Cyber Resilience Act: Ihre vernetzten Produkte rechtzeitig CRA-fest machen
Seit dem 11. September 2026 müssen Hersteller ausgenutzte Schwachstellen und schwere Vorfälle innerhalb von 24 Stunden melden. Ab dem 11. Dezember 2027 gelten alle Anforderungen. Wir bringen Ihre Produkte und Prozesse dorthin, mit echtem Hardware-Know-how statt reiner Papierarbeit.
- Für
- Hersteller, Importeure und Händler vernetzter Produkte
- Fristen
- Meldepflicht seit 11.09.2026, alle Pflichten ab 11.12.2027
- Ergebnis
- Risikobewertung, SBOM, Meldeprozess, Gerätepentest
- Preis
- Festpreis je Produkt
/ Geltungsbereich
Wer betroffen ist
Der CRA gilt für nahezu alle Produkte mit digitalen Elementen, die in der EU verkauft werden: Maschinen und Steuerungen, IoT-Geräte, Elektronik mit Funk oder Netzwerk und Software. Betroffen sind Hersteller, Importeure und Händler, unabhängig von der Unternehmensgröße.
/ Fristen
Die Fristen
Der CRA tritt in Kraft.
In KraftMeldepflicht: Ausgenutzte Schwachstellen und schwere Vorfälle gehen innerhalb von 24 Stunden als Frühwarnung an die ENISA, auch für Produkte, die schon auf dem Markt sind.
In KraftAlle Anforderungen gelten: Security by Design, Schwachstellenmanagement über den Lebenszyklus, Konformitätsbewertung und CE-Kennzeichnung.
Frist
/ Leistungen
Was wir übernehmen
- Betroffenheit und Rolle: Welche Produkte fallen unter den CRA, und sind Sie Hersteller, Importeur oder Händler?
- Risikobewertung je Produkt mit Assets, Schadensszenarien und Angriffspfaden
- SBOM aufbauen und Schwachstellen in Komponenten laufend überwachen
- Schwachstellenmanagement und Meldeprozess für die 24-Stunden-Frist
- Gerätepentest: Firmware, Schnittstellen, Funk, Bluetooth, Secure Boot und Update-Pfad
- Technische Dokumentation für die Konformitätsbewertung
/ Erfahrung
Warum wir
Viele Berater liefern Vorlagen. Wir kommen aus der Fahrzeug- und Steuergeräte-Sicherheit, wo Risikoanalyse und Penetrationstest seit Jahren Pflicht sind, nach ISO/SAE 21434 und UNECE R155.
Diese Methodik übertragen wir auf Ihre Produkte: von der Anforderung über die Bedrohungsanalyse bis zum gezielten Testfall am Gerät.
/ Fragen
Häufige Fragen
Gilt der CRA auch für Produkte, die schon verkauft werden?
Die Meldepflichten seit September 2026 gelten auch für Produkte, die bereits auf dem Markt sind. Die übrigen Anforderungen betreffen Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht oder wesentlich geändert werden.
Reicht eine ISO 27001?
Nein. ISO 27001 betrifft die Informationssicherheit im Unternehmen, der CRA die Sicherheit Ihrer Produkte. Beides ergänzt sich, ersetzt sich aber nicht.
Wir sind nur Händler oder Importeur. Betrifft uns das?
Auch Importeure und Händler haben Pflichten, zum Beispiel zu prüfen, ob Produkte die Anforderungen erfüllen. Wir klären Ihre Rolle im Erstgespräch.
Wie lange dauert die Vorbereitung?
Für ein Produkt mit überschaubarer Komplexität rechnen wir mit einigen Wochen bis zur belastbaren Risikobewertung und einem funktionierenden Meldeprozess. Dezember 2027 klingt fern, Ihre Entwicklungszyklen sind es nicht.
Was droht bei Verstößen?
Der CRA sieht Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor. Dazu kommt, dass Produkte ohne Nachweis nicht mehr verkauft werden dürfen.
/ Weitere Leistungen