Moxa erfüllt Meldepflichten des CRA

Für Hersteller von Produkten mit digitalen Komponenten rücken neue Meldefristen näher. Moxa hat nach eigenen Angaben seine Prozesse darauf vorbereitet, die verbindlichen Meldepflichten für Schwachstellen und Vorfälle des Cyber Resilience Act (CRA) der Europäischen Union zu erfüllen. Die entsprechenden Vorgaben treten am 11. September 2026 in Kraft, wie das Unternehmen mitteilt.

Demnach müssen Hersteller innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls eine Frühwarnung an die ENISA und das zuständige nationale CSIRT übermitteln. Innerhalb von 72 Stunden ist eine vollständige Meldung erforderlich. Für aktiv ausgenutzte Schwachstellen sieht der CRA zudem innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme beziehungsweise eines Patches einen Abschlussbericht vor. Bei schwerwiegenden Sicherheitsvorfällen beträgt diese Frist nach der Meldung einen Monat.

Moxa setzt auf zertifizierte Sicherheitsprozesse

Eine Grundlage für die Umsetzung bildet bei Moxa ein validierter Secure Development Life Cycle (SDL). Das Unternehmen verfügt über eine zweifache Zertifizierung nach IEC 62443-4-1 Maturity Level 3 (ML 3) durch IECEE und ISCI/ISASecure. Damit verfügt Moxa über wiederholbare Produktsicherheitsprozesse, die unternehmensweit einheitlich angewendet werden. Diese Prozesse sollen auch die Erfüllung der Cybersicherheitsverpflichtungen nach der Markteinführung unterstützen.

Die 24-Stunden-Frist erfordert dabei mehr als eine schnelle Reaktion auf einzelne Vorfälle. Moxa verweist auf ein integriertes Rahmenwerk für die Cybersicherheits-Governance. Betroffene Produkte sollen dadurch schnell identifiziert, Auswirkungen auf die Cybersicherheit bewertet und Entwicklungsteams koordiniert werden können.

CRA: Industrie hat erheblichen Nachholbedarf

Beim Cyber Resilience Act besteht in der deutschen Industrie erheblicher Nachholbedarf. Eine Onekey-Studie zeigt Defizite bei Fristen, Meldepflichten, Sicherheitsupdates und Vulnerability Management.

Redaktion Automation NEXT

Schwachstellenmanagement sichert CRA-Fristen

Moxa hat dafür ein umfassendes Schwachstellenmanagement implementiert. Ein Product Security Incident Response Team (PSIRT) soll Reaktionen auf Schwachstellen schnell validieren, bewerten und koordinieren.

Hinzu kommt das Management der Software-Stückliste, der Software Bill of Materials (SBOM). Damit können Entwicklungsteams betroffene Softwarekomponenten, Produkte und Firmware-Versionen identifizieren. Eine durchgängige Produktrückverfolgbarkeit umfasst zudem Software-Zusammensetzung, Firmware-Versionen und Lebenszyklusdaten.

Der Secure Development Life Cycle gewährleistet laut Moxa die Rückverfolgbarkeit der Entwicklung und strukturierte Prozesse zur Behebung von Schwachstellen. Definierte Governance-Verfahren sollen außerdem die Entscheidungsfindung zwischen Entwicklung, Produktmanagement, Cybersicherheit, Recht und Geschäftsführung aufeinander abstimmen. Ziel ist eine zeitnahe Berichterstattung an die Aufsichtsbehörden.

SBOM-Daten werden mit Produktdaten verknüpft

Parallel baut Moxa seine Fähigkeiten zur Meldung von Schwachstellen durch die Integration von SBOM-Daten in Produktdatenbanken aus. Werden neue Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, kann das PSIRT nach Unternehmensangaben die entsprechenden Daten miteinander verknüpfen. Damit sollen Auswirkungen bewertet, Maßnahmen priorisiert und die CRA-Vorgaben fristgerecht erfüllt werden.

„Die 24-Stunden-Meldepflicht des CRA zu erfüllen ist nicht nur ein Wettlauf gegen die Zeit, sie zeigt auch die Reife einer Organisation im Bereich Cybersicherheit und ist das sichtbare Ergebnis jahrelanger Investitionen in die Cybersicherheits-Governance“, so John Chang, Director of R&D Management and the Product Security Center bei Moxa. „Anbieter wie Moxa, die diese Verpflichtung konsequent erfüllen, haben eine technische Governance, sichere Entwicklungspraktiken, Prozesse für das Schwachstellen-Management und funktionsübergreifende Koordination etabliert, um betroffene Produkte schnell zu erfassen, Cybersicherheitsrisiken zu bewerten, technische Maßnahmen zu koordinieren und den Aufsichtsbehörden präzise Informationen zur Verfügung zu stellen.“

Was bedeuten die Prozesse für Maschinen- und Anlagenbauer?

Moxa richtet die Maßnahmen auch auf die Anforderungen seiner industriellen Kunden aus - insbesondere Maschinen- und Anlagenbauer, Systemintegratoren sowie Betreiber kritischer Infrastrukturen. Die Zusammenarbeit mit Lieferanten, die über entsprechende Fähigkeiten verfügen, soll nach Darstellung von Moxa die Gewissheit schaffen, dass der Zulieferer nicht nur sichere Produkte liefert, sondern auch für neu auftretende Cybersicherheitsrisiken in den kommenden Jahren gerüstet ist.

Der Cyber Resilience Act definiert laut Moxa die Verantwortlichkeiten für Cybersicherheit in der Industrie neu. Vertrauen werde künftig sowohl an den Sicherheitsmerkmalen eines Produkts als auch am Engagement des Herstellers über den gesamten Produktlebenszyklus hinweg gemessen. Mit zertifizierten SDL-Verfahren, Schwachstellenmanagement, PSIRT-Maßnahmen, SBOM-Governance und transparenten Prozessen will Moxa dazu beitragen, Cybersicherheitsrisiken zu reduzieren und die CRA-Pflichten nach der Markteinführung zu erfüllen.