Wie bewerte ich Lieferanten von Löschdrohnen im Hinblick auf die Einhaltung des EU Cyber Resilience Act?

Als unser Ingenieurteam die Anforderungen des EU Cyber Resilience Act ¹ zum ersten Mal prüfte, erkannten wir, dass viele Drohnenkäufer vor einem echten Problem stehen. Sie benötigen feuerwehrtechnische Drohnen, die im Notfall zuverlässig funktionieren Zero-Day-Schwachstellen ². Aber woher wissen Sie, ob Ihr Lieferant diese neuen EU-Cybersicherheitsvorschriften einhält?

Um Lieferanten von Feuerwehrdrohnen für die CRA-Konformität zu bewerten, überprüfen Sie deren Cybersicherheitsrisikobewertungen, Secure-by-Design-Dokumentationen, CE-Kennzeichnungen mit CRA-Referenzen, Schwachstellenmanagementprozesse und Zusagen zur Post-Market-Unterstützung, die mindestens fünf Jahre dauern. Fordern Sie Konformitätszertifikate von Drittanbietern für Drohnen im kritischen Einsatz an.

Dieser Leitfaden führt Sie durch jeden Schritt. Wir behandeln technische Anforderungen, Dokumentationsbedarf und langfristige Supportverpflichtungen. Lassen Sie uns Ihnen helfen, fundierte Beschaffungsentscheidungen zu treffen.

Wie überprüfe ich, ob mein Hersteller von Feuerwehrdrohnen die Standards des EU Cyber Resilience Act vollständig erfüllt?

Unser Exportteam bearbeitet täglich Compliance-Fragen von europäischen Partnern. Viele Käufer haben Schwierigkeiten, Marketingaussagen von tatsächlicher CRA-Bereitschaft zu trennen. Die Einsätze sind hoch – nicht konforme Produkte drohen Marktverbote und Bußgelder.

CRA-Bereitschaft prüfen, indem die Cybersicherheitsrisikobewertungsdokumente des Lieferanten, die CE-Konformitätserklärung mit Bezug auf CRA, Zertifikate von Drittanbietern für kritische Produkte, dokumentierte Secure-by-Design-Prozesse und Nachweise für ENISA-konforme Schwachstellenmeldesysteme angefordert werden.

Verständnis des CRA-Zeitplans und -Umfangs

Der EU Cyber Resilience Act schafft obligatorische Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen. Feuerwehrdrohnen fallen eindeutig unter diesen Geltungsbereich. Sie enthalten Sensoren, Software, Netzwerkverbindungen und oft KI-Systeme.

Wichtige Termine sind für die Beschaffungsplanung relevant:

Die Produktklassifizierung ist wichtig

Nicht alle Drohnen unterliegen den gleichen Anforderungen. Die CRA verwendet drei Kategorien:

Allgemeine Produkte: Eine grundlegende Selbstzertifizierung (Modul A) ist ausreichend. Die meisten Verbraucherdrohnen fallen hierunter.

Wichtige Produkte (Klasse I und II): Erfordern eine begrenzte Bewertung durch Dritte. Vernetzte Drohnen, die in kritischer Infrastruktur eingesetzt werden, fallen wahrscheinlich hierunter.

Kritische Produkte: Erfordern eine vollständige Konformitätsbewertung durch Dritte benannte Stellen ⁴ wie TÜV oder DEKRA.

Drohnen für die Brandbekämpfung qualifizieren sich typischerweise als "wichtige" Produkte. Sie verbinden sich mit Netzwerken und unterstützen kritische Notfalleinsätze. Das bedeutet, Ihr Lieferant kann die Konformität nicht einfach selbst erklären.

Warnsignale bei der Lieferantenbewertung

Wenn wir mit Distributoren zusammenarbeiten, stellen wir häufig Warnsignale fest:

• Keine dokumentierte Cybersicherheitsrisikobewertung
• CE-Kennzeichnung ohne spezifische CRA-Referenzen
• Vage oder fehlende Zusagen bezüglich der Supportdauer
• Nein Software Bill of Materials (SBOM) ⁵ verfügbar
• Unfähigkeit, Verfahren zur Behandlung von Schwachstellen zu erklären

Ein vorbereiteter Hersteller wird diese Dokumente bereithalten, bevor Sie danach fragen.

Welche technischen Sicherheitsmerkmale muss ich von einem Drohnenlieferanten verlangen, um die CRA-Konformität sicherzustellen?

Während unserer Produktentwicklungszyklen testen wir Cybersicherheitsfunktionen ausgiebig. Unsere Ingenieure wissen genau, welche technischen Elemente für die EU-Konformität wichtig sind. Viele Lieferanten übersehen diese Details.

Fordern Sie von jedem CRA-konformen Drohnenlieferanten standardmäßig sichere Konfigurationen, verschlüsselte Kommunikation, Zugriffskontrollmechanismen, automatische Update-Funktionen, kryptografische Authentifizierung, sichere Boot-Prozesse, Datenschutzfunktionen und dokumentierte Überprüfung der Hardware-Lieferkette.

Kerntechnische Anforderungen aus Anhang I

Anhang I der CRA listet 13 wesentliche Anforderungen auf. Hier ist, wie sie auf Feuerlöschdrohnen angewendet werden:

Secure-by-Default-Konfiguration

Eine CRA-konforme Drohne sollte mit aktivierter Sicherheit ausgeliefert werden, nicht deaktiviert. Überprüfen Sie diese spezifischen Punkte:

• Standardpasswörter dürfen nicht vorhanden sein oder müssen sofort geändert werden
• Nicht benötigte Netzwerkdienste sollten deaktiviert sein
• Verschlüsselung sollte standardmäßig aktiviert sein
• Zugriffsprotokollierung sollte ab dem ersten Einschalten aktiv sein

KI- und maschinelles Lernen-Sicherheit

Moderne Feuerwehrdrohnen nutzen KI für die Analyse von Wärmebildern, die Navigation und die Zielidentifizierung. Die CRA verlangt den Schutz dieser Systeme.

Fragen Sie Ihren Lieferanten nach:

• Überprüfung der Modellintegrität
• Schutz vor gegnerischen Angriffen
• Maßnahmen zur Verhinderung von Datenvergiftung
• Erklärbare KI-Ausgaben für kritische Entscheidungen

Anti-Jamming- und Spoofing-Technologien

Feuerwehreinsätze finden in herausfordernden Umgebungen statt. GPS-Jamming und Kommunikationsstörungen sind reale Bedrohungen.

Bewerten Sie diese Fähigkeiten:

• Redundante Positionierungssysteme
• Verschlüsselte Steuerungslinks
• Offline-Betriebsmodi
• Sichere Fallback-Kommunikationskanäle

Ein konformer Lieferant wird diese Funktionen demonstrieren, nicht nur in Marketingmaterialien auflisten.

Kann mein Lieferant das von den EU-Vorschriften geforderte Schwachstellenmanagement und die technische Dokumentation bereitstellen?

Unser Qualitätsteam pflegt umfangreiche Dokumentationen für jedes von uns exportierte Produkt. Wir haben früh gelernt, dass europäische Kunden mehr als nur Produktspezifikationen benötigen. Sie benötigen Nachweise für ein fortlaufendes Sicherheitsmanagement.

CRA-konforme Lieferanten müssen Cybersicherheitsrisikobewertungen, Software Bill of Materials (SBOMs), technische Akten mit Sicherheitszusammenfassungen, Konformitätserklärungen, Benutzersicherheitshinweise und dokumentierte Verfahren zur Behandlung von Schwachstellen mit einer 24-Stunden-ENISA-Berichtsfunktion bereitstellen.

Checkliste für wichtige Unterlagen

Fordern Sie diese Dokumente von jedem potenziellen Lieferanten an:

Verständnis der SBOM-Anforderungen

Die Software Bill of Materials ist für die Sicherheit der Lieferkette unerlässlich geworden. Eine SBOM listet jede Softwarekomponente in Ihrer Drohne auf, einschließlich:

• Betriebssystem und Version
• Drittanbieter-Bibliotheken
• Open-Source-Komponenten
• Benutzerdefinierte Anwendungssoftware
• Firmware-Module

Warum ist das wichtig? Wenn eine Schwachstelle in einer Komponente entdeckt wird, müssen Sie sofort wissen, ob Ihre Flotte betroffen ist.

Wir erstellen bei jeder Firmware-Veröffentlichung aktualisierte SBOMs. Diese stellen wir Kunden zur Verfügung, die sie anfordern.

Meldepflichten bei Schwachstellen

Die CRA legt strenge Fristen fest:

Innerhalb von 24 Stunden: Lieferanten müssen aktiv ausgenutzte Schwachstellen an die ENISA und betroffene Nutzer melden.

Innerhalb von 72 Stunden: Schwere Sicherheitsvorfälle müssen mit einer ersten Einschätzung gemeldet werden.

Laufend: Alle Schwachstellen müssen während der gesamten Support-Periode behandelt werden.

Fragen Sie Ihren Lieferanten:

• Wie werden Sie uns über entdeckte Schwachstellen informieren?
• Wie gehen Sie bei Notfall-Patches vor?
• Können Sie Ihre ENISA-Meldungsfähigkeit nachweisen?

Überprüfung von Drittanbieter-Komponenten

Brandbekämpfungsdrohnen enthalten Komponenten aus mehreren Quellen. Die CRA verlangt von Lieferanten, die Sicherheit ihrer Lieferkette zu überprüfen.

Fragen zu stellen:

• Woher stammen kritische Komponenten?
• Wie überprüfen Sie die Echtheit von Komponenten?
• Welche Sicherheitstests führen Sie für Drittanbietersoftware durch?
• Haben Sie Einblick in die Sicherheitspraktiken Ihrer Lieferanten?

Dies spiegelt den Ansatz der US-Programme Blue UAS und Green UAS wider, die Drohnenkomponenten auf eingeschränkte Herkünfte prüfen.

Wie wird mein Drohnenpartner langfristige Sicherheitsupdates und Firmware-Patches für meine Flotte handhaben?

Wenn wir unsere Supportsysteme entwerfen, denken wir an Kunden, die Flotten über viele Jahre betreiben. Eine heute gekaufte Brandbekämpfungsdrohne muss auch 2030 und darüber hinaus sicher bleiben. Dies erfordert ein ernsthaftes Engagement Ihres Lieferanten.

Bewerten Sie den langfristigen Support, indem Sie mindestens fünfjährige Sicherheitsupdate-Zusagen, automatische Patch-Bereitstellungsmechanismen, klare Richtlinien für das Ende des Supports, Ersatzteilverfügbarkeit, Erreichbarkeit des technischen Supports und dokumentierte Verfahren zur Behandlung von Zero-Day-Schwachstellen in eingesetzten Flotten bestätigen.

Anforderungen an die Supportdauer

Die CRA schreibt Sicherheitssupport für die erwartete Produktlebensdauer oder mindestens fünf Jahre vor. Für Brandbekämpfungsdrohnen mit einer typischen Betriebsdauer von 7-10 Jahren ergeben sich daraus erhebliche Verpflichtungen.

Automatische Update-Mechanismen

Ihre Flotte benötigt Updates ohne manuelle Eingriffe an jeder Einheit. Bewerten Sie:

• Over-the-Air-Update-Fähigkeit
• Update-Authentifizierung und -Verifizierung
• Rollback-Optionen bei fehlgeschlagenen Updates
• Zeitplanung zur Vermeidung von Betriebsunterbrechungen
• Bandbreitenanforderungen für die flächendeckende Bereitstellung

Planung für das End-of-Support

Jedes Produkt erreicht irgendwann das Ende des Supports. Ein verantwortungsbewusster Lieferant bietet:

• Mindestens 12 Monate Vorabinformation
• Migrationspfad zu neueren Produkten
• Erweiterte Supportoptionen für kritische Benutzer
• Abschließende Sicherheitsoptimierung vor Ende des Supports
• Unterstützung bei der Datenmigration

Ersatzteil- und Reparatursupport

Sicherheitsupdates bedeuten nichts, wenn Ihre Drohnen nicht betrieben werden können. Langfristiger Support beinhaltet:

• Garantierte Verfügbarkeit von Ersatzteilen
• Angemessene Preise für Komponenten
• Zugang zu Reparaturdokumentationen
• Schulung für autorisierte Servicezentren

Aus unserer Erfahrung schätzen Kunden die Gewissheit, ihre Flotte bei Bedarf eigenständig warten zu können. Wir stellen qualifizierten Partnern Reparaturhandbücher und Komponenten-Spezifikationen zur Verfügung.

Bewertung der finanziellen Stabilität des Lieferanten

Langfristige Verpflichtungen erfordern langfristige Lieferantenlebensfähigkeit. Berücksichtigen Sie:

• Unternehmensgeschichte und Erfolgsbilanz
• Finanzberichte, falls verfügbar
• Kundenreferenzen aus langjährigen Beziehungen
• Treuhandvereinbarungen für kritische Software

Ein Lieferant, der zehn Jahre Unterstützung verspricht, muss seine Fähigkeit dazu nachweisen.

Schlussfolgerung

Die Bewertung von Lieferanten von Löschdrohnen hinsichtlich der CRA-Konformität erfordert eine systematische Überprüfung von Dokumentation, technischen Merkmalen und langfristigen Unterstützungszusagen. Beginnen Sie Ihre Bewertung frühzeitig, fordern Sie spezifische Nachweise an und bauen Sie Beziehungen zu Lieferanten auf, die eine echte Bereitschaft zur Einhaltung zeigen.

Fußnoten

1. Offizielle EU-Seite, die den Zweck und den Geltungsbereich des Gesetzes erklärt. ︎

2. Wikipedia bietet eine klare Erklärung von Zero-Day-Schwachstellen und deren Auswirkungen. ︎

3. Ersetzte den 404-ENISA-Link durch die aktuelle offizielle ENISA-Homepage. ︎

4. Die Europäische Kommission erklärt die Rolle benannter Stellen bei der EU-Konformitätsbewertung. ︎

5. NIST liefert eine klare Definition und Kontext für SBOMs. ︎

6. CISA bietet maßgebliche Leitlinien zu den Prinzipien von Secure by Design. ︎

7. Wikipedia bietet einen umfassenden Überblick über kryptografische Authentifizierungsmethoden. ︎