Cyber Resilience Act (CRA)

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt für Hersteller von Produkten mit digitalen Elementen. Seit dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: die Frühwarnung binnen 24 Stunden, die Meldung binnen 72 Stunden. Ab dem 11. Dezember 2027 gelten die übrigen Pflichten, darunter die Risikobeurteilung, die Software-Stückliste (SBOM) und die technische Dokumentation.

Wir unterstützen Hersteller in drei Schritten. Jeder Schritt lässt sich einzeln beauftragen.

Meldeübung

Die Meldeübung prüft, ob die Meldekette im Ernstfall funktioniert. Gemeinsam mit Ihrem Team spielen wir einen erfundenen, auf Ihr Produkt zugeschnittenen Fall durch – von der ersten Meldung eines Kunden bis zur Frühwarnung und zur 72-Stunden-Meldung.

Geprüft wird unter anderem:

  • wer bewertet, ob ein Ereignis meldepflichtig ist, und wer die Meldung freigibt – auch am Wochenende,
  • ob der Zugang zur Meldeplattform eingerichtet ist,
  • ob sich feststellen lässt, welche Produkte und Softwarestände betroffen sind und in welche Länder sie geliefert wurden,
  • ob eine Vorlage für die Information der Nutzer vorliegt.

Die Übung findet in der Regel an einem Tag statt. Ergebnis ist ein kurzer Bericht mit den festgestellten Lücken und den Maßnahmen, die sie schließen.

Nachweis-Stichprobe

Die Stichprobe zeigt, ob die vorhandenen Nachweise einer Prüfung standhalten. Für ein ausgewähltes Produkt verfolgen wir zwei Ketten: von einem Risiko über Sicherheitsanforderung, Design und Test bis zur Nutzerinformation sowie von einer ausgelieferten Softwareversion über ihre SBOM bis zur Überwachung auf neue Schwachstellen. Ergebnis ist eine Liste der Lücken mit Maßnahmen und Prioritäten.

Die Stichprobe ersetzt keine Konformitätsbewertung durch eine notifizierte Stelle.

Prozessaufbau

Auf Grundlage dieser Ergebnisse unterstützen wir beim Aufbau eines schlanken Entwicklungsprozesses für System und Software: Risikobeurteilung, Erzeugung der SBOM im Build, Konfigurations- und Releasemanagement sowie Schwachstellenbehandlung und Meldeprozess. Der Prozess setzt auf der bestehenden Entwicklung auf.

Förderung

Für kleine und mittlere Unternehmen kann der Prozessaufbau über das EU-Programm SECURE gefördert werden (50 %, bis 30.000 €; Antragsfrist der laufenden Ausschreibung: 11. Dezember 2026). Den Antrag stellt das Unternehmen; wir unterstützen bei der Vorbereitung des Vorhabens.

Abgrenzung

Unsere Unterstützung betrifft Technik, Prozesse und Nachweise. Eine Rechtsberatung ist damit nicht verbunden.

Hintergrund

Die Themen dieser Seite behandeln wir ausführlicher in einer Artikelreihe auf projectcrunch.de:

Kontakt

Ein erstes Gespräch ist kostenfrei und unverbindlich. Schreiben Sie bitte an info_at_unitedmentors.com mit dem Betreff „CRA“ und einer kurzen Beschreibung Ihres Produkts. Wir antworten innerhalb eines Werktags, um einen Termin abzustimmen.