Ratgeber - Entwicklung
Was verlangt der CRA für die sichere Entwicklung von Software?
Ein Anspruch, viele zulässige Verfahren
Die Meldepflicht setzt ein, wenn die Sicherheit einmal versagt hat. Artikel 13 verlangt das Davor: dass der Hersteller von Anfang an auf Sicherheit entwickelt und den Prozess belegen kann.
Die Kurzfassung
Artikel 13 verlangt Sicherheit im Prozess, nicht nur im Produkt
Artikel 13 beschreibt die Pflichten des Herstellers jenseits der Meldung: Er entwickelt das Produkt so, dass es ohne bekannte verwertbare Schwachstellen ausgeliefert wird, er beachtet bei integrierten Komponenten die Sorgfaltspflicht, und er behandelt Schwachstellen über den gesamten Unterstützungszeitraum. Die Verordnung nennt damit das Ziel, nicht das Verfahren: Ob ein Betrieb mit Code-Reviews, automatisierten Tests oder einem zertifizierten Managementsystem arbeitet, ist ihm überlassen, solange der Nachweis gelingt.
GrundlageArt. 13 CRA
Die Übersicht
Die drei Pflichten des Artikels 13 im Einzelnen
| Pflicht | Was verlangt ist | Was sie in der Praxis bedeutet |
|---|---|---|
| Sicher entwickeln | Das Produkt wird über den Lebenszyklus mit Blick auf Cybersicherheit entwickelt | Sicherheitsanforderungen stehen neben den funktionalen, nicht dahinter |
| Komponenten mit Sorgfalt auswählen | Integrierte Komponenten werden identifiziert und überwacht | Eine SBOM führen und Abhängigkeiten bei Schwachstellen prüfen |
| Schwachstellen behandeln | Behandlung über den gesamten Unterstützungszeitraum, ohne Verschweigen | Ein Prozess, der Funde bewertet, korrigiert und die Nutzer informiert |
Die dritte Zeile ist die Brücke zur Meldepflicht: Wer Schwachstellen behandelt, stößt auf Fälle, in denen die Behandlung ausgenutzter Schwachstellen gleichzeitig meldepflichtig ist. Der Prozess für die Behandlung und der Prozess für die Meldung gehören deshalb zusammen, nicht in zwei Abteilungen.
Sicherheit ist eine Entwicklungsaufgabe mit Nachweispflicht, keine Abteilung.
Der Grund
Die Entwicklungsumgebung ist selbst Angriffsziel
Warum die Verordnung sie ausdrücklich nennt
Ein Angriff auf eine Entwicklungsumgebung muss kein einzelnes Produkt treffen: Er kann Schadcode in den Buildprozess einschleusen und damit in jede künftige Auslieferung. Die Verordnung verlangt deshalb Maßnahmen zum Schutz der Umgebung, in der das Produkt entwickelt wird. Wer bezahlt, ist der Hersteller, und wer profitiert, ist jeder Nutzer jedes ausgelieferten Produkts, weil die Lieferkette geschlossen bleibt.
Die Praxis
Der Nachweis gelingt über dokumentierte Verfahren, nicht über Zertifikate allein
Wie ein kleiner Betrieb Artikel 13 belegt
Ein kleiner Betrieb muss kein zertifiziertes Managementsystem betreiben. Der Nachweis verlangt dokumentierte Verfahren: die Sicherheitsanforderungen des Produkts, die Regeln für externe Komponenten, die Behandlung von Funden und die Maßnahmen zum Schutz der Umgebung. Alles, was schriftlich steht und gelebt wird, ist ein Beleg. Ein Zertifikat ersetzt diese Dokumentation nicht, es bündelt sie nur unter einem anerkannten Siegel.
Vertiefung