Sicherheit und CRA: Das gilt für Kantinensoftware

Kantinensoftware verarbeitet Namen, Bestellungen und Abrechnungsdaten – also genau die Art von Daten, die gut geschützt sein müssen. Neben der DSGVO rückt deshalb eine zweite Regelung in den Blick: der Cyber Resilience Act der EU. Dieser Beitrag erklärt, was dahintersteckt und woran du eine sichere Lösung erkennst.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen. Sie gilt für Hersteller, Importeure und Händler von Software und vernetzter Hardware. Die Verordnung ist bereits in Kraft; die Pflichten greifen schrittweise. Seit September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen, die weiteren Anforderungen folgen bis Ende 2027.

Die wichtigsten Anforderungen

• Security by Design: Sicherheit wird von Anfang an mitgedacht, nicht nachträglich angeflanscht.
• Sichere Voreinstellungen: Produkte werden mit einer sicheren Grundkonfiguration ausgeliefert.
• Schwachstellenmanagement: Schwachstellen werden laufend beobachtet, bewertet und zeitnah behoben.
• Sicherheitsupdates: Updates werden über einen langen Zeitraum bereitgestellt – ohne Zusatzaufwand für Anwender.
• Dokumentation und Transparenz: Technische Maßnahmen sind dokumentiert und nachvollziehbar.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen gemeldet werden.

Was bedeutet das für deine Kantine?

Als Betrieb musst du die Verordnung nicht selbst umsetzen – die Pflichten liegen beim Hersteller. Du solltest aber darauf achten, dass dein Anbieter sie beachtet. Ob und in welchem Umfang ein einzelnes Produkt unter den CRA fällt, hängt vom Einzelfall ab. Eine Software, die nicht gepflegt wird, ist ein Risiko für Mitarbeiterdaten und für deinen Betrieb.

So richtet sich lunchlist^® aus

• Hosting in Deutschland: Die Daten liegen in deutschen Rechenzentren.
• Zwei-Faktor-Authentifizierung: Admin-Zugänge lassen sich zusätzlich schützen.
• Rollen und Rechte: Jeder sieht nur, was er für seine Aufgabe braucht.
• Penetrationstests: Die Plattform wird regelmäßig von externen Spezialisten geprüft.
• Schwachstellenmanagement: Schwachstellen werden laufend beobachtet und zeitnah behoben.
• Automatische Updates: Sicherheitsupdates spielen wir zentral ein – ohne Aufwand für dich.
• Mehrfache Backups: Daten sind im Bedarfsfall wiederherstellbar.
• Verschlüsselte Übertragung: App, Browser und Server kommunizieren ausschließlich über HTTPS.

Checkliste: Woran du einen sicheren Anbieter erkennst

• Der Anbieter nennt Serverstandort und Hoster offen.
• Admin-Zugänge können per Zwei-Faktor-Authentifizierung geschützt werden.
• Es gibt ein nachvollziehbares Rollen- und Rechtekonzept.
• Sicherheitsupdates werden regelmäßig und automatisch eingespielt.
• Penetrationstests werden durchgeführt.
• Der Anbieter kennt CRA und DSGVO und kann seine Maßnahmen belegen.

Mehr zu unseren Maßnahmen findest du auf der Seite Sicherheit & Datenschutz. Zum Thema Datenschutz empfehlen wir außerdem den Beitrag DSGVO in der Kantine. Fragen beantworten wir gern im Online-Termin.