Was der CRA verlangt
Der Cyber Resilience Act gilt für nahezu alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden, von der vernetzten Hardware-Komponente bis zur Business-Software. Die Verordnung ist seit dem 11. Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. Wer jetzt entwickelt, entwickelt bereits für den CRA.
Die Kernpflichten für Hersteller:
- Cybersicherheit über den gesamten Produktlebenszyklus, von der Risikobewertung im Design bis zu Sicherheitsupdates über den Supportzeitraum.
- Schwachstellenmanagement, inklusive einer Software Bill of Materials (SBOM), Prozessen für die koordinierte Offenlegung und zeitnahen Patches.
- Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
- Konformitätsbewertung und CE-Kennzeichnung: Ohne nachgewiesene Cybersicherheit kein Marktzugang.
Das Konformitätsbewertungsverfahren richtet sich nach der Produktklasse: Für die meisten Produkte genügt eine Selbstbewertung (interne Kontrolle). Für wichtige Produkte (Anhang III, etwa Passwortmanager, Firewalls oder Router) und kritische Produkte (Anhang IV) gelten strengere Verfahren, teils unter Einbindung einer benannten Stelle. Wer harmonisierte Normen anwendet, kann sich auf die Konformitätsvermutung stützen. Welche Kategorie für Ihr Produkt gilt, klären wir mit Ihnen im Erstgespräch.
Wie wir unterstützen
- Produkt-Penetrationstests für Hardware, Embedded-Systeme, Apps und Backends, als Sicherheitsnachweis für Ihre technische Dokumentation.
- Architektur-Reviews und Threat Modeling für die geforderte Risikobewertung im Design.
- Secure Development: Wir verankern den sicheren Entwicklungsprozess in Ihren Teams, von Richtlinien bis zu Schulungen.
- Coordinated Vulnerability Disclosure: Den geforderten Umgang mit gemeldeten Schwachstellen kennen wir von beiden Seiten. Wir melden selbst regelmäßig Schwachstellen an Hersteller und helfen Ihnen, einen Prozess aufzubauen, der funktioniert.
Hinweis für Medizinprodukte-Hersteller: Medizinprodukte fallen nicht unter den CRA, sondern unter die MDR. Die passenden Nachweise finden Sie auf unserer Seite Medizintechnik & Software als Medizinprodukt.