Umsetzung von OT-Security-Prozessen deutscher Unternehmen im Kontext des Cyber Resilience Act (CRA) in Zusammenarbeit mit dem CERT@VDE

Thesis typeMaster Thesis
SupervisorProf. Dr.-Ing. Thomas Schreck
Starting dateAs soon as possible
SkillsLaTeX, IT-Security
LanguageEnglish, German
Industry cooperationnot possible
Publish date2025-11-17

Problem and context

Mit dem Inkrafttreten des Cyber Resilience Act (CRA) der Europäischen Union Ende 2027 werden Hersteller und Inverkehrbringer digitaler Produkte verpflichtet, über den gesamten Produktlebenszyklus hinweg ein durchgängiges Schwachstellenmanagement zu betreiben – beginnend mit der Markteinführung bis zum Ende der Produktunterstützung. Dabei ist Meldepflicht für Schwachstellen und Sicherheitsvorfälle bereits für den 11.09.2026 verpflichtend. Der CRA verfolgt das Ziel, ein einheitliches und hohes Cybersecurity-Niveau in der europäischen Digitalwirtschaft zu schaffen. Dadurch sollen insbesondere kritische Infrastrukturen (KRITIS) und Operational-Tech- nology-(OT)-Systeme in Industrie und Medizintechnik besser gegen Cyberangriffe geschützt werden. In Deutschland konkretisiert die Technische Richtlinie BSI TR-03183-3 “Coordinated Vulnerability Disclosure (CVD) Processes” die Anforderungen an den sicheren Umgang mit Schwachstellen. Sie definiert insbesondere die organisatorischen und technischen Prozesse, die zwischen Herstellern, CERTs und CNAs (CVE Numbering Authorities) zur verantwortungsvollen Veröffentlichung von Sicherheitslücken eingehalten werden müssen. Das CERT@VDE als koordinierendes Produkt-CERT für Industrieautomation und embedded SW Systeme ist vom MITRE CVE-Programm als root CNA (CVE Numbering Authority) autorisiert. Es unterstützt insbeson- dere mittelständische Unternehmen bei der Einführung sicherer Schwachstellenmanagement-Prozesse, bei der Koordination von Sicherheitsmeldungen sowie bei der Umsetzung der CRA- und BSI-Anforderungen.

Goals

Wie können OT-Security-Prozesse deutscher Industrieunternehmen in Zusammenarbeit mit dem CERT@VDE als CNA und koordinierndes PSIRT effizient gestaltet und implementiert werden, um die Anforderungen des Cyber Resilience Act (CRA) effizient und wirtschaftlich zu erfüllen?

Im Rahmen dieser Masterarbeit sollen:

Das Ergebnis der Masterarbeit ist ein praxisorientiertes Handbuch, das die Anforderungen des CRA, der harmoniserten europöischen Normen (HEN) und der BSI TR-03183-3 zusammenföhrt und folgende Aspekte im Detail beschreibt:

Das Handbuch soll als Leitfaden für deutsche Unternehmen dienen, die ihre internen Prozesse zusammen mit dem CERT@VDE an die Anforderungen des CRA und die Vorgaben des BSI anpassen müssen.

Literature