Premio Produktsicherheit & Cyberresilienz

Der Cyber ​​Resilience Act (CRA) ist eine Verordnung der Europäischen Union, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt, die auf dem EU-Markt in Verkehr gebracht werden. Er soll die Produktsicherheit über den gesamten Lebenszyklus hinweg verbessern, einschließlich Design, Entwicklung, Produktion, Umgang mit Sicherheitslücken, Sicherheitsupdates und Kundendokumentation.

Industrielle Edge-Computer werden zunehmend mit Betriebstechnologienetzwerken, KI-Workloads, Fernverwaltungssystemen und verteilter Infrastruktur vernetzt. Die CRA unterstreicht die Notwendigkeit einer sicheren Produktentwicklung, Transparenz der Softwarekomponenten, Schwachstellenmanagement, Sicherheitsupdates und einer umfassenden Lebenszyklusdokumentation für vernetzte Hardware- und Softwareprodukte.

Der Zeitplan für die Einhaltung der Vorschriften ist wie folgt strukturiert:

• 10. Dezember 2024: Das Cyber ​​Resilience Act trat offiziell in Kraft.
• 11. September 2026: Die Meldepflichten treten in Kraft. Ab diesem Datum sind Hersteller verpflichtet, aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle zu melden.
• 11. Dezember 2027: Die wichtigsten Verpflichtungen, die durch die CRA eingeführt wurden, treten vollständig in Kraft.

Premio bereitet sich aktiv auf die CRA-Anforderungen vor. Die vollständigen CRA-Produktkonformitätsverpflichtungen gelten ab dem 11. Dezember 2027. Die CRA-Konformität auf Produktebene hängt vom jeweiligen Produktumfang, der Konfiguration, der Klassifizierung, der Dokumentation und den Bewertungsanforderungen ab.

Premio stärkt seine Produktsicherheitspraktiken in den Bereichen sichere Entwicklung, Umgang mit Schwachstellen, SBOM-Management, Sicherheitsupdates, Produktsicherheitsdokumentation und Planung von Konformitätsbewertungen. Die bestehende IEC 62443-4-1-Zertifizierung von Premio bildet eine solide Grundlage für einen sicheren Entwicklungslebenszyklus und die Vorbereitung auf die CRA-Prüfung.

Premio verfügt derzeit über die Zertifizierungen nach ISO 9001:2015, ISO 13485:2016, ISO 14001:2015 und IEC 62443-4-1. Die Zertifizierung nach IEC 62443-4-1 ist dabei besonders relevant, da sie sichere Prozesse im Produktentwicklungszyklus unterstützt.

Nr. IEC 62443-4-1 unterstützt den sicheren Produktentwicklungszyklus von Premio, aber CRA verlangt auch eine Bewertung auf Produktebene, den Umgang mit Schwachstellen, die Dokumentation, das Management von Sicherheitsupdates und die Konformitätsbewertung auf der Grundlage der jeweiligen Produktkategorie und Konfiguration.

PSIRT steht für Product Security Incident Response Team (Produktsicherheits-Reaktionsteam). Der PSIRT-Prozess von Premio koordiniert die Überprüfung, Bewertung, Behebung und Kommunikation potenzieller Sicherheitslücken in Produkten. Bei Fragen zu PSIRT wenden Sie sich bitte an psirt@premioinc.com.

Wenn Sie glauben, eine potenzielle Sicherheitslücke in einem Premio-Produkt entdeckt zu haben, wenden Sie sich bitte an das Product Security Incident Response Team (PSIRT) von Premio unter psirt@premioinc.com. Um eine effiziente Bearbeitung Ihres Berichts zu gewährleisten, geben Sie bitte das Produktmodell, die Software- oder Firmware-Version, eine Beschreibung der Sicherheitslücke, die potenziellen Auswirkungen und – falls verfügbar – die Schritte zur Reproduktion an.

Wenn Sie eine Sicherheitslücke an psirt@premioinc.com melden, geben Sie bitte so viele relevante Informationen wie möglich an, z. B. Produktmodell, Seriennummer (falls zutreffend), BIOS- oder Firmware-Version, Version des Betriebssystem-Images, Treiber- oder Softwareversion, Systemkonfiguration, Beschreibung der Sicherheitslücke, potenzielle Auswirkungen, Schritte zur Reproduktion, unterstützende Protokolle oder Screenshots und die CVE-ID (falls verfügbar).

Premio wird die eingereichten Informationen prüfen, feststellen, ob das Problem Auswirkungen auf Premio-Produkte haben könnte, die potenziellen Auswirkungen einschätzen, sich gegebenenfalls mit internen Teams oder Lieferanten abstimmen und geeignete Maßnahmen zur Risikominderung, Fehlerbehebung, Dokumentation oder Kundenkommunikation festlegen.

Premio richtet einen Prozess zur Produktsicherheitsberatung ein, um relevante Schwachstellen, betroffene Produkte, Abhilfemaßnahmen, die Verfügbarkeit von Updates und gegebenenfalls Maßnahmen für Kunden zu kommunizieren.

Premio wird Sicherheitswarnungen über seine offiziellen Produktsicherheitsressourcen bereitstellen. Bei Fragen zu einer bestimmten Warnung oder einer vermuteten Sicherheitslücke wenden Sie sich bitte an psirt@premioinc.com.

CVE (Common Vulnerabilities and Exposures) ist eine öffentliche Kennung für bekannte Cybersicherheitslücken. KEV (Known Exploited Vulnerability) bezeichnet eine Schwachstelle, deren aktive Ausnutzung in der Praxis beobachtet wurde. Premio überprüft derzeit seine Prozesse zur Überwachung von CVEs und KEVs, die Auswirkungen auf unterstützte Produktkonfigurationen haben könnten.

SBOM steht für Software Bill of Materials (Software-Stückliste). Es handelt sich um ein strukturiertes Inventar der in einer Produktkonfiguration enthaltenen Software- und Firmware-Komponenten. Die SBOM-Verwaltung hilft bei der Identifizierung betroffener Komponenten, sobald Sicherheitslücken entdeckt werden, und unterstützt die Schwachstellenanalyse, die Patch-Planung und die Dokumentation der Sicherheitsmaßnahmen über den gesamten Lebenszyklus.

Premio überprüft die SBOM-Managementprozesse für unterstützte Produktkonfigurationen. Die SBOM-Verfügbarkeit kann von der Produktfamilie, der Softwarekonfiguration, den Kundenanforderungen und den geltenden regulatorischen Bestimmungen abhängen.

Premio-Sicherheitsupdates können je nach Produkt und betroffener Komponente variieren. Die Updates können BIOS-Updates, Firmware-Updates, Betriebssystem-Image-Updates, Treiber-Updates, Software-Utility-Updates, OOB-Management-Firmware-Updates, Konfigurationsanleitungen, temporäre Sicherheitsmaßnahmen oder aktualisierte Dokumentation umfassen.

Die Zeiträume für den Sicherheitssupport können je nach Produktfamilie, Produktlebenszyklus, Softwarekonfiguration, Lieferantensupport und geltenden regulatorischen Anforderungen variieren. Premio prüft derzeit, wie die Informationen zum Sicherheitssupportzeitraum für die jeweiligen Produkte transparenter gestaltet werden können.

Die Anwendbarkeit der CRA hängt vom Produktumfang, der Konfiguration, dem Verwendungszweck und der Art des Inverkehrbringens auf dem EU-Markt ab. Premio überprüft derzeit die Produktklassifizierung und die Anforderungen an die Konformitätsbewertung für die relevanten Produktfamilien.

Bei potenziellen Sicherheitslücken in Produkten oder Anfragen zu PSIRT wenden Sie sich bitte an Premio PSIRT unter psirt@premioinc.com. Allgemeine Fragen zu CRA, Compliance, Vertrieb oder technischem Support richten Sie bitte an Premio über den entsprechenden Vertriebs- oder Supportkanal.