Cyber Resilience Act Consulting

Unterstützung von Softwareherstellern bei der technischen und organisatorischen Vorbereitung auf die Anforderungen des Cyber Resilience Act.

Was der Cyber Resilience Act von Herstellern verlangt.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen an Produkte mit digitalen Elementen fest, die in der EU bereitgestellt werden. Er betrifft Konzeption und Entwicklung ebenso wie den Umgang mit Schwachstellen und die Bereitstellung von Sicherheitsupdates während des Support-Zeitraums.

Seit 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle; die übrigen Verpflichtungen sind ab 11. Dezember 2027 anzuwenden. Wir helfen Ihnen, die Anforderungen in Ihre Entwicklungs-, Update- und Supportprozesse zu übersetzen.

Themen

CRA Gap Analysis
Abgleich Ihrer Produkte und Prozesse mit den grundlegenden Anforderungen der Verordnung.
Produktklassifizierung
Einordnung Ihrer Produkte und des daraus folgenden Konformitätsbewertungsverfahrens.
Secure Development Lifecycle
Sicherheitsanforderungen, Reviews und Tests als fester Bestandteil der Entwicklung.
Vulnerability Management
Prozesse zur Entgegennahme, Bewertung und Behebung von Schwachstellen, einschließlich koordinierter Offenlegung.
SBOM
Software Bill of Materials in einem gängigen maschinenlesbaren Format, automatisiert im Build erzeugt.
Dependency Management
Überwachung eingesetzter Komponenten und ein geregelter Umgang mit Updates.
Security Updates
Bereitstellung von Sicherheitsupdates – getrennt von Funktionsupdates, wo dies möglich ist.
Technische Dokumentation
Dokumentation, die die Erfüllung der Anforderungen nachvollziehbar belegt.
Support- und Updateprozesse
Festlegung des Support-Zeitraums und der Prozesse, die ihn tragen.
Compliance-Prozesse
Vorbereitung von Meldewegen, Zuständigkeiten und der EU-Konformitätserklärung.

Vorgehen

  1. Betroffenheit klären

    Welche Produkte fallen unter die Verordnung, und in welche Kategorie?

  2. Gap-Analyse

    Abgleich von Produkten, Entwicklungs- und Supportprozessen mit den Anforderungen.

  3. Umsetzungsplan

    Priorisierte Maßnahmen mit Verantwortlichkeiten, abgestimmt auf die gesetzlichen Fristen.

  4. Umsetzung begleiten

    Technische Umsetzung – etwa SBOM, Vulnerability Management und Update-Prozesse – gemeinsam mit Ihrem Team.

Was Sie erhalten

  • Einordnung Ihrer Produkte unter den Cyber Resilience Act
  • Gap-Analyse mit priorisiertem Umsetzungsplan
  • Prozesse für Schwachstellenmanagement und Meldungen
  • Automatisierte SBOM-Erzeugung im Build-Prozess

Unsere Beratung ist technische und organisatorische Unterstützung und ersetzt keine Rechtsberatung. Die Konformitätsbewertung und – wo vorgesehen – die Einbindung einer notifizierten Stelle liegen in der Verantwortung des Herstellers.

Sprechen wir über Ihre Produkte.

Ob sicherer Entwicklungsprozess, ISMS, Vorbereitung auf den Cyber Resilience Act oder kontrollierte KI-Nutzung: Ein erstes Gespräch klärt, wo Sie stehen und welcher nächste Schritt sinnvoll ist.

Kontakt aufnehmen