Sicherer weltweiter Marktzugang mit Cybersicherheitskonformität

ETSI EN 303 645 Konformität

Das Europäische Institut für Telekommunikationsnormen (ETSI) veröffentlichte im Jahr 2020 den ETSI EN 303 645-Standard, um den zunehmenden Sicherheitsbedenken im Zusammenhang mit dem Internet der Dinge (IoT) entgegenzuwirken. Die Norm definiert Sicherheitsanforderungen für die Gestaltung, Entwicklung und das Lebenszyklusmanagement von internetverbundenen IoT-Geräten für Verbraucher. Dazu gehören Geräte für den persönlichen Gebrauch und den Einsatz im Haushalt, wie etwa Smart-Home-Geräte, tragbare Technologien und Systeme zur Heimautomatisierung.
Es ist wichtig zu beachten, dass ETSI EN 303 645 nicht alle IoT-Geräte abdeckt. Der Standard beschränkt sich ausdrücklich auf verbraucherorientierte Produkte. IoT-Geräte in Bereichen wie Gesundheitswesen, Fertigung oder industrielle Anwendungen fallen nicht unter diese Vorschrift, da diese Sektoren häufig über eigene, branchenspezifische Sicherheitsanforderungen und regulatorische Rahmenbedingungen verfügen, die im ETSI-Standard nicht berücksichtigt werden.

Granite River Labs (GRL) bietet End-to-End Sicherheitstests und Konformitätszertifizierungen an, um Herstellern, Entwicklern und IoT-Anbietern dabei zu helfen, die Anforderungen der ETSI EN 303 645 zu erfüllen und den globalen Marktzugang zu gewährleisten.

Lernen Sie wie Sie ETSI EN 303 645-konform werden können

Was ist ETSI EN 303 645?

• Der EU-Verordnung zur Cyberresilienz 
  (Cyber Resilience Act, CRA)
• Dem britischen PSTI-Gesetz (Product Security and Telecommunications Infrastructure Act)
• Globalen Regulierungsrahmen für IoT-Sicherheit

• Konformitäts- und Zertifizierungsunterstützung
  • Vorab-Konformitätsbewertung – Identifizierung von Lücken in der ETSI EN 303 645-Konformität
  • Technische Dokumentation & Testberichte – Vorbereitung auf regulatorische Genehmigungen
  • Zertifizierungsunterstützung – Effizientes Erfüllen der EU-Anforderungen

• Penetrationstests und Risikobewertung
  • Belastungstests – Bewertung der Gerätesicherheit gegen Cyberbedrohungen
  • Schwachstellenanalyse – Erkennung von Schwächen in Firmware, APIs und Netzwerkprotokollen

• Testen einer breiten Palette von IoT-Produkten
  • Smart Home und Konsumenten-IoT – Kameras, Türklingeln, Smart Speaker, Wearables
  • Industrie und Unternehmens-IoT – Smart Meter, Fabrikautomatisierung, vernetzte Medizingeräte
  • Netzwerkfähige Kommunikationsgeräte – Router, Gateways, Smart Hubs

EU Cyber Resilience Act (CRA)

Die Cyberresilienz-Verordnung der Europäischen Union legt strenge Cybersicherheitsanforderungen fest, die die Hersteller und Einzelhändler erfüllen müssen, bevor ihre Hard- und Softwareprodukte auf dem EU-Markt verkauft werden dürfen. Diese Regelung, die ab Dezember 2027 umgesetzt wird, gewährleistet, dass alle digitalen Produkte die aktuellen Sicherheitsstandards erfüllen und so zur allgemeinen Sicherheit der digitalen Infrastruktur in der EU beiträgt.

Die CRA betrifft alle Produkte mit Verbindung zu anderen Geräten oder Netzwerken – von alltäglichen Consumer-Geräten bis hin zu komplexen industriellen Systemen. Jedoch sind Open-Source-Software und Dienstleistungen, die bereits von anderen Regulierungen abgedeckt sind, ausgenommen.

Durch die Verpflichtung zur Einhaltung von Cybersicherheitsstandards zielt die CRA darauf ab, die mit Cyberbedrohungen verbundenen Risiken wie Datenpannen, Malware-Infektionen und unbefugten Zugriff zu verringern. Produkte, die die Anforderungen der CRA erfolgreich erfüllen, erhalten die CE-Kennzeichnung, die die Konformität mit den EU-Vorgaben zu Sicherheit, Gesundheit und Umweltschutz bescheinigt.

Erhalten Sie die EU-CRA-Kennzeichnung für Ihre Produkte

Was ist der EU Cyber Resilience Act (CRA)?

Die CRA gilt für:

• Digitale Verbraucher- und Industrieprodukte – Jedes Gerät oder jede Software, die mit einem Netzwerk verbunden ist
  
  • IoT- & Smart-Geräte – Wearables, Smart-Home-Geräte und vernetzte Haushaltsgeräte
  • Unternehmens- & Kritische Infrastruktursysteme – Cloud-Software, industrielle Automatisierung und Kommunikationseinrichtungen

• Ausgenommen: Open-Source-Software und Produkte, die bereits durch bestehende EU-Cybersicherheitsgesetze reguliert sind.

CRA-Konformitäts- und Cybersicherheitstestdienste von GRL

• Risikobewertung und Schwachstellenanalyse in der Cybersicherheit
  • Identifikation von Cyberbedrohungen, Softwareschwachstellen und Netzwerkrisiken
  • Sicherstellung von Datenspeicherung, -übertragung und Systemintegrität
• Penetrationstests und Sicherheitsvalidierung
  
  • Prüfung der Widerstandsfähigkeit gegen Cyberangriffe, Malware und unbefugten Zugriff
  • Bewertung der Sicherheit von Firmware, Software und APIs
• Konformität und Vorbereitung der CE-Kennzeichnung
  • Vortests zur Identifikation von Lücken in der CRA-Konformität
  • Technische Dokumentation & Prüfberichte für die behördliche Einreichung
  • Unterstützung bei der Genehmigung der CE-Kennzeichnung
• Sichere Softwareentwicklung und Lebenszyklusmanagement
  • Regelmäßige Softwareupdates, Sicherheitspatches und Vorfallreaktionspläne
  • Implementierung starker Authentifizierungs- & Zugriffskontrollmechanismen

UK’s Product Security and Telecommunications Infrastructure Act 2022 (PSTIA)

Der PSTIA 2022 stärkt die Sicherheit britischer Verbraucherprodukte („Smart“-Produkte), indem starke Passwörter und die Bereitstellung von Sicherheitsinformationen für Kunden vorgeschrieben werden. Während diese Anforderungen zum Zeitpunkt der Erstellung nur für Hersteller gelten, gehen Experten davon aus, dass sie künftig auch auf Importeure und Distributoren ausgeweitet werden könnten. Akteure der Lieferkette sollten daher die PSTIA-Konformität priorisieren, um die hohen Kosten einer Nichteinhaltung zu vermeiden.

Das britische Sicherheitsregime für vernetzbare Verbraucherprodukte ist seit dem 29. April 2024 in Kraft. Seit Inkrafttreten verlangt die „Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023“, dass Hersteller britischer vernetzbarer Verbraucherprodukte (oder „Smart“-Produkte) die relevanten Verpflichtungen aus dem Gesetz einhalten, darunter folgende Mindestanforderungen an die Sicherheit:

1. Diese Verordnung kann zitiert werden als „Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023“.
   
2. Diese Verordnung tritt am 29. April 2024 in Kraft und gilt für England und Wales, Schottland und Nordirland.
   

Die Durchsetzung dieser Vorschriften unterliegt der zuständigen Aufsicht des Office for Product Safety and Standards (OPSS), das unter einem Memorandum of Understanding (MoU) mit dem Department for Science, Innovation and Technology (DSIT) zusammenarbeitet und so die strikte Einhaltung des PSTI-Gesetzes 2022 und der Verordnungen von 2023 gewährleistet.

• Wer steht im Fokus? Hersteller, Importeure und Händler relevanter vernetzbarer Produkte – unsere wirtschaftlichen Akteure, die sich für Ihre Sicherheit und Ihren Schutz einsetzen.
• Was genau sind „relevante vernetzbare Produkte“? Es handelt sich um internet- oder netzwerkfähige Produkte, die das Leben verbessern sollen, ausgenommen sogenannte „ausgenommene Produkte“.

Anhang 1 der Verordnung von 2023 enthält die spezifischen Anforderungen, die in Bezug auf relevante vernetzbare Produkte einzuhalten sind:

1. Passwörter: Müssen pro Produkt eindeutig sein oder vom Benutzer definierbar sein. Entsprechend der Bestimmung 5.1-1 von ETSI EN 303 645 und, falls relevant, Bestimmung 5.1-2.

2. Information zur Meldung von Sicherheitsproblemen: Der Hersteller muss Informationen bereitstellen, wie Sicherheitsprobleme in Bezug auf sein Produkt gemeldet werden können. Entsprechende Bestimmung 5.2-1.

3. Information zur Mindestdauer für Sicherheitsupdates: Diese Information muss klar, zugänglich und transparent veröffentlicht und dem Verbraucher bereitgestellt werden. Entsprechende Bestimmung 5.3-13.

National Centre for Communication Security (NCCS)

Das National Centre for Communication Security (NCCS), unter dem Department of Telecommunications (DoT) der indischen Regierung, ist verantwortlich für die Sicherstellung der Cybersicherheit der kritischen Kommunikationsinfrastruktur Indiens durch Sicherheitszertifizierungen und Evaluierungen von Telekommunikationsausrüstung. 

Das NCCS hat die Indian Telecom Security Assurance Requirements (ITSAR) entwickelt – Sicherheitsrichtlinien, die für alle Telekommunikationsanbieter und Importeure von Telekommunikationsinfrastruktur in Indien gelten.

Unter dem Rahmen des „Mandatory Testing and Certification of Telecommunication Equipment (MTCTE)“ deckt ITSAR Bereiche wie Netzwerksicherheit, Datenschutz und rechtmäßige Überwachung ab. Die Einhaltung der ITSAR-Richtlinien sichert nicht nur die Telekommunikationsinfrastruktur Indiens, sondern verschafft Herstellern von Telekommunikationsausrüstung auch Wettbewerbsvorteile bei Ausschreibungen öffentlicher und privater Einrichtungen in Indien.

Als vom NCCS benanntes Telecom Security Testing Laboratory (TSTL) bietet GRL Cybersicherheitstests gemäß ITSAR und anderen nationalen und internationalen Standards für folgende Geräte an: 

• IP-Router (Standalone, Cloud-verwaltet, virtuelle Router)
• Wi-Fi-Endkundengeräte (CPEs)
• Standalone oder Cloud-verwaltete Access Points (APs)
• Optical Line Terminals (OLT) und Optical Network Terminals (ONT)
• 5G/LTE Core- & Funknetzkomponenten

Die Erlangung der NCCS-Zertifizierung ist Voraussetzung für die MTCTE-Zertifizierung von Telekommunikationsgeräten, welche wiederum verpflichtend ist, um den indischen Markt zu betreten.

Erfahren Sie mehr über NCCS

BIS CCTV-Cybersicherheit

Das Ministry of Electronics & Information Technology (MeitY) hat ein „Compulsory Registration Scheme“ (CRS) implementiert, das alle Hersteller von Unterhaltungselektronik verpflichtet, ihre Produkte beim Bureau of Indian Standards (BIS)zu registrieren. Diese Registrierung kann nur erfolgen, nachdem die Produkte in BIS-anerkannten Laboren getestet wurden.

Neben elektrischen Sicherheitsstandards müssen alle CCTV-Kameras auch die in den „Essential Requirements (ER01)“ festgelegten Cybersicherheitsanforderungen erfüllen, die ab dem 9. April 2025 in Kraft treten.

Die Sicherung einer CCTV-Kamera ist entscheidend, um wichtige Informationen zu schützen und den ordnungsgemäßen Betrieb des Systems zu gewährleisten. Wichtige Testbereiche umfassen freigegebene Netzwerkdienste, Protokolle der Gerätekommunikation, physischen Zugriff auf  UART, JTAG, SWD des Geräts usw., die Fähigkeit, Speicher und Firmware zu extrahieren, die Sicherheit des Firmware-Update-Prozesses sowie die Speicherung und Verschlüsselung von Daten. OEMs sollten die Mindestanforderungen der Sicherheit in CCTV-Kameras sicherstellen, wie zum Beispiel –

• Zugangskontrolle – Rollenbasierte Authentifizierung für Administratoren, Betreiber und Benutzer
• Netzwerksicherheit – Ende-zu-Ende-Verschlüsselung für Datenübertragung und -speicherung
• Softwaresicherheit – Regelmäßige Firmware- und Software-Updates zur Behebung von Schwachstellen. Deaktivierung ungenutzter Funktionen und Einschränkung unnötiger Netzwerkdienste. Durchsetzung starker Passwortregeln inklusive 
  Multi-Faktor-Authentifizierung (MFA)
• Penetrationstests & Widerstandsfähigkeit gegen Cyberbedrohungen – Regelmäßige Penetrationstests zur Erkennung und Behebung von Schwachstellen. Sicherstellung der Widerstandsfähigkeit gegenüber Cyberangriffen, Malware und unbefugtem Zugriff.

GRL India ist von BIS autorisiert, Cybersicherheitstests für CCTV-Kameras im Rahmen des Compulsory Registration Scheme (CRS) durchzuführen und unterstützt Hersteller bei der Vorzertifizierung (Pre-Compliance) und Prüfung der Sicherheitsparameter gemäß den in ER01 festgelegten Anforderungen unter folgenden Kategorien:

1. Sicherheitsparameter auf Hardware-Ebene
2. Software/Firmware
3. Sichere Prozesskonformität
4. Sicherheitskonformität in der Produktentwicklungsphase

Erfahren Sie, wie Sie die BIS-Konformität Ihrer CCTV-Kameras sicherstellen können.

Vulnerability Assessment & Penetration Testing (VAPT)

VAPT ist entscheidend für die Erkennung, Analyse und Minderung von Sicherheitsrisiken bei vernetzten Geräten – einschließlich Telekommunikation, IoT und Drohnen. Der NIST SP 800-115 bietet eine strukturierte Methodik für Sicherheitstests, um robuste Cyberresilienz und regulatorische Konformität zu gewährleisten.

Unsere Dienstleistungen beinhalten

• Vulnerability Assessment (VA) – Identifikation von Sicherheitslücken
  • Automatisierte und manuelle Scans auf Schwachstellen in Hardware, Firmware und Software
  • Bewertung von Verschlüsselung, Authentifizierung und Mechanismen der Zugriffskontrolle
  • Risikobewertung und Priorisierung auf Basis der Auswirkungsstärke

• Penetration Testing (PT) – Simulation realer Angriffe
  • Testmethoden: Black-Box, Grey-Box und White-Box
  • Simulation von Cyberangriffen, Malware-Injektion und unbefugtem Zugriff
  • Prüfung der Firmware-Integrität, API-Sicherheit und Netzwerkresilienz

Application Security Testing (AST)

Moderne Anwendungen – ob Web, mobil, IoT, Telekommunikationsnetzwerke oder eingebettete Systeme – sind ein primäres Ziel für Cyberangriffe. Schwache Authentifizierung, unsichere APIs und ungepatchte Schwachstellen können Systeme für Sicherheitsverletzungen, Datenlecks und Betriebsunterbrechungen anfällig machen.

• Unsere Testangbote
• Sicherheitstests für Web- und mobile Anwendungen
• Sicherheit von IoT- und Embedded-System-Anwendungen
• Sicherheit von API- und Cloud-Anwendungen
• Penetrationstests und Exploit-Simulation
• Sichere Softwareentwicklung und DevSecOps

Granite River Labs (GRL) ist ein nach NABL (ISO/IEC 17025) akkreditiertes Labor, das Hersteller, Softwareentwickler und Dienstleister durch umfassende Sicherheitstests gemäß OWASP Top 10 und CWE 25 bei der Stärkung ihrer Anwendungen unterstützt. Unsere umfassende Sicherheitsbewertung stellt sicher, dass Anwendungen in jeder Phase – von der Entwicklung bis zur Bereitstellung – gegen Cyberbedrohungen resilient sind.

CIS-Benchmark-Konformitätstests

Netzwerkinfrastrukturen sind ein zentrales Ziel für Cyberbedrohungen, weshalb die Härtung der Sicherheit oberste Priorität für Router, Switches, Firewalls, VPN-Gateways und andere Netzwerkgeräte hat. Die Benchmarks des Center for Internet Security (CIS) bieten anerkannte Sicherheitskonfigurationen zur Reduzierung von Schwachstellen, Verhinderung unbefugten Zugriffs und Verbesserung der Systemresilienz.

Unsere CIS-Benchmark-Konformitätsprüfungen

• Validierung der Sicherheitsbasis-Konfiguration
• Netzwerkhärtung & Tests zur sicheren Konfiguration
• Automatisierte Konformitätsprüfungen & Berichterstattung
• Penetrationstests & Schwachstellenanalysen