Sprache:
deutsch

Zielgruppe:
Embedded-Softwareentwickler; Systemarchitekten; Cybersecurity Engineers; Functional-Safety-Experten; Produktverantwortliche; Qualitäts- und Compliance-Verantwortliche; Projektleiter technischer Produkte

Voraussetzungen:
gute Laune

Überblick und Zusammenfassungen:
Workshop-Beschreibung / Abstract
Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals verbindliche Cybersecurity-Anforderungen flächendeckend für sämtliche Produkte mit digitalen Elementen (PDE). Hersteller, Integratoren und Entwickler müssen zukünftig nachweisen, dass Cybersecurity-Risiken über den gesamten Produktlebenszyklus angemessen berücksichtigt und behandelt werden.
Der Workshop vermittelt die technischen, regulatorischen und praktischen Grundlagen des CRA und zeigt anhand konkreter Beispiele, wie CRA-konforme Cybersecurity-Prozesse in der Praxis umgesetzt werden können.
Neben einer Einführung in Ziele, Struktur und Anforderungen des CRA werden insbesondere die essentiellen Cybersecurity-Anforderungen aus Annex I sowie die Durchführung von Cybersecurity-Risikoanalysen behandelt. Dabei liegt der Fokus auf praxisnahen Fragestellungen aus dem Embedded- und IoT-Umfeld.
Im Rahmen interaktiver Gruppenübungen erarbeiten die Teilnehmer beispielhaft für ein vernetztes Produkt mit digitalen Elementen (z. B. einen fernbedienbaren Bau-Kran):
• Intended Purpose
• Reasonably Foreseeable Use und Misuse
• Produktkategorisierung
• Risikoanalyse
• Schadensszenarien
• Sicherheitsziele
• Cybersecurity Controls
Die Teilnehmer lernen, wie Bedrohungen, Angriffspfade und Risiken systematisch analysiert und geeignete Sicherheitsmaßnahmen nach dem Prinzip „Security by Design“ abgeleitet werden können.
Zusätzlich werden Schnittstellen zu weiteren relevanten Standards und Regularien wie NIS-2, IEC 62443, ISO/SAE 21434, Maschinenverordnung, AI Act oder IEC 61508 diskutiert.

Agenda (3 Stunden)
1 | Motivation und regulatorischer Kontext
• Warum der CRA eingeführt wurde
• Politischer und regulatorischer Hintergrund
• Einordnung in die EU-Digitalstrategie
• Zusammenhang mit:
o NIS-2
o RED
o Maschinenverordnung
o Produkthaftung
o AI Act
o IEC 62443
o ISO/SAE 21434
2 | Grundlagen des Cyber Resilience Act
• Ziele und Struktur des CRA
• Produkte mit digitalen Elementen (PDE)
• Standard- und kritische Produkte
• Pflichten für Hersteller, Integratoren und Importeure
• Produktlebenszyklus
• Vulnerability Handling
• Security Updates
• CE-Kennzeichnung und Assessment-Module
3 | Gruppenübung 1 – Produktverständnis und CRA-Relevanz
Praxisbeispiel: fernbedienbarer Bau-Kran
Gemeinsame Erarbeitung von:
• Intended Purpose
• Reasonably Foreseeable Use
• Reasonably Foreseeable Misuse
• Kernfunktionen
• Assets
• Produktgrenzen
• Produktkategorisierung
• CRA-Relevanz und Ausnahmen
4 | Essentielle Cybersecurity-Anforderungen
• Annex I des CRA
• Security by Design / by Default
• Authentisierung
• Zugriffsschutz
• Sichere Kommunikation
• Logging
• Schwachstellenmanagement
• Sichere Konfiguration
• Minimierung von Angriffsflächen
5 | Risikoanalyse in der Praxis
Einführung in CRA-konforme Risikoanalysen:
• Risikobegriff im CRA
• Threat Modeling
• Assets und Security Properties
• Schadensszenarien
• Bedrohungen und Angriffspfade
• Angriffspotential
• Risikoidentifikation und Risikobewertung
• Ableitung von Sicherheitszielen
• Definition von Cybersecurity-Anforderungen
• Auswahl geeigneter Security Controls
6 | Gruppenübung 2 – Durchführung einer Risikoanalyse
Für das Praxisbeispiel werden gemeinsam:
• Bedrohungen identifiziert,
• Schadensszenarien beschrieben,
• Risiken bewertet,
• Sicherheitsziele definiert,
• geeignete Cybersecurity Controls abgeleitet,
• sowie die Abdeckung der essentiellen Anforderungen bewertet.
7 | Ausblick und Diskussion
• Lessons Learned
• Typische Herausforderungen bei der CRA-Umsetzung
• Wiederverwendung bestehender Prozesse und Standards
• Schnittstellen zu:
o NIS-2
o IEC 62443
o ISO/SAE 21434
o Maschinenverordnung
o AI Act
o IEC 61508
o CER
8 | Zusammenfassung
• Wichtigste Erkenntnisse
• Empfehlungen für erste Umsetzungsschritte
• Diskussion und Fragen


Art der Vermittlung:
Methodenerklärung, Projektbeispiel, Guppenübungen

Nutzen:
Lernziele
Die Teilnehmer:
• verstehen Motivation, Ziele und Struktur des CRA,
• kennen die wesentlichen Pflichten für Hersteller und Entwickler,
• verstehen die grundlegenden Cybersecurity-Anforderungen des CRA,
• lernen den CRA-Risikobegriff kennen,
• können erste Cybersecurity-Risikoanalysen durchführen,
• verstehen den Zusammenhang zwischen Security, Safety und Produkthaftung,
• lernen praktische Ansätze für „Security by Design“ kennen,