Was ist eigentlich der Cyber Resilience Act (CRA) – und welche Relevanz hat er für den Finanzsektor?
Diese Frage beschäftigt mich immer häufiger – nicht zuletzt, weil der Begriff in meiner LinkedIn-Bubble zunehmend an Sichtbarkeit gewinnt. Zeit also für einen ersten Faktencheck. ✅ Der CRA ist eine EU-Verordnung, die am 20.
Diese Frage beschäftigt mich immer häufiger – nicht zuletzt, weil der Begriff in meiner LinkedIn-Bubble zunehmend an Sichtbarkeit gewinnt.
Zeit also für einen ersten Faktencheck. ✅
- Der CRA ist eine EU-Verordnung, die am 20. November 2024 im EU-Amtsblatt veröffentlicht wurde und damit seit Ende 2024 in Kraft ist.
- Ziel der Verordnung ist es, die Cybersicherheit von „Produkten mit digitalen Elementen“ zu stärken – also beispielsweise von Software, Hardware oder KI-Systemen, die mit Netzwerken oder anderen Geräten verbunden sind.
- Als EU-Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten – eine nationale Umsetzung ist nicht erforderlich.
- Die Anwendung startet ab September 2026, zunächst mit Meldepflichten zu Schwachstellen und Sicherheitsvorfällen.
Die übrigen Anforderungen (z.B. zum Risikomanagement) müssen bis Dezember 2027 umgesetzt sein.
- 💡 Welche Bedeutung hat der CRA für den Finanzsektor?
Nach meinem Verständnis ergeben sich zwei zentrale Anknüpfungspunkte:
- 🔗 1. CRA im Kontext des IKT-Drittparteienmanagements nach DORA:
DORA verpflichtet zur sorgfältigen Auswahl und laufenden Überwachung der IKT-Dienstleister. Dazu zählen natürlich auch Anbieter sicherheitskritischer Hardware- und Software-Produkte. Im Rahmen der Due Diligence Prüfungen wird damit künftig auch die Frage relevant, ob diese Anbieter ihren Verpflichtungen aus dem CRA nachkommen.
- ⚠️ 2. Direkte Betroffenheit von Finanzunternehmen:
Spannender ist für mich die Frage, ob Finanzunternehmen selbst in den Geltungsbereich des CRA fallen könnten.
Ein aktueller Entwurf eines Implementierungsstandards (ITS) zum CRA stuft u. a. Zahlungskarten und Zahlungsterminals als kritische Produkte ein.
Sollte diese Einstufung bestehen bleiben, müssten Finanzunternehmen, die solche Produkte herstellen bzw. anbieten, die Vorgaben des CRA auch selbst erfüllen.
- 🧭 Wie reagiert der Finanzsektor?
Branchenverbände – z.B. der VÖB – haben im Rahmen der Konsultation zum ITS auf das Risiko einer Doppelregulierung hingewiesen und mögliche Überschneidungen mit bestehenden Anforderungen aus DORA oder NIS2 kritisch adressiert.
Ob diese Hinweise bei der finalen Ausgestaltung des ITS berücksichtigt werden, ist derzeit noch offen. Falls der Regulator diese Hinweise jedoch nicht aufgreift, dürfte der CRA schon bald zu einem weiteren zentralen Baustein der IT-Compliance im Finanzsektor werden…
Also: Cross Fingers 🤞 ich halte euch auf dem Laufenden!
💬 Diskussion natürlich wie immer erwünscht 🙂 wie schätzt ihr die praktische Relevanz des CRA ein?