Lizenzierung und Security Cyber Resilience Act: Diese Tools stärken Produktsicherheit und Datenintegrität

Anbieter zum Thema

WIBU-SYSTEMS AG

Heidrive GmbH

aPriori Deutschland

Der Cyber Resilience Act (CRA) verpflichtet Hersteller zu sicheren digitalen Produkten und Compliance-Nachweisen. Mit CodeMeter von Wibu-Systems lassen sich diese Anforderungen effizient umsetzen – von Zugriffskontrolle über Datenintegrität bis zum Lizenzmanagement.

Viele Unternehmen in Deutschland bereiten sich auf den seit Dezember 2024 geltenden EU Cyber Resilience Act (CRA) vor. Ziel der Verordnung ist es, die Cybersicherheit in Europa zu erhöhen und Anwender wie Unternehmen besser vor Manipulationen und Angriffen zu schützen. Produkte mit digitalen Komponenten, die auf den europäischen Markt gebracht werden und eine direkte oder indirekte Kommunikationsverbindung zu Geräten oder Netzwerken ermöglichen, müssen CRA-konform sein. Ausnahmen gelten etwa für zeitlich begrenzte Messepräsentationen oder bereits streng regulierte Bereiche wie Medizintechnik, Automobil oder Luftfahrt. Der CRA soll sicherstellen, dass in Europa nur sichere Produkte verkauft und genutzt werden können.

Hohe Bußgelder drohen 

Immer mehr Lösungen enthalten digitale Komponenten. Dadurch sind deutlich mehr Unternehmen vom CRA betroffen, als es zunächst scheint. Bis 2027 müssen alle europäischen Unternehmen CRA-konform sein, da dann die Übergangsfrist endet. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Es gilt jeweils der höhere Betrag.

Überblick über wichtige Regularien mit Fokus auf Sicherheit:

• IEC 62443: internationale Norm für Cybersicherheit von Embedded-Geräten in Automatisierungssystemen
• NIS2: EU-Richtlinie zur Sicherheit von Netzwerken und Informationssystemen
• EU AI Act: Regelwerk zu Sicherheit und Einsatz künstlicher Intelligenz
• CRA: Verbesserung der Produktsicherheit bei digitalen Komponenten

Anforderungen effizient erfüllen

Mit der CodeMeter-Technologie von Wibu-Systems lassen sich folgende Anforderungen des CRA erfüllen:

Maßnahmen zur Wiederherstellung der Compliance (Artikel 13 Absatz 21 CRA): Bei Produkten mit digitalen Komponenten, die auf dem EU-Markt verkauft werden sollen, müssen Hersteller im Falle eines Problems Korrekturmaßnahmen durchführen können, damit die Compliance wieder gewährleistet ist. Sollte eine Korrektur nicht möglich sein, müssen die Hersteller das betroffene Produkt vom Markt nehmen. Beide Maßnahmen erfordern genaue Kenntnis des Herstellers, welcher Kunde welches Produkt in welcher Version nutzt, um die betroffenen Kunden zu informieren und ihnen ein Update anzubieten.

Die CodeMeter-Technologie mit den dazugehörigen Tools erlaubt es den Softwareherstellern, den Überblick über ihre Kunden und den eingesetzten Produkten zu behalten. Bereits beim Kauf haben die Anwender ihre im Lizenzcontainer gespeicherten Nutzungsrechte, die sogenannten Lizenzen, bekommen (Grafik 1). Um ganze Programme oder einzelne Programmteile außer Betrieb zu nehmen, entzieht der Hersteller einfach die dazugehörigen Lizenzen. Die CRA-Compliance können Hersteller ebenfalls wieder herstellen, indem sie die nicht mehr kompatiblen Programme oder Programmteile ersetzen.

Die Nutzungsrechte werden dadurch geändert, dass die entsprechende Lizenz aus dem Lizenzcontainer entfernt wird, sodass der Anwender dann diese Lizenz nicht mehr benutzen kann. Beispielsweise kann dies eine nicht mehr kompatible Lizenz oder eine für eine bestimmte Region ausgestellte Lizenz, die unberechtigt in einer anderen Region benutzt wird, sein. Mit CodeMeter License Central oder über das CodeMeter License Portal können Hersteller die Lizenzen im Feld bequem und transparent, auch über verschiedenen Ebenen hinweg, verwalten. Zusätzlich können sie Rollen und Rechte über verschiedene Ebenen hinweg zuordnen. Die Hersteller wissen dank dieser Tools immer den Status der im Feld befindlichen Lizenzen.

Zugriffskontrolle (Anhang I Teil I (2d) CRA): Mittels Zugriffskontrolle werden Identitäten geprüft und hinzugefügt. Es muss festgelegt werden, wer auf eine Software zugreifen darf und wie deren Nutzung ist. Hersteller sind verpflichtet, einen Zugangsschutz gegen unautorisierte Nutzung aufzubauen, was über Authentifizierung oder ein Managementsystem mit unterschiedlichen Berechtigungen realisiert werden kann. Mit CodeMeter ordnet der Hersteller jeder Softwareversion eine eindeutige Lizenz zu. Damit kann er auf den Umstieg auf die nächste Version hinweisen (Grafik 2). Ebenfalls kann der Hersteller länderspezifische Lizenzen definieren oder welche Anwender oder welche Rollen Lizenzen nutzen dürfen.

Hersteller können kryptografische Schlüssel selbst erstellen und verteilen. Diese sind als Secret Data in einer Lizenz gespeichert und können vom Anwender nicht ausgelesen werden, sondern nur verwendet werden. Über CodeMeter License Central können diese Schlüssel an die Endgeräte sicher ausgerollt werden.

Vertraulichkeit und Integrität von Daten (Anhang I Teil (2e, 2f) CRA): Damit Daten als vertraulich und als nicht manipuliert gelten, müssen sie den Status „unverfälscht“ haben. Vor allem bei Bibliotheken muss validiert werden, dass die richtige genutzt wird und nicht eine manipulierte Bibliothek. Für solche Fälle helfen die Verschlüsselungen und Signaturen mittels kryptografischer Schlüssel in CodeMeter-Lizenzen. CodeMeter API prüft und signiert die Daten und mit CodeMeter Protection Suite kann der Hersteller diese Anforderungen erfüllen.

Sicherstellung der Compliance: Um die Transparenz und Nachvollziehbarkeit der ausgerollten Lizenzen zu erhalten, muss der Hersteller wissen, wo sich welche Lizenz befindet und wie deren Status ist. Über CodeMeter License Portal definieren die Hersteller bestimmte Stufen zum Ausrollen der Lizenzen. So kann der Hersteller verschiedene OEM-Partner anlegen und diese wiederum ihre Kunden. Unabhängig von den Stufen sieht der Hersteller, welche Lizenz sich bei welchem Kunden befindet, und kennt deren Status, das heißt die Nachvollziehbarkeit der beim Anwender befindlichen Lizenzen ist gegeben.

Kontinuierliche Einnahmequelle durch Softwarelizenzen

Hersteller können mit Hilfe der CodeMeter-Tools ihre Softwareprodukte schützen und lizenzieren. Darüber hinaus ist die Compliance zum CRA gegeben. Wenn der Hersteller die verschiedenen Softwarefunktionen lizenziert und seinen Kunden anbietet, kann er eine kontinuierliche Einnahmequelle aufbauen, die die Kosten für den CRA-Aufbau im besten Falle mehr als kompensiert

Stefan Bamberg ist Director Sales & Key Account Management bei Wibu-Systems.