Cyber Resilience Act Beratung: Ihre Produkte CRA-konform machen

Grundsätzlich ja, der CRA erfasst Produkte mit digitalen Elementen, also Hardware und Software. Es gibt Ausnahmen, etwa für Produkte, die bereits eigenen Sektorregeln unterliegen. Wir prüfen das für Ihre Produkte.

Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die übrigen Anforderungen gelten ab 11. Dezember 2027.

Mit dem CRA Readiness Assessment. Es zeigt, welche Produkte betroffen sind, wo Ihr Entwicklungsprozess steht und welche Maßnahmen Sie bis Dezember 2027 umsetzen müssen. Für industrielle Komponenten decken IEC 62443‑4‑1 und 4‑2 viele CRA-Anforderungen ab, wo Sie dabei stehen, zeigt unsere IEC 62443 GAP-Analyse.

Hersteller müssen nach Artikel 13 für jedes Produkt eine Cybersicherheitsrisikobewertung erstellen, die grundlegenden Anforderungen aus Anhang I umsetzen und Schwachstellen über den gesamten Supportzeitraum behandeln. Dazu kommen technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung. Wir verankern diese Pflichten in Ihrem Entwicklungsprozess, vom Threat Modeling über Sicherheitskonzepte bis zu Code Audits und Pentests, damit die Nachweise laufend im Projekt entstehen und nicht erst kurz vor dem Stichtag.

Teilweise. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die Anforderungen des CRA nur erfüllen, wenn sie danach wesentlich geändert werden. Die Meldepflichten nach Artikel 14 gelten dagegen auch für diese Bestandsprodukte. Wir klären mit Ihnen, welche Releases als wesentliche Änderung zählen, und richten Ihre Produkt-Roadmap so aus, dass neue Versionen rechtzeitig die Anforderungen erfüllen.

Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden Sie über die zentrale Meldeplattform an das zuständige CSIRT und die ENISA: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur bzw. einen Monat nach der Vorfallsmeldung. Dafür brauchen Sie eine Kontaktstelle für Schwachstellenmeldungen, klare Zuständigkeiten und einen geübten Ablauf. Diesen Prozess richten wir mit Ihrem Entwicklungs- und Supportteam ein.

Sie legen einen Supportzeitraum fest, der der erwarteten Nutzungsdauer entspricht und grundsätzlich mindestens fünf Jahre beträgt. Kürzer darf er nur sein, wenn das Produkt erwartbar kürzer genutzt wird. In dieser Zeit behandeln Sie Schwachstellen und stellen Sicherheitsupdates in der Regel kostenlos bereit. Jedes Update muss nach Veröffentlichung mindestens zehn Jahre oder für den restlichen Supportzeitraum verfügbar bleiben, je nachdem, was länger ist. Wir richten Update-Prozess und Release-Planung darauf aus.

Artikel 64 sieht Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, wenn Hersteller die grundlegenden Anforderungen aus Anhang I oder ihre Pflichten aus Artikel 13 und 14 verletzen, je nachdem, welcher Betrag höher ist. Für andere Verstöße drohen bis zu 10 Mio. Euro oder 2 %, für falsche oder unvollständige Angaben gegenüber Behörden bis zu 5 Mio. Euro oder 1 %. Zusätzlich können Behörden Produkte vom Markt nehmen lassen.