und setzen zugleich klare Erwartungen. Zu den wichtigsten Anforderungen gehören: Security by Design und Security by Default Produkte müssen so entworfen, entwickelt und hergestellt werden, dass ein den Risiken angemessenes Maß an Cybersicherheit gewährleistet ist. Sichere Konfigurationen müssen standardmäßig aktiviert sein, statt darauf zu setzen, dass Kunden Systeme nach der Bereitstellung härten. Für Infrastruktur- und Speicherplattformen unterstreicht dies die Bedeutung gehärteter Standardeinstellungen, minimaler Angriffsflächen und architekturbasierter Sicherheitskontrollen, die nicht von manueller Konfiguration abhängen. Schwachstellenmanagement über den gesamten Lebenszyklus Hersteller müssen Prozesse einführen, um Schwachstellen während der gesamten unterstützten Lebensdauer des Produkts zu erkennen, zu dokumentieren und zu beheben. Dazu gehört: Der Umgang mit intern oder von externen Forschern gemeldeten Schwachstellen Die Bereitstellung von Sicherheitsupdates ohne unangemessene Verzögerung Eine klare Kommunikation mit Nutzern über Risiken und Abhilfemaßnahmen Ab September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb festgelegter Fristen den zuständigen Behörden gemeldet werden. Schutz vor unbefugtem Zugriff und Kompromittierung von Daten Produkte müssen so gestaltet sein, dass sie unbefugten Zugriff, Datenmanipulation und Datenverlust verhindern. Diese Anforderung ist besonders relevant für Systeme, die große Mengen sensibler oder regulierter Daten speichern, verarbeiten oder verwalten. Verschlüsselung, Zugriffskontrolle und Integritätsmechanismen gehören alle zu dieser Erwartung, doch der CRA legt den Schwerpunkt auf Wirksamkeit statt auf das Abhaken von Checklisten. Transparenz und Konformitätsbewertung Hersteller müssen dokumentieren, wie ihre Produkte die CRA-Anforderungen erfüllen, und vor dem Inverkehrbringen Konformitätsbewertungen durchführen. Je nach Produkteinstufung kann dies eine Selbstbewertung oder eine Bewertung durch Dritte umfassen. Die Konformität wird durch die CE-Kennzeichnung nachgewiesen – womit die Cybersicherheit an andere etablierte EU-Rahmenwerke für Produktsicherheit angeglichen wird. Warum Dateninfrastruktur für die CRA-Compliance wichtig ist Obwohl der CRA auf Produktebene ansetzt, lassen sich seine Ziele nicht allein durch isolierte Kontrollen erreichen. Die Dateninfrastruktur spielt eine zentrale Rolle dabei, ob Systeme die Erwartungen des CRA dauerhaft realistisch erfüllen können. Moderne Angriffe zielen zunehmend auf Daten statt nur auf die Verfügbarkeit. Ransomware, Datenexfiltration und Integritätsangriffe sollen das Vertrauen in Daten untergraben, die Wiederherstellung stören und die Folgen von Sicherheitsverletzungen über den ersten Zugriff hinaus ausweiten. Aus Sicht des CRA hat dies mehrere Konsequenzen. Resilienz geht über Perimetersicherheit hinaus Der CRA geht davon aus, dass Schwachstellen auftreten und Sicherheitsverletzungen geschehen können. Resilienz – die Fähigkeit, Vorfällen standzuhalten, sie einzudämmen und sich davon zu erholen – wird damit zu einem zentralen Compliance-Thema. Für Speicherplattformen bedeutet das, Systeme so zu gestalten, dass sie Daten auch dann schützen, wenn Anmeldedaten kompromittiert, Dienste missbraucht werden oder Angreifer teilweise Zugriff auf Infrastrukturkomponenten erlangen. Sichere Standardeinstellungen müssen auch für den Datenschutz gelten Die Anforderung „Secure by Default“ lässt sich kaum erfüllen, wenn zentrale Datenschutzmechanismen optional oder nachträglich aufgesetzt sind. Funktionen wie Unveränderlichkeit, starke Zugriffskontrollen und verschlüsselte Speicherung müssen fester Bestandteil der Plattform sein und dürfen keine erweiterten Konfigurationsoptionen bleiben. Langfristiger Support und Aktualisierbarkeit sind unerlässlich Der CRA verknüpft Sicherheitspflichten ausdrücklich mit der erwarteten Lebensdauer des Produkts. Für Infrastruktursoftware, die viele Jahre im Einsatz sein kann, unterstreicht dies die Bedeutung von: Klaren Support-Richtlinien Planbaren Prozessen für Sicherheitsupdates Architekturen, die sich weiterentwickeln können, ohne den Betrieb zu stören Speicherarchitektur als Fundament der Cyberresilienz Im Kontext des CRA ist Speicher nicht einfach eine passive Komponente. Er ist eine grundlegende Ebene, die bestimmt, ob übergeordnete Sicherheits- und Wiederherstellungsziele erreichbar sind. Mehrere Architekturprinzipien sind dabei besonders relevant. Unveränderlichkeit und Integritätsschutz Unveränderlichkeit spielt eine Schlüsselrolle beim Schutz vor Datenzerstörung und -beschädigung. Auf der Speicherebene umgesetzt, verhindert sie, dass Daten – selbst durch privilegierte Konten – verändert oder gelöscht werden, und zwar für die Dauer festgelegter Aufbewahrungsrichtlinien. Diese Fähigkeit unterstützt direkt die CRA-Ziele in Bezug auf Datenintegrität, Wiederherstellung und Widerstandsfähigkeit gegen Ransomware-artige Angriffe. Strikte Zugriffsisolation und Least Privilege Speichersysteme sind besonders lohnende Ziele. Architekturen, die strikte Funktionstrennung, rollenbasierten Zugriff und Zero-Trust-Prinzipien durchsetzen, verringern die Folgen kompromittierter Anmeldedaten und begrenzen laterale Bewegungen. Aus Sicht des CRA lässt sich so nachweisen, dass angemessene Maßnahmen gegen unbefugten Zugriff und Datenmissbrauch getroffen wurden. Verteilte und codierte Datenlayouts Verteilte Speicherarchitekturen mit Erasure Coding oder ähnlichen Verfahren bieten eine zusätzliche Schutzebene. Daten werden fragmentiert und auf mehrere Knoten verteilt, sodass sie ohne vollständigen Systemkontext deutlich schwerer zu rekonstruieren oder zu manipulieren sind. Das entspricht den Erwartungen des CRA, unbefugte Offenlegung zu verhindern und Verfügbarkeit sowie Integrität auch unter widrigen Bedingungen zu erhalten. Standortübergreifende Resilienz und Wiederherstellung Geografische Replikation und standortübergreifende Architekturen unterstützen sowohl Verfügbarkeits- als auch Wiederherstellungsziele. Bei einem Sicherheitsvorfall oder Infrastrukturausfall können Unternehmen den Zugriff auf vertrauenswürdige Datenkopien wiederherstellen, ohne auf kompromittierte Umgebungen angewiesen zu sein. Diese Fähigkeit unterstützt die Business Continuity und stärkt zugleich die Einhaltung der CRA-Anforderungen an die Behandlung von Vorfällen und die Wiederherstellung. Der CRA und das Modell der geteilten Verantwortung Eine der praktischen Herausforderungen des Cyber Resilience Act ist sein Zusammenspiel mit komplexen Lieferketten. Kaum ein Produkt existiert isoliert; die meisten Unternehmenssysteme bestehen aus zahlreichen Softwarekomponenten, Plattformen und Diensten. Der CRA hebt die geteilte Verantwortung nicht auf, klärt aber die Rechenschaftspflicht. Hersteller bleiben für die Sicherheit des Produkts verantwortlich, das sie in Verkehr bringen – einschließlich der Art und Weise, wie es Komponenten von Drittanbietern integriert. Für Unternehmen, die auf Speicher- und Infrastrukturplattformen aufbauen, rückt dies folgende Punkte erneut in den Fokus: Die Auswahl von Komponenten mit klaren Sicherheits-Roadmaps und langfristigem Support Das Verständnis, wie die zugrunde liegenden Plattformen mit Schwachstellen und Updates umgehen Die Dokumentation von Architekturentscheidungen, die die Compliance unterstützen Speicherplattformen, die Sicherheit und Resilienz im Kern ihres Designs verankern, vereinfachen diesen Prozess, weil sie die Abhängigkeit von externen kompensierenden Kontrollen verringern. Von der Compliance zur operativen Resilienz Der CRA ist zwar ein regulatorisches Instrument, doch seine Ziele sind operativer Natur. Die Verordnung spiegelt die breite Erkenntnis wider, dass Versäumnisse in der Cybersicherheit systemische Folgen haben und grundlegende Resilienz von Anfang an in digitale Produkte eingebaut sein muss. Für datenintensive Unternehmen bringt dies die regulatorische Compliance mit langjährigen operativen Prioritäten in Einklang: Schutz der Datenintegrität und -verfügbarkeit Zuverlässige Wiederherstellung nach Vorfällen Begrenzung der Folgen unvermeidlicher Schwachstellen Statt den CRA als Dokumentationsübung zu behandeln, können Unternehmen ihn als Rahmen nutzen, um zu überprüfen, wie gut ihre Infrastruktur diese Ziele in der Praxis unterstützt. Fazit Der Cyber Resilience Act setzt eine neue Basis für Cybersicherheit in der EU – mit Folgen, die tief in die Dateninfrastruktur und das Speicherdesign hineinreichen. Durch die Betonung von Security by Design, Schwachstellenmanagement über den Lebenszyklus und Resilienz bei Angriffen verlagert der CRA den Fokus von reaktiven Kontrollen hin zu einer tragfähigen Architektur. Für Unternehmen, die große Datenplattformen betreiben, ist Speicher ein entscheidender Wegbereiter der CRA-Ziele. Architekturen mit integrierter Unveränderlichkeit, Zugriffsisolation, verteiltem Schutz und Wiederherstellungsfähigkeiten bieten eine stärkere Grundlage für regulatorische Compliance und langfristige operative Resilienz. Mit der näher rückenden Durchsetzung des CRA wird es entscheidend sein, Infrastrukturentscheidungen an diesen Prinzipien auszurichten – nicht nur, um regulatorische Anforderungen zu erfüllen, sondern um das Vertrauen in Daten in einem zunehmend feindseligen Bedrohungsumfeld zu erhalten.
