Der Halbleitersektor steht vor einem bedeutenden regulatorischen Wandel, da das Cyber Resilience Act (CRA) der Europäischen Union in Kraft tritt. Die Sicherheitsanforderungen beschränken sich nicht mehr nur auf Software, sondern erstrecken sich nun auch auf Hardwarekomponenten und geistiges Eigentum (IP), die das Rückgrat moderner digitaler Geräte bilden.
Rahmenwerk des CRA und Anwendungsbereich
Das im Oktober 2024 verabschiedete Gesetz zielt darauf ab, Mindestsicherheitsanforderungen für digitale Produkte festzulegen, die auf dem EU-Markt verkauft werden. Diese Regeln gelten für Unternehmen unabhängig von ihrem geografischen Standort, sofern ihre Produkte europäische Verbraucher erreichen. Der Anwendungsbereich umfasst direkt separat verkaufte Halbleiter sowie IP-Anbieter, die möglicherweise dazu verpflichtet werden, Ergebnisse von Sicherheitsbewertungen vorzulegen und Annahmen für die sichere Verwendung ihrer Komponenten zu erläutern.
Die Liste der betroffenen Produkte umfasst eine breite Palette technischer Erzeugnisse, darunter:
- Mikroprozessoren
- Mikrocontroller
- Anwendungsspezifische integrierte Schaltungen (ASICs)
- Field Programmable Gate Arrays (FPGAs)
Fristen und regulatorische Verpflichtungen
Die Umsetzung des Gesetzes erfolgt in festgelegten Phasen, die Druck auf die technischen Entwicklungspläne ausüben:
- September 2026: Beginn der obligatorischen Meldepflicht. Hersteller müssen bei der Entdeckung aktiv ausgenutzter Schwachstellen eine Frühwarnung abgeben, gefolgt von einem detaillierten Bericht über Korrekturmaßnahmen über eine einheitliche Meldeplattform.
- 11. Dezember 2027: Frist für die vollständige Einhaltung. Die Anforderungen an die technische Dokumentation und Konformitätsbewertung treten in Kraft, und das CE-Kennzeichen wird zur Grundvoraussetzung für das Inverkehrbringen von Produkten.
Warum ist diese Nachricht wichtig?
Diese Entwicklung stellt einen grundlegenden Wandel in der Verantwortung für Cybersicherheit entlang der Lieferkette dar. Anstatt die Last vollständig auf die Hersteller von Endgeräten abzuwälzen, verpflichtet das Gesetz Komponenten- und IP-Anbieter zur Bereitstellung konkreter Sicherheitsnachweise. Dies bedeutet, dass Chip-Designer nachweisen müssen, dass sensible Assets wie kryptografische Schlüssel und Debug-Zustände innerhalb des Designs selbst geschützt sind und nicht nur durch externe Software.
Vorbereitung und Überprüfung der Hardwaresicherheit
Als Reaktion auf diese Herausforderungen haben spezialisierte Unternehmen wie Arteris begonnen, Tools zur Unterstützung der Designer bei der Einhaltung der Vorschriften zu entwickeln, wie etwa den Hardware Readiness Guide und Verifizierungstools wie Radix. Diese Tools zielen darauf ab, Sicherheitsanforderungen in Regeln umzuwandeln, die während der Simulations- und Emulationsphasen getestet werden können, wodurch Schwachstellen im Design identifiziert werden können, bevor das Produkt die finale Fertigungsphase erreicht.