EU‑CRA verschärft Security‑Pflichten für digitale Produkte mit Software

Während der Cyber Resilience Act (CRA) der Europäischen Union die Cybersicherheitsanforderungen für digitale Produkte mit eingebetteter Software grundlegend neu definiert, positioniert sich Sysgo als optimaler Technologiepartner für Kunden, die sichere, resiliente und zukunftsfähige Systeme entwickeln.

Der CRA führt weitreichende Verpflichtungen ein, die Security by Design, risikobasierte Entwicklung, Schwachstellenmanagement, langfristige Update-Unterstützung sowie Transparenz in der Lieferkette über den gesamten Lebenszyklus eingebetteter Produkte hinweg erfordern. Dieser regulatorische Wandel stellt erhebliche Herausforderungen dar – insbesondere für Embedded-Entwickler und Systemintegratoren in sicherheitskritischen Märkten, in denen Zuverlässigkeit und Resilienz von zentraler Bedeutung sind.

Das Produktportfolio von Sysgo – mit PikeOS und ELinOS als Kern – wurde gezielt entwickelt, um genau diese Anforderungen zu erfüllen, und bildet damit eine ideale Grundlage für CRA-konforme Entwicklungs- und Compliance-Strategien.

Security by Design: Architektonische Grundlagen für Resilienz

PikeOS, das Echtzeitbetriebssystem (RTOS) und der Hypervisor von Sysgo, wurde von Grund auf so konzipiert, dass eine räumliche und zeitliche Isolation zwischen kritischen und nicht-kritischen Funktionen gewährleistet wird. Diese architektonische Trennung reduziert die Angriffsfläche und ermöglicht die unabhängige Verifikation von Softwarekomponenten – eine wesentliche Anforderung im Rahmen des Security-by-Design-Prinzips des CRA.

Darüber hinaus verfügt PikeOS über eine Common-Criteria-EAL5+-Sicherheitszertifizierung, die eine hohe Vertrauensbasis schafft und Konformitätsbewertungen unterstützt sowie zukünftige Zertifizierungen im Rahmen sich weiterentwickelnder europäischer Cybersicherheitsprogramme erleichtern kann.

Gleichzeitig bietet ELinOS – die Embedded-Linux-Plattform von Sysgo – eine flexible und anpassbare Linux-Basis mit integrierter Kryptografie, Secure Boot, sicheren Updates und gehärteten Konfigurationen, die dazu beitragen, Risiken in Embedded-Ökosystemen zu minimieren.

Umfassende Lifecycle-Unterstützung und Schwachstellenmanagement

Eine zentrale CRA-Anforderung ist die Fähigkeit, Schwachstellen während der gesamten Betriebsdauer eines Produkts zu überwachen, zu verwalten und zu beheben. Sysgo adressiert dies durch:

• Langfristige Wartung mit Sicherheits-Patches und Updates, die weit über typische Produktlebenszyklen hinausgehen

• Strukturierte Prozesse für Schwachstellenmeldung und Incident Response, unterstützt durch eine nach ISO 27001 zertifizierte Sicherheitsorganisation

• Detaillierte Sicherheitsbulletins und Dokumentationen, die Ingenieure bei der Erfüllung von CRA-Anforderungen im Risikomanagement und bei Offenlegungspflichten unterstützen

Diese ganzheitliche Unterstützung stellt sicher, dass Embedded-Systeme gegenüber neuen Bedrohungen widerstandsfähig bleiben und OEMs sowie Tier-1-Zulieferer ihre Verpflichtung zur Resilienz über den gesamten Produktlebenszyklus hinweg nachweisen können.

Transparenz in der Lieferkette und kontrollierte Integration

Der CRA verlangt von Herstellern, Drittanbieter-Softwarekomponenten zu verstehen und zu kontrollieren. Die modulare Plattformarchitektur von Sysgo, kombiniert mit klarer Nachverfolgbarkeit und Software-Bill-of-Materials-(SBOM)-Ansätzen, ermöglicht es Entwicklungsteams:

• Risiken in der Lieferkette zu analysieren und zu minimieren

• Abhängigkeiten zu verfolgen und zu dokumentieren

• Risikobasierte Entscheidungen bei Integration und Zertifizierung zu unterstützen

Flexible Lösungen für verschiedene Märkte

Ob für industrielle Automatisierung, Bahn, Raumfahrt, Medizintechnik, Automotive oder Verteidigung – die Lösungen von Sysgo sind sowohl für Mixed-Criticality-Konsolidierung als auch für modulare Skalierbarkeit ausgelegt. PikeOS unterstützt unterschiedliche Workloads sicher und ermöglicht moderne HMI- oder Konnektivitäts-Stacks neben harten Echtzeit-Regelkreisen – alles auf einer einzigen Embedded-Plattform.

„CRA-Konformität bedeutet mehr als nur das Abhaken von Anforderungen – es geht darum, Embedded-Systeme zu entwickeln, die über Jahrzehnte hinweg sicher, wartbar und resilient sind“, sagt Bruno Coppens, Software Security Manager bei Sysgo.

„Unsere Produkte und Expertendienstleistungen bieten OEMs und Tier-1-Zulieferern die architektonische Grundlage und Lifecycle-Unterstützung, die sie benötigen, um CRA-Anforderungen sicher zu erfüllen und gleichzeitig ohne Kompromisse zu innovieren“, ergänzt Jose Almeida, VP Sales bei Sysgo.

Die Plattformen und Supportleistungen von Sysgo sind CRA-ready und ermöglichen es Ihnen, zertifizierbare und resiliente Embedded-Systeme schneller zu entwickeln, Cybersicherheitsrisiken zu minimieren und die Compliance über den gesamten Produktlebenszyklus hinweg zu vereinfachen.