CRA Compliance: Cyber Resilience Act richtig umsetzen

CRA Compliance bezeichnet die Einhaltung der Anforderungen des EU Cyber Resilience Act (Verordnung 2024/2847). Betroffen sind alle Hersteller, Importeure und Haendler von Produkten mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Das umfasst Hardware mit vernetzten Funktionen, eigenstaendige Software und Remote-Datenverarbeitungsloesungen. Ausgenommen sind Medizinprodukte, Fahrzeuge, Luftfahrt und bestimmte Open-Source-Software. ADVISORI unterstuetzt Hersteller bei der Bestimmung, ob ihre Produkte unter den CRA fallen und welche Produktkategorie (Standard, Klasse I oder Klasse II) zutrifft.

Der Cyber Resilience Act trat am 10. Dezember 2024 in Kraft und wird stufenweise anwendbar: Ab 11. Juni 2026 muessen Konformitaetsbewertungsstellen notifiziert sein. Ab 11. September 2026 gilt die Meldepflicht fuer aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an ENISA und die nationale Behoerde. Ab 11. Dezember 2027 gelten alle CRA-Anforderungen vollstaendig, einschliesslich Cybersicherheits-Grundanforderungen, Schwachstellenmanagement und CE-Kennzeichnung. Unternehmen sollten spaetestens jetzt mit der Gap-Analyse beginnen.

Die zentralen CRA-Anforderungen umfassen: Security by Design bei Entwicklung und Produktion, Schwachstellenmanagement ueber den gesamten Produktlebenszyklus, Erstellung einer Software Bill of Materials (SBOM), kostenlose Sicherheitsupdates fuer mindestens 5 Jahre, Meldung aktiv ausgenutzter Schwachstellen innerhalb von 24 Stunden, technische Dokumentation und EU-Konformitaetserklaerung sowie CE-Kennzeichnung vor dem Inverkehrbringen. ADVISORI begleitet die Umsetzung aller Anforderungen von der initialen Bestandsaufnahme bis zum Audit.

Der CRA unterscheidet drei Produktkategorien: Standard-Produkte (Selbstbewertung moeglich, z.B. Smart-Home-Geraete, Spiele), Klasse-I-Produkte (erhoehtes Risiko, harmonisierte Standards oder Drittbewertung, z.B. VPN-Software, Router, Betriebssysteme) und Klasse-II-Produkte (hohes Risiko, verpflichtende Drittbewertung, z.B. Firewalls, Chipkarten, industrielle Steuerungssysteme). Die korrekte Einordnung bestimmt das erforderliche Konformitaetsbewertungsverfahren. ADVISORI hilft bei der Klassifizierung und dem passenden Bewertungsweg.

Die CRA-Konformitaetsbewertung umfasst: interne Risikoanalyse des Produkts, Pruefung gegen die grundlegenden Cybersicherheitsanforderungen in Anhang I, Erstellung der technischen Dokumentation einschliesslich SBOM, Durchfuehrung des Konformitaetsbewertungsverfahrens (Selbstbewertung bei Standard-Produkten oder Drittpruefung bei Klasse I/II), Ausstellung der EU-Konformitaetserklaerung und Anbringung der CE-Kennzeichnung. Fuer Klasse-I-Produkte kann die Anwendung harmonisierter Standards die Drittbewertung ersetzen. Das BSI wird als deutsche Marktaufsichtsbehoerde die Einhaltung kontrollieren.

Der Cyber Resilience Act sieht empfindliche Sanktionen vor: Bis zu 15 Millionen Euro oder 2,5% des weltweiten Jahresumsatzes fuer Verstoesse gegen grundlegende Cybersicherheitsanforderungen, bis zu 10 Millionen Euro oder 2% fuer sonstige CRA-Pflichten und bis zu 5 Millionen Euro oder 1% fuer falsche oder unvollstaendige Angaben gegenueber Behoerden. Darueber hinaus koennen Marktaufsichtsbehoerden den Rueckruf oder das Verbot nicht konformer Produkte anordnen. Fruehzeitige Compliance-Investitionen schuetzen vor diesen Risiken.

ADVISORI begleitet Unternehmen durch alle Phasen der CRA-Compliance: Gap-Analyse zur Bestimmung des aktuellen Reifegrads, Produktklassifizierung und Scope-Definition, Aufbau von Security-by-Design-Prozessen in der Entwicklung, Implementierung von Schwachstellenmanagement und SBOM-Erstellung, Vorbereitung der Konformitaetsbewertung und technischen Dokumentation, Einrichtung der Meldeprozesse fuer Schwachstellen und Incidents sowie laufendes Compliance-Monitoring. Unser Ansatz harmonisiert CRA-Anforderungen mit bestehenden Standards wie IEC 62443, ISO 27001 und NIS-2.