Glossarbegriff
Cyber Resilience Act (CRA)
Auch: EU Cyber Resilience Act, Verordnung (EU) 2024/2847, CRA
EU-Verordnung 2024/2847 mit horizontalen Cybersicherheits-Anforderungen für Produkte mit digitalen Elementen. In Kraft seit 10. Dezember 2024, Hauptpflichten ab 11. Dezember 2027 anwendbar. Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab 11. September 2026.
Der Cyber Resilience Act gilt für nahezu alle vernetzten Hardware- und Softwareprodukte, die auf den EU-Markt kommen: IoT-Geräte, Industriesteuerungen, smarte Haushaltsgeräte, Betriebssysteme, Apps, Dev-Tools. Open-Source-Software ist nur in kommerziellem Kontext betroffen, freie Communities sind ausgenommen.
Hersteller-Pflichten (Anhang I): Security-by-Design, Security-by-Default, kostenfreie Sicherheitsupdates über die erwartete Produkt-Lebensdauer (mindestens 5 Jahre Default), Schwachstellen-Handling-Prozess, SBOM, Konformitätsbewertung mit CE-Kennzeichnung. Wichtige Produkte (Klasse I/II) brauchen zusätzliche Konformitätsverfahren, kritische Produkte (Anhang IV) sogar Drittprüfung.
In der Praxis
Meldepflichten gegenüber ENISA und nationalen CSIRTs: aktiv ausgenutzte Schwachstellen binnen 24 Stunden (Frühwarnung), 72 Stunden (Vorfallmeldung), 14 Tagen (Abschlussbericht). Bußgelder bis 15 Mio. EUR oder 2,5 Prozent des weltweiten Konzernumsatzes. CRA-Konformität wird Voraussetzung für jeden EU-Markteintritt ab Dezember 2027.
Verwandte Begriffe
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
Supply Chain Risk
Risiken aus der Software- und Hardware-Lieferkette: kompromittierte Open-Source-Pakete, Build-Pipeline-Angriffe, Updates mit Backdoors, Sub-Lieferanten ohne Audit-Trail. Pflicht-Adressierung in NIS2 Art. 21 Buchstabe d und DORA Art. 28 (Sub-Outsourcing).
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
CASB
Sicherheits-Layer zwischen Nutzern und SaaS, der Sichtbarkeit (Shadow-IT-Discovery), Datenschutz (DLP), Compliance und Threat-Protection über SaaS-Apps hinweg liefert. Vier Funktionen nach Gartner: Visibility, Compliance, Data Security, Threat Protection.
CNAPP
Plattform-Kategorie nach Gartner, die CSPM, CWPP, CIEM, KSPM, DSPM und IaC-Scanning in einem Tool zusammenführt. Antwort auf Tool-Fragmentierung in Cloud-Security-Stacks.
Confidence Score
Eine quantifizierte Einschätzung, wie belastbar die Aussage eines Entscheidungs-Memos ist, getrennt vom Readiness Score. Niedriger Confidence Score bedeutet: das Memo ist zwar formell vollständig, aber Evidenz oder Stakeholder-Eingabe sind dünn.
Confidential Computing
Hardware-basierte Isolation, die Daten während der Verarbeitung verschlüsselt hält (data-in-use). Ergänzt Verschlüsselung at-rest und in-transit. Technologien: Intel SGX, Intel TDX, AMD SEV-SNP, ARM CCA, Nvidia H100 Confidential Computing.