Glossar

Glossar zu CRA und Embedded-Sicherheit

Kurze Definitionen der Begriffe, die bei der CRA-Konformität und in der Produktsicherheit immer wieder auftauchen. Jeder Begriff hat einen eigenen Link, und unsere Leitfäden verweisen hierher.

Rechtsrahmen und Rollen

CRA (Cyber Resilience Act, Cyberresilienz-Verordnung): Verordnung (EU) 2024/2847. Legt gemeinsame Cybersicherheitsanforderungen für Produkte mit digitalen Elementen auf dem EU-Markt fest. Siehe CRA-Leitfaden.
Produkt mit digitalen Elementen: Ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, dessen bestimmungsgemäßer Zweck eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt (Artikel 3 Nummer 1).
Hersteller: Eine Person oder Organisation, die ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Die meisten CRA-Pflichten liegen beim Hersteller.
Einführer: Eine in der EU niedergelassene Person oder Organisation, die ein Produkt eines Herstellers außerhalb der EU auf dem EU-Markt in Verkehr bringt (Artikel 19).
Bevollmächtigter: Eine in der EU niedergelassene Person oder Organisation, die auf Grundlage eines schriftlichen Auftrags bestimmte Aufgaben im Namen des Herstellers wahrnimmt. Nach dem CRA ist die Benennung freiwillig (Artikel 18).
Wichtiges Produkt mit digitalen Elementen (Klasse I und II): In Anhang III aufgeführte Produkte, deren Kernfunktion ein höheres Cybersicherheitsrisiko birgt. Siehe Produktklassen.
Kritisches Produkt mit digitalen Elementen: In Anhang IV aufgeführte Produkte: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente.
Notifizierte Stelle: Eine Stelle, die ein Mitgliedstaat der Kommission notifiziert hat und die Konformitätsbewertungen als Dritte durchführen darf.
Harmonisierte Norm: Eine europäische Norm, deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht ist. Wer sie anwendet, kann sich für die von ihr abgedeckten Anforderungen auf die Konformitätsvermutung stützen.
EU-Konformitätserklärung: Das Dokument, in dem der Hersteller erklärt, dass das Produkt die grundlegenden Anforderungen erfüllt (Artikel 28, Anhang V).
CE-Kennzeichnung: Die Kennzeichnung, die zeigt, dass ein Produkt den geltenden EU-Rechtsvorschriften entspricht. Bei Produkten im Anwendungsbereich des CRA wird sie nach der Konformitätsbewertung angebracht (Artikel 30).
Technische Dokumentation: Die Unterlagen, die zeigen, wie das Produkt die Anforderungen erfüllt (Anhang VII): Entwurf, Risikobewertung, Prozesse zur Behandlung von Schwachstellen, SBOM und Prüfberichte. Sie wird 10 Jahre oder für den Unterstützungszeitraum aufbewahrt.
Unterstützungszeitraum: Der Zeitraum, in dem sich der Hersteller verpflichtet, Schwachstellen wirksam zu behandeln. Er spiegelt die erwartete Nutzungsdauer des Produkts wider und beträgt in der Regel mindestens fünf Jahre (Artikel 13 Absatz 8).

Meldungen und Umgang mit Sicherheitsvorfällen

Aktiv ausgenutzte Schwachstelle: Eine Schwachstelle, für die verlässliche Belege vorliegen, dass ein böswilliger Akteur sie ohne Erlaubnis in einem System ausgenutzt hat (Artikel 3 Nummer 42). Sie ist meldepflichtig, siehe Artikel 14.
Schwerwiegender Sicherheitsvorfall: Ein Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt und den Schutz von Daten oder Funktionen beeinträchtigt oder zur Ausführung von Schadcode führt (Artikel 14 Absatz 5).
CSIRT (Koordinator): Computer Security Incident Response Team. Meldungen nach dem CRA gehen an das CSIRT, das ein Mitgliedstaat als Koordinator benannt hat, und an die ENISA.
ENISA SRP: Die einheitliche Meldeplattform der ENISA (Single Reporting Platform). Das Portal für Meldungen nach Artikel 14; es leitet jede Meldung gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA weiter.
Koordinierte Offenlegung von Schwachstellen (CVD): Ein Verfahren, bei dem der Entdecker einer Schwachstelle diese dem Hersteller meldet und Details erst weitergegeben werden, wenn eine Korrektur bereitsteht. Der CRA verlangt von Herstellern eine Strategie zur koordinierten Offenlegung von Schwachstellen.
security.txt: Eine Datei, die die Sicherheitskontaktdaten einer Website an einem standardisierten Ort (/.well-known/security.txt) veröffentlicht, definiert in RFC 9116.

SBOM und Schwachstellendaten

SBOM (Software-Stückliste): Eine maschinenlesbare Liste der Komponenten, Versionen und Abhängigkeiten in einer Software oder Firmware. Anhang I Teil II Nummer 1 des CRA verlangt eine SBOM, aus der zumindest die obersten Abhängigkeiten hervorgehen. Siehe Was ist eine SBOM?.
CycloneDX: Ein von OWASP entwickeltes, auf Sicherheit ausgerichtetes SBOM-Format. Es kann auch Schwachstellen- und VEX-Informationen enthalten.
SPDX: Ein von der Linux Foundation entwickeltes SBOM-Format, als ISO/IEC 5962 genormt; stark bei Lizenzinformationen.
VEX: Vulnerability Exploitability eXchange. Ein Dokument, das angibt, ob eine Schwachstelle in einem Produkt tatsächlich ausnutzbar ist (nicht betroffen, betroffen, behoben, in Untersuchung).
CSAF: Common Security Advisory Framework. Ein OASIS-Standard, um Sicherheitshinweise und VEX-Informationen maschinenlesbar zu veröffentlichen.
OpenVEX: Ein offenes Format, das VEX-Informationen als minimales JSON abbildet.
CVE: Eine eindeutige Kennung für eine öffentlich bekannte Schwachstelle (zum Beispiel CVE-2024-3094).
CPE: Ein standardisiertes Benennungsschema für Produkte und Software; Schwachstelleneinträge der NVD werden über CPE zugeordnet.
PURL (Package URL): Ein Adressformat, das ein Softwarepaket über Ökosystem, Name und Version identifiziert (zum Beispiel pkg:npm/lodash@4.17.21).
OSV: Eine Open-Source-Schwachstellendatenbank samt Format, die sich nach Paketname und Version abfragen lässt.
NVD: Die US-amerikanische National Vulnerability Database; ergänzt CVE-Einträge um CVSS-Bewertungen und CPE-Zuordnungen.
CVSS: Ein System, das die technische Schwere einer Schwachstelle auf einer Skala von 0 bis 10 bewertet.
EPSS: Exploit Prediction Scoring System. Schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird (FIRST).
CISA KEV: Der Katalog der US-Behörde CISA mit Schwachstellen, deren Ausnutzung bekannt ist. Ein starkes Signal für die Priorisierung; nach dem CRA entscheidet aber der Hersteller, ob eine Schwachstelle „aktiv ausgenutzt“ ist.

Gerätesicherheit

Secure Boot: Ein Mechanismus, der dafür sorgt, dass ein Gerät nur Software ausführt, deren Signatur geprüft wurde.
OTA-Update: Die Aktualisierung der Firmware aus der Ferne über ein Netzwerk. Der CRA verlangt, dass Sicherheitsaktualisierungen sicher und, soweit möglich, automatisch verteilt werden.
A/B-Partitionen: Eine Aufteilung mit zwei Firmware-Slots. Das Update wird in den inaktiven Slot geschrieben; startet die neue Version nicht, kehrt das Gerät zur alten zurück.
Rollback-Schutz (Anti-Rollback): Ein Zählermechanismus, der verhindert, dass ein Gerät auf eine ältere Firmware-Version mit bekannten Schwachstellen zurückgesetzt wird.
Hardware-Vertrauensanker (Root of Trust): Unveränderliche Hardware und unveränderlicher Code, mit denen die Vertrauenskette eines Geräts beginnt (zum Beispiel der ROM-Bootloader und ein in eFuses gespeicherter Schlüssel-Hash).
Secure Element: Ein separater Sicherheitschip, der Schlüssel und kryptografische Operationen gegen physische Angriffe schützt.
PUF: Physically Unclonable Function. Eine nicht kopierbare Identität oder ein Schlüssel, abgeleitet aus mikroskopischen Fertigungsunterschieden eines Chips.