cra compliance

Mit der Verordnung (EU) 2024/2847 wird Cybersicherheit für alle Produkte mit digitalen Elementen im EU-Markt verpflichtend. Seit dem 11. September 2026 gelten die Meldepflichten für Schwachstellen und Vorfälle, ab dem 11. Dezember 2027 die vollständige Konformität. Wir begleiten Sie von der Risikobewertung über die sichere Entwicklung bis zum technischen Dossier. Wir bringen auch Bestandsprodukte auf den erforderlichen Stand.

Kontakt aufnehmen

Neues Produkt in Entwicklung oder Bestandsgerät im Markt? Wir schließen die Lücke zur CRA-Konformität

01

Risikobewertung & Threat Modeling

Wir ordnen Ihr Produkt ein, bestimmen den Konformitätsweg und erstellen die Risikobewertung mit konkreten Bedrohungsszenarien.

Mehr erfahren

02

Sichere Entwicklung & SBOM

Secure by Design, minimierte Angriffsfläche, maschinenlesbare Stückliste und das technische Dossier nach Anhang VII.

Mehr erfahren

03

Betrieb & Meldepflichten

Sicherheitsupdates über den Supportzeitraum, aktualisierte SBOM je Release und fristgerechte Meldungen an ENISA und CSIRT.

Mehr erfahren

04

Bestandsprodukte auf Stand bringen

CRA-Gap Assessment, priorisierter Maßnahmenplan und Umsetzung bis zur CE-Reife.

Mehr erfahren

Zwei Wege, ein Ziel:
CE-Reife

Neuentwicklung oder Bestandsprodukt ? Die Anforderungen sind dieselben, der Weg dorthin nicht.
Wir wählen den kürzeren und gehen ihn mit Ihnen.
Kontakt aufnehmen
1

Risikobewertung & Threat Modeling

Zu Beginn steht die Einordnung: Fällt Ihr Produkt in den CRA-Anwendungsbereich, und in welche Klasse nach Anhang III und IV ? Daraus folgt der Konformitätsweg: Eigenbewertung oder notifizierte Stelle. 
Die Risikobewertung nach Art. 13(2) wird erstellt: Für jeden Asset werden Bedrohungsszenarien bewertet und Gegenmaßnahmen definiert.
- Prüfung des Anwendungsbereichs und Klassifizierung
- Ableitung des Konformitätswegs: Eigenbewertung oder notifizierte Stelle
- Cybersecurity-Risikobewertung nach Art. 13(2)
- Threat Modeling mit konkreten Angriffsszenarien
2

Sichere Entwicklung & SBOM

Die definierte Anforderungen werden in der Entwicklung umgesetzt. 
Parallel entstehen die maschinenlesbare SBOM und die Nachweise für das technische Dossier.
- Secure by Design und Secure by Default
- Secure Boot, verschlüsselte Kommunikation, signierte OTA-Updates
- Maschinenlesbare SBOM, automatisiert im Build
- Orientierung an relevanten Normen wie ISA/IEC 62443, ETSI EN 303 645, etc.
- Technisches Dossier nach Anhang VII
‍
3

Betrieb & Meldepflichten

Mit dem Inverkehrbringen beginnen die Pflichten, die den CRA von einer reinen Zulassungsanforderung unterscheiden.
- Sicherheitsupdates über den Supportzeitraum von mindestens fünf Jahre
- Aktualisierte SBOM je Release mit CVE-Abgleich
- Kontinuierliche Schwachstellenüberwachung
- Fristgerechte Meldung an ENISA und nationales CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen
- CRA-gerechte Wartungsverträge
4

Bestandsprodukte auf Stand bringen

Produkte, die nach dem 11. Dezember 2027 weiterhin in Verkehr gebracht werden, müssen die Anforderungen erfüllen. Dies gilt auch wenn sie vorher entwickelt wurden. Für Hersteller mit bestehendem Portfolio ist das häufig der größere Aufwand: Die Produkte funktionieren, aber Nachweise, SBOM und Update-Mechanismen fehlen.
Im Gap Assessment bewerten wir den Ist-Zustand und liefern einen priorisierten Maßnahmenplan mit Aufwands- und Terminschätzung.
Die Umsetzung übernehmen wir bis zur CE-Reife und dies auch für Software, die nicht bei uns entstanden ist.
- Gap Assessment gegen die CRA-Anforderungen
- Nachträgliche Erstellung der SBOM aus bestehendem Code
- Priorisierter Maßnahmenplan mit Aufwands- und Terminschätzung
- Umsetzung, Test und Validierung bis zur CE-Reife

Referenz

Pumpensteuerung: Cybersicherheit nach CRA


‍Technologien Mikrocontroller, BLE, OTA-Updates, Secure Boot, verschlüsselte Kommunikation, SBOM-Generierung im Build
‍
Aufgabe: Eine Steuerung für Pumpensysteme, konfigurierbar per App über BLE und aktualisierbar im Feld, fällt in den Anwendungsbereich des Cyber Resilience Act. Die regulatorische Einordnung erfolgte gemeinsam mit dem Kunden. Unsere Aufgabe war die technische Umsetzung: die abgeleiteten Anforderungen in Firmware und Entwicklungsprozess zu verankern.
‍
‍Lösung: Wir haben die Bedrohungsszenarien für BLE-Kanal, Authentifizierung, Firmware-Integrität und physischen Zugriff bewertet und daraus die technischen Maßnahmen abgeleitet. Umgesetzt wurden Secure Boot mit Signaturprüfung vor Ausführung, verschlüsselte Kommunikation ohne Klartext-Pairing sowie verschlüsselte OTA-Updates. Die maschinenlesbare SBOM entsteht automatisiert im Build-Prozess und wird mit jedem Release aktualisiert, ergänzt um den Abgleich der eingesetzten Komponenten gegen bekannte Schwachstellen.
‍
Ergebnis: Die Sicherheitsanforderungen sind im Produkt verankert.