exida bringt CRA-Tool für EU-Cybersicherheitskonformität auf den Markt

Neues Tool zielt auf produktbezogene Risikobewertungen

exida, ein auf die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme beziehungsweise IACS-Umgebungen spezialisiertes Unternehmen, hat am 3. November die Veröffentlichung von exSILentia CRA angekündigt. Die Software ist direkt in die exSILentia-Plattform integriert und richtet sich an Hersteller, die sich auf die Einhaltung des Cyber Resilience Act der Europäischen Union, kurz CRA, vorbereiten.

Nach Angaben des Unternehmens soll das Tool Bewertungen beschleunigen, den Zeitaufwand für die Konformität verringern und regulatorische Risiken mindern. Der Anwendungsbeginn des CRA ist für Dezember 2027 vorgesehen. exida zufolge müssen Hersteller vernetzter Geräte möglicherweise zwischen mehreren Dutzend und mehreren Tausend bestehenden und neuen Produkten bewerten.

TARA steht im Mittelpunkt des Konformitätsprozesses

Nach dem CRA müssen Hersteller die Konformität jedes betroffenen Produkts in einem produktbezogenen Prozess nachweisen. Ein zentrales Element ist dabei die Threat Analysis & Risk Assessment, kurz TARA, also die Cybersicherheitsrisikobewertung des Produkts.

Bei dieser Bewertung wird ermittelt, welche Anforderungen für das Produkt gelten, entweder aus der ausgewählten harmonisierten Norm oder aus den in Anhang I der Verordnung aufgeführten grundlegenden Cybersicherheitsanforderungen. Außerdem wird dokumentiert, wie diese Anforderungen umgesetzt werden und warum die ausgewählten Maßnahmen zur Risikominderung die ermittelten Risiken angesichts der vorgesehenen Nutzung und Betriebsumgebung angemessen adressieren.

Laut exida muss die Risikobewertung für jedes Produkt im Geltungsbereich der Verordnung durchgeführt werden, unabhängig von der Produktkategorie. Der Prozess kann bereits für ein einzelnes Produkt erheblichen Aufwand verursachen. Bei großen Produktportfolios kann der manuelle Arbeitsaufwand noch weiter steigen.

Vorinstallierte Risikomatrix und Anforderungen

exSILentia CRA überführt die Risikoanalyse in einen strukturierten technischen Arbeitsablauf. Die Software enthält eine vorinstallierte, auf Industriestandards basierende Risikomatrix sowie vordefinierte Maßnahmen zur Risikominderung und aus harmonisierten Normen abgeleitete Anforderungen. Nach Angaben von exida müssen Produktentwicklungsteams dadurch nicht jede Bewertung von Grund auf neu beginnen.

Das Tool berücksichtigt außerdem das Fachwissen der Cybersicherheitszertifizierungsprüfer von exida. Die Experten des Unternehmens führen regelmäßig Bewertungen im Zusammenhang mit der Norm ISA/IEC 62443 durch. Iwan van Beurden, Chief Technology Officer von exida, sagte, Produktentwickler sollten sich auf die Entwicklung von Produkten konzentrieren, statt zu Experten für Cybersicherheitsrecht werden zu müssen. exida zufolge setzt das Unternehmen die Software auch intern für die Risikobewertungen von Herstellern ein.

exSILentia-Softwarepaket sofort verfügbar

exSILentia CRA ist ab sofort als Bestandteil des exSILentia-Softwarepakets verfügbar. Weitere Informationen zur Nutzung des Tools für die produktbezogene Konformität mit dem CRA stellt exida unter www.exida.com/cra-tool bereit.

Das Unternehmen betont außerdem, dass die alleinige Nutzung der Software keine Konformität mit dem Cyber Resilience Act der Europäischen Union garantiert. Das Tool stellt weder eine Zertifizierung noch eine Konformitätsbewertung dar und hat keinen Einfluss auf das Ergebnis einer separaten Zertifizierung oder Konformitätsbewertung. exida bemüht sich derzeit zudem um eine Akkreditierung als notifizierte Stelle für den EU-CRA.

Für Hersteller kann das neue Tool hilfreich sein, um die mit der Verordnung verbundenen Bewertungs- und Dokumentationsarbeiten zu organisieren. Die Verantwortung für die Konformität und alle separaten Bewertungsverfahren bleibt jedoch bei den Herstellern.