Unabhängige CRA-Zertifizierung durch External Audits

CRA External Audits: Pflichtprüfung für kritische Produkte

Professionelle Begleitung und Vorbereitung auf externe CRA-Audits durch akkreditierte Prüfstellen.

  • 01Umfassende Audit-Vorbereitung und Notified Body Coordination
  • 02Strukturierte Dokumentation und Evidence-Management für Prüfungen
  • 03Gap-Analyse und Remediation vor externen Audit-Terminen
  • 04Ongoing Audit Support und Post-Certification Compliance Management
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Externe CRA-Konformitaetsbewertung & Audit-Vorbereitung

Fuer wichtige Produkte der Klasse II und kritische Produkte schreibt der EU Cyber Resilience Act (CRA) eine externe Pruefung durch Benannte Stellen vor. Die Konformitaetsbewertung nach Modul B (EU-Baumusterpruefung) und Modul C (interne Fertigungskontrolle) ist Pflicht fuer den EU-Marktzugang. ADVISORI unterstuetzt Sie bei der gesamten Audit-Vorbereitung, von der Gap-Analyse ueber die technische Dokumentation bis zur Audit-Begleitung und CE-Kennzeichnung.

Wir begleiten Sie durch den gesamten External Audit-Prozess - von der strategischen Planung über die Audit-Vorbereitung bis zur erfolgreichen Zertifizierung und ongoing Compliance-Überwachung.

2 Leistungsbausteine

Leistungsumfang

01

Comprehensive Audit Preparation

Vollständige Vorbereitung auf externe CRA-Audits mit strategischer Planung, Gap-Analyse und strukturierter Documentation.

  • Strategische Notified Body Selection
  • Umfassende Pre-Audit Assessment
  • Strukturierte Evidence-Portfolio-Entwicklung
  • Mock-Audit-Durchführung und Team-Training
02

Ongoing Audit Support & Compliance

Kontinuierliche Begleitung während External Audits und langfristige Post-Certification Compliance-Überwachung.

  • Live Audit-Begleitung und Support
  • Surveillance Audit-Vorbereitung
  • Certification Renewal Management
  • Ongoing Compliance-Monitoring

5 Phasen

Unser External Audit-Ansatz

Wir führen CRA External Audit-Vorbereitung systematisch und risikobasiert durch, mit fokussierter Vorbereitung auf alle kritischen Audit-Aspekte.

  1. Strategische Audit-Planung und Notified Body Assessment

  2. Umfassende Pre-Audit Readiness Evaluation

  3. Strukturierte Evidence-Entwicklung und Documentation

  4. Intensive Audit-Vorbereitung und Mock-Audits

  5. Audit-Begleitung und Ongoing Compliance Management

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere External Audit-Expertise

  • 01Langjährige Erfahrung mit Notified Bodies und Audit-Prozessen
  • 02Bewährte Audit-Vorbereitung mit hoher Erfolgsquote
  • 03Tiefgreifende CRA-Kenntnisse und regulatorische Expertise
  • 04Ganzheitlicher Support von Pre-Audit bis Post-Certification

Kritischer Marktfaktor

Fehlgeschlagene externe CRA-Audits führen zu sofortigem Marktausschluss und können erhebliche Reputations- und Finanzschäden verursachen. Eine strukturierte Audit-Vorbereitung ist essentiell für Business Continuity.

7 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu CRA Cyber Resilience Act External Audits

Wann ist eine externe CRA-Pruefung durch eine Benannte Stelle Pflicht?

Eine externe Konformitaetsbewertung ist nach dem Cyber Resilience Act fuer zwei Produktkategorien verpflichtend: Wichtige Produkte der Klasse II (z.B. Firewalls, Intrusion-Detection-Systeme, Betriebssysteme) muessen entweder nach Modul B+C oder Modul H geprueft werden. Kritische Produkte nach Anhang IV (z.B. Smartcards, Hardware-Sicherheitsmodule) benoetigen zwingend ein europaeisches Cybersicherheitszertifikat oder eine Bewertung durch eine Benannte Stelle. Fuer ca. 90% aller vernetzten Standardprodukte reicht hingegen eine Selbstbewertung nach Modul A.

Was pruefen Benannte Stellen bei der CRA-Konformitaetsbewertung nach Modul B?

Bei der EU-Baumusterpruefung nach Modul B pruefen Benannte Stellen (Notified Bodies) das technische Design, die Entwicklungsprozesse und die definierten Verfahren zur Schwachstellenbehandlung. Konkret umfasst die Pruefung: Einhaltung der wesentlichen Cybersicherheitsanforderungen nach Anhang I, die technische Dokumentation inkl. Software Bill of Materials (SBOM), Risikobewertung und Schwachstellenmanagement sowie die Prozesse fuer Sicherheitsupdates. Bei erfolgreichem Abschluss wird ein EU-Baumusterpruefbescheinigung ausgestellt.

Wie unterscheiden sich Modul B+C und Modul H bei der CRA-Zertifizierung?

Modul B+C und Modul H sind zwei alternative Wege zur CRA-Konformitaet: Bei Modul B+C prueft die Benannte Stelle zuerst das Produktdesign (Modul B), anschliessend stellt der Hersteller selbst die Produktionskonformitaet sicher (Modul C). Bei Modul H implementiert der Hersteller ein umfassendes Qualitaetssicherungssystem, das von der Benannten Stelle kontinuierlich ueberwacht wird. Modul H eignet sich besonders fuer Unternehmen mit vielen CRA-pflichtigen Produkten, da ein zertifiziertes QS-System alle Produkte abdecken kann.

Welche Fristen gelten fuer die CRA-Konformitaetsbewertung?

Die CRA-Zeitplanung sieht drei Meilensteine vor: Ab September 2026 greifen erste Meldepflichten fuer aktiv ausgenutzte Schwachstellen. Bis Juni 2026 muessen Mitgliedstaaten die Verfahren fuer die Benennung von Konformitaetsbewertungsstellen einrichten. Ab Dezember 2027 gelten saemtliche CRA-Anforderungen vollstaendig, einschliesslich der externen Konformitaetsbewertung. Hersteller sollten jetzt mit der Audit-Vorbereitung beginnen, da die Verfuegbarkeit von Benannten Stellen begrenzt sein wird.

Wie bereitet ADVISORI Unternehmen auf das externe CRA-Audit vor?

Unsere Audit-Vorbereitung folgt einem strukturierten 5-Phasen-Ansatz: 1) Gap-Analyse gegen CRA-Anhang I Anforderungen und Identifikation des passenden Konformitaetsmoduls. 2) Aufbau der technischen Dokumentation inkl. SBOM, Risikobewertung und Schwachstellenmanagement. 3) Implementierung der erforderlichen Prozesse fuer Security Updates und Vulnerability Handling. 4) Mock-Audit zur Identifikation letzter Luecken. 5) Begleitung waehrend des eigentlichen Audits durch die Benannte Stelle und Unterstuetzung bei Nachforderungen.

Was passiert bei einem nicht bestandenen CRA-Audit?

Ein nicht bestandenes externes CRA-Audit hat schwerwiegende Folgen: Das Produkt darf ohne CE-Kennzeichnung nicht auf dem EU-Markt vertrieben werden. Marktueberwachungsbehoerden koennen Produkte zurueckrufen oder den Verkauf untersagen. Zudem drohen Bussgelder von bis zu 15 Mio. Euro oder 2,5% des weltweiten Jahresumsatzes. ADVISORI minimiert dieses Risiko durch gruendliche Pre-Audit-Bewertungen und Mock-Audits, die typische Beanstandungen vorab identifizieren und beheben.

Wie waehlt man die richtige Benannte Stelle fuer das CRA-Audit?

Die Auswahl der passenden Benannten Stelle (Notified Body) erfordert mehrere Kriterien: Akkreditierung fuer den CRA-Geltungsbereich in der NANDO-Datenbank der EU-Kommission, Branchenerfahrung mit vergleichbaren Produktkategorien, Verfuegbarkeit und Durchlaufzeiten (werden ab 2026 knapp), geographische Naehe fuer Vor-Ort-Pruefungen sowie Sprachkompetenz. ADVISORI unterstuetzt bei der strategischen Auswahl und pflegt Kontakte zu fuehrenden Benannten Stellen in der EU.