IT-Compliance als Wettbewerbsvorteil

Wurde die Compliance bisher nur für die Betreiber von Geräten reguliert, werden in Kürze Gesetze für die sichere Software- und Produktentwicklung verbindlich. Die Folgen betreffen auch Vorstände und Geschäftsführer von Herstellern, weil sie laut Cyber Resilience Act (CRA) der EU bei IT-Schwachstellen künftig persönlich haften.

Die neue Compliance-Gesetzgebung wird massive Auswirkungen auf die internen Strukturen in Unternehmen haben – wer frühzeitig in Produkt-Cyber-Resilience investiert, hat einen Wettbewerbsvorteil. In Kürze wird, nach einigen Novellierungen, mit dem CRA der EU eine Regulierung in Kraft treten, die neben der Hardware auch die komplette Soft- und Firmware aller netzwerkfähigen Geräte und Anlagen umfasst.

Jedes Gerät – vom Router bis zum industriellen Steuerungssystem – bringt eigene Software-Bestandteile mit. Jeder dieser Bestandteile kann unerkannte Cyberschwachstellen enthalten. Künftig müssen Hersteller offenlegen, welche Komponenten verbaut sind und welche Soft- und Firmware mitgeliefert wird. Der CRA geht sogar noch einen Schritt weiter und fordert eine Analyse der verbauten Komponenten auf bekannte und unbekannte Schwachstellen, die von Hackern ausgenutzt werden können und selbst nach Jahren im Einsatz als Zero-Day-Exploits auftreten.

Hohe Geldbußen drohen

Elementar für die Product Cybersecurity Compliance ist eine Software Bill of Materials (SBOM). Mithilfe einer Firmware-Analyseplattform kann beispielsweise bis ins Detail und automatisch entschlüsselt werden, welche Soft- und Firmware-Komponenten in einem Gerät verbaut sind und welches Gefährdungspotenzial davon ausgehen kann.

Dabei wird sowohl eigene Software als auch Software von Drittanbietern identifiziert, die bisher ungeprüft in einem Endprodukt eingesetzt werden konnte. Durch standardisierte, maschinenlesbare SBOM-Austauschformate wie CycloneDX, SPDX und andere können alle wesentlichen Software-Komponenten in Produkten, Systemen und ganzen Anlagen schnell inventarisiert werden. Dies ermöglicht dann z.B. automatisierte ganzheitliche Compliance-Bewertungen und unterstützt externe Audits oder Zertifizierungen.

Bei Schwachstellen, die Auswirkungen auf die IT-Sicherheit und Integrität eines Unternehmens haben, drohen hohe Geldbußen nicht nur für das Unternehmen, sondern auch für die Führungskräfte. Rechtzeitige Vorkehrungen verschaffen Unternehmen und ihrem Management mehr Sicherheit vor Cyberangriffen, aber zusätzlich auch einen Wettbewerbsvorteil durch mehr Sicherheit in der Software-Lieferkette. Unabhängige Zertifizierungen schaffen Vertrauen, eine Unterstützung auf dem Weg zur Zertifizierung bieten Tools, die ein automatisiertes Self-Assessment ermöglichen und die Einhaltung gängiger Normen wie die des CRA konsequent überwachen.

Automatisierte Compliance-Wizards erlauben eine Konformitätsselbsterklärung, die ohne großen manuellen Aufwand durch eine Analyse der Soft- und Firmware den Ist-Stand der Cybersicherheit und möglicher Compliance-Maßnahmen durchleuchtet. Das Ergebnis der Analyse ist ein Report, der für eine Zertifizierung genutzt werden kann. Der Compliance-Wizard von Onekey beispielsweise deckt bereits heute nicht nur den kommenden Cyber Re­­silience Act der EU ab, sondern auch viele weitere Anforderungen wie etwa IEC 62443-4-2, ETSI EN 303 645 oder UNECE R1 55.