CRA

Was ist der Cyber Resilience Act (CRA)?

Der EU Cyber Resilience Act (Verordnung (EU) 2024/2847, im deutschen Sprachraum auch als Cyberresilienz-Verordnung bezeichnet) ist das erste horizontale Cybersicherheitsregelwerk für Produkte mit digitalen Elementen im EU-Binnenmarkt. Er verpflichtet Hersteller, Importeure und Händler, Cybersicherheit über den gesamten Produktlebenszyklus hinweg sicherzustellen: von Design und Entwicklung über Schwachstellenmanagement und Sicherheitsupdates bis zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle. Anders als die NIS2-Richtlinie ist der CRA als unmittelbar geltende Verordnung ausgestaltet und muss nicht in nationales Recht umgesetzt werden.

Der CRA in der EU: Inkrafttreten und Fristen

Die Verordnung wurde am 20. November 2024 im Amtsblatt der EU veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten. Die wesentlichen Pflichten gelten nicht sofort, sondern in zwei gestaffelten Anwendungszeitpunkten:

• 11. September 2026: Meldepflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf ihre Produkte über die zentrale Meldeplattform der ENISA an die zuständigen CSIRTs melden.
• 11. Dezember 2027: vollständige Anwendbarkeit: Sämtliche Anforderungen aus Anhang I (grundlegende Cybersicherheitsanforderungen) sowie die Pflichten zur Konformitätsbewertung und CE-Kennzeichnung gelten verbindlich. Ab diesem Datum dürfen Produkte mit digitalen Elementen nur noch dann auf dem EU-Markt in Verkehr gebracht werden, wenn sie die CRA-Anforderungen erfüllen.

Das BSI begleitet die Umsetzung in Deutschland und stellt mit der Technischen Richtlinie BSI TR-03183 konkretisierende Vorgaben zu allgemeinen Anforderungen, zur Software Bill of Materials (SBOM) und zu Verfahren der Schwachstellenmeldung bereit ( BSI:CyberResilienceAct ).

Bei SCHUTZWERK verstehen wir die transformative Wirkung des CRA und die damit verbundenen Herausforderungen für die Produktentwicklung und die Integration benötigter Sicherheitspraktiken. Unser Team von Sicherheitsexperten bietet umfassende Unterstützung bei der Umsetzung der CRA-Anforderungen, von initialen Bedrohungs-undRisikoanalysen bis zur laufenden Aufrechterhaltung der Konformität. Wir helfen Herstellern und Händlern nicht nur dabei, die CRA-Anforderungen zu erfüllen, sondern auch robuste Sicherheitspraktiken aufzubauen, die auch zielgerichtetenundspezialisiertenAngriffen standhalten und damit die Produktqualität und das Vertrauen der Nutzer stärken.

Umfassendes CRA-Framework

Der Cyber Resilience Act etabliert ein umfassendes Framework für Produktsicherheit, das sich auf mehrere Schlüsselbereiche konzentriert, die Hersteller und Händler adressieren müssen, um die Konformität von Produkten zu gewährleisten und ein einheitliches Sicherheitsniveau für zugelassene Produkte zu etablieren. Dieses Framework stellt einen bedeutenden Fortschritt in der Produktsicherheitsregulierung dar und verpflichtet Organisationen zur Implementierung robuster Sicherheitsmaßnahmen über den gesamten Produktlebenszyklus.

Security by Design und Default

Der CRA schreibt vor, dass Cybersicherheit von den frühesten Phasen der Produktgestaltung und -entwicklung an berücksichtigt werden muss. Wir unterstützen Organisationen hierbei durch initiale Bedrohungs-undRisikoanalysen sowie die Beratung hinsichtlich der Definition von angemessenen Sicherheitsanforderungen, der Gestaltung sicherer Architekturen und der Implementierung angemessener Sicherheitsmechanismen. Unser Ansatz stellt sicher, dass Sicherheitsmechanismen von Grund auf in Produkte integriert werden, anstatt nachträglich hinzugefügt zu werden.

Mit unserem dedizierten Embedded Security Team und unserem spezialisierten Labor für IoT- und Embedded-Systeme bieten wir Herstellern umfassende Möglichkeiten zur tiefgehenden Hardware- und Firmware-Sicherheitsanalyse. Diese spezialisierte Expertise ist besonders wertvoll für die CRA-Compliance, da wir fortgeschrittene Testmethoden wie Hardware-Penetrationstests, Firmware-Analyse, Side-Channel-Analyse und Reverse Engineering durchführen können – entscheidend für die Identifizierung von Sicherheitslücken, die bei Standard-Softwaretests möglicherweise übersehen werden.

Schwachstellenmanagement

Effektives Schwachstellenmanagement ist ein Eckpfeiler der CRA-Compliance. Wir unterstützen Organisationen bei der Etablierung umfassender Schwachstellenmanagement-Prozesse, einschließlich Schwachstellenbewertung, Priorisierung und Behebungsverfahren. Unsere Expertise hilft sicherzustellen, dass Sicherheitsprobleme über den gesamten Produktlebenszyklus hinweg identifiziert und adressiert werden.

Incident Response und Meldepflichten

Der CRA verlangt von Herstellern die Implementierung robuster Incident-Response-Fähigkeiten und die Erfüllung spezifischer Meldepflichten. Wir beraten Organisationen bei der Entwicklung effizienter Incident-Management-Prozesse, einschließlich Erkennungsmechanismen, Response-Verfahren und Meldeprotokollen, die die regulatorischen Anforderungen erfüllen und gleichzeitig die Geschäftsauswirkungen minimieren.

Supply Chain Security

Die Sicherheit der Lieferkette ist unter dem CRA von entscheidender Bedeutung. Wir beraten Organisationen hinsichtlich der Implementierung sicherer Lieferkettenpraktiken, einschließlich Lieferantenbewertung, Komponentenverifizierung und sicherer Integrationsprozesse. Unser Ansatz hilft, die Integrität und Sicherheit aller in digitalen Produkten verwendeten Komponenten zu gewährleisten.

Dokumentation und Compliance

Der CRA führt spezifische Dokumentationsanforderungen zum Nachweis der Konformität ein. Wir unterstützen Organisationen bei der Entwicklung und Pflege der erforderlichen Dokumentation, einschließlich technischer Unterlagen, Konformitätsbewertungen und Benutzerdokumentation. Unsere Expertise hilft sicherzustellen, dass alle Anforderungen effizient und vollständig erfüllt werden.

Geltungsbereich: Produkte mit digitalen Elementen und Produktklassen

Der CRA gilt für Produkte mit digitalen Elementen (Software und Hardware), deren bestimmungsgemäße Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz umfasst. Geschätzt rund 90 % aller betroffenen Produkte fallen in die Standardkategorie mit Konformitätsbewertung durch den Hersteller selbst; für sicherheitskritischere Produkte sieht der CRA strengere Verfahren vor:

Anhang III des CRA listet die Important-Class-I- und Class-II-Produkte abschließend; Anhang IV benennt die kritischen Produkte. Wo ein Produkt keiner dieser Klassen zugeordnet ist, gilt es als Standardkategorie. Die Einordnung wird durch delegierte Rechtsakte der Kommission fortgeschrieben.

Vom Anwendungsbereich ausgenommen sind insbesondere Produkte, die bereits einer gleichwertigen sektoralen Regulierung unterliegen: Medizinprodukte (Verordnung (EU) 2017/745 und 2017/746), Kraftfahrzeuge im typgenehmigungspflichtigen Bereich (UNECE R155 i. V. m. Verordnung (EU) 2019/2144), Luftfahrtprodukte (Verordnung (EU) 2018/1139), Schiffsausrüstung (Richtlinie 2014/90/EU) sowie Produkte, die ausschließlich für Verteidigungs- oder Nachrichtendienstzwecke oder zur Verarbeitung von Verschlusssachen entwickelt wurden. Reine Software-as-a-Service-Angebote ohne zugehöriges Produkt mit digitalen Elementen fallen ebenfalls nicht in den Geltungsbereich.

Rechtliches Gutachten zur CRA-Betroffenheit und Produktklassifizierung durch Fachanwalt

Wenn Sie über die technische Einordnung hinaus eine belastbare Einschätzung benötigen (etwa zur Abgrenzung zwischen Standardkategorie und Important Class I/II, zur Frage einer sektoralen Ausnahme (Medizinprodukt, Kraftfahrzeug, Luftfahrt) oder für die Vorlage gegenüber Geschäftsleitung, Aufsichtsrat oder Marktüberwachungsbehörde), bieten wir auf Wunsch ein rechtliches Gutachten zur CRA-Betroffenheit und Produktklassifizierung durch einen auf IT- und Cyber-Regulierung spezialisierten Fachanwalt an.

Hintergrund: In Deutschland ist Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) zugelassenen Rechtsanwältinnen und Rechtsanwälten vorbehalten. Eine fundierte CRA-Betroffenheitsprüfung erfordert in der Praxis aber sowohl die technische Analyse des Produkts und seiner digitalen Elemente als auch die rechtliche Würdigung; typischerweise führt das zu einem aufwendigen Hin und Her zwischen Ihrem technischen Berater und einem extern beauftragten Anwalt, mit dem Risiko, dass Sachinformationen unterwegs an Schärfe verlieren.

Unser Modell: Wir arbeiten mit einer auf Regulierungs- und IT-Recht spezialisierten Kanzlei zusammen, deren Fachanwalt direkt als Teil unseres Projektteams agieren kann und auf Wunsch über SCHUTZWERK abgerechnet wird; Sie müssen keinen weiteren Lieferanten anlegen oder onboarden. Die anwaltliche Beratung selbst erfolgt RDG-konform auf Basis einer Mandatsvereinbarung direkt zwischen Ihnen und der Kanzlei, sodass das Gutachten klar dokumentiert und in Ihr SCHUTZWERK-Projekt eingebettet ist. Ergebnis: eine konsolidierte technisch-rechtliche Einschätzung zur CRA-Betroffenheit und Produktklassifizierung aus einer Hand, ohne Flüsterpost zwischen Beratern.

Häufige Fragen zum Cyber Resilience Act

Von der Produktklassifizierung zur Konformität: CRA-Begleitung durch SCHUTZWERK

Der CRA selbst gibt keine konkreten Methoden vor. Die Anforderungen aus Anhang I lassen sich in der Praxis aber zu etablierten Produktsicherheitsstandards in Bezug setzen. Für die technische Umsetzung haben sich insbesondere IEC 62443 (Industrial Automation and Control Systems Security, mit IEC 62443-4-1 für sichere Produktentwicklung und IEC 62443-4-2 für Komponentenanforderungen), ETSI EN 303 645 (Cyber Security for Consumer IoT) und ISO/IEC 27001 (Informationssicherheitsmanagement für den Hersteller-Entwicklungsprozess) als Bezugspunkte etabliert. SCHUTZWERK begleitet CRA-betroffene Hersteller entlang dieser Standards mit langjähriger Erfahrung in Embedded- und IoT-Security sowie zertifizierten ISO 27001 Lead Auditoren.

Ein typisches CRA-Gesamtpaket umfasst vier aufeinander aufbauende Bausteine, die wir gemeinsam, oder einzeln, anbieten:

1. Betroffenheitsprüfung und Produktklassifizierung: Einordnung des Produkts in Standardkategorie, Important Class I/II oder Critical (Anhang III/IV) inklusive Abgrenzung zu sektoralen Sonderregimen (MDR/IVDR, UNECE R155, Luftfahrt, Schiffsausrüstung); auf Wunsch ergänzt um ein anwaltliches Gutachten durch unseren Fachanwaltspartner (siehe Abschnitt oben).
2. Standortbestimmung: produktbezogene Bedrohungs-undRisikoanalyse entlang IEC 62443-3-2 oder ETSI EN 303 645 sowie Gap-Analyse der bestehenden Produkt- und Entwicklungssicherheit gegen die grundlegenden Anforderungen in Anhang I CRA.
3. Technische Prüfung: gezielte Penetrationstests und EmbeddedSecurityAssessments zur Validierung der umgesetzten Sicherheitsmaßnahmen, einschließlich Firmware- und Hardware-Sicherheitsanalyse durch unser spezialisiertes Embedded-Labor.
4. Nachsorge und Umsetzungsbegleitung: Aufbau und Betrieb des Produktsicherheitsprozesses einschließlich Coordinated Vulnerability Disclosure, SBOM-Pflege und Update-Pipeline; auf Wunsch eingebettet in ein Informationssicherheits-Managementsystem(ISMS) nach ISO/IEC 27001.

Welche Bausteine in welcher Tiefe sinnvoll sind, hängt von Produktklasse, vorhandenen Entwicklungsprozessen und der Time-to-Market Ihrer Produkte ab.

Implementierungsansatz

Unser Ansatz zur CRA-Implementierung verbindet technische Expertise mit praktischer Erfahrung in der Produktsicherheit. Wir arbeiten eng mit Ihrem Team zusammen, um:

1. Ihre aktuellen Produktsicherheitspraktiken gegen CRA-Anforderungen zu bewerten
2. Eine maßgeschneiderte Implementierungs-Roadmap zu entwickeln
3. Die Implementierung erforderlicher Sicherheitsmaßnahmen zu unterstützen
4. Fortlaufende Beratung und Unterstützung bei der Aufrechterhaltung der Compliance zu bieten
   
   

Vorteile der Zusammenarbeit mit SCHUTZWERK

Bei der Partnerschaft mit SCHUTZWERK für die CRA-Compliance profitieren Sie von:

• Tiefgreifendem Verständnis sowohl der technischen Sicherheitsanforderungen als auch regulatorischer Frameworks
• Praktischer Erfahrung bei der Implementierung von Produktsicherheitsmaßnahmen
• Umfassenden Test- und Bewertungsfähigkeiten
• Kontinuierlicher Unterstützung und Beratung während Ihrer Compliance-Reise
• Unabhängiger und objektiver Sicherheitsexpertise

Unser Ziel ist es, Ihnen nicht nur bei der Erreichung der CRA-Compliance zu helfen, sondern auch dauerhafte Produktsicherheitsfähigkeiten aufzubauen, die den Wert Ihrer Produkte nachhaltig steigern und Ihre Nutzer zuverlässig schützen.

Fördermöglichkeit für KMU: Das EU-Programm SECURE4SME unterstützt kleine und mittlere Unternehmen mit Zuschüssen von bis zu 30.000 Euro bei der Umsetzung von CRA-Maßnahmen. Erfahren Sie mehr auf unserer FörderseitezuSECURE4SME .