- +49 2056 267 9050
- kontakt@mabs-compliance.com
- Cyber-Notfall Soforthilfe
Der Cyber Resilience Act (CRA) verändert die Anforderungen an die Entwicklung, Bereitstellung und Wartung von Produkten mit digitalen Elementen grundlegend. Unternehmen müssen künftig nachweisen können, dass Cybersicherheit bereits bei der Entwicklung berücksichtigt wurde und über den gesamten Produktlebenszyklus hinweg gewährleistet wird.
mabs4.0 unterstützt Unternehmen bei der Bewertung ihrer Betroffenheit, der Umsetzung der CRA-Anforderungen und dem Aufbau belastbarer Prozesse für Produkt-Cybersicherheit.
Prüfen Sie gemeinsam mit uns Ihren Handlungsbedarf und Ihre Umsetzungsstrategie.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist eine europäische Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Ziel ist es, das Sicherheitsniveau von Hardware- und Softwareprodukten innerhalb der Europäischen Union zu erhöhen.
Erstmals werden Hersteller verpflichtet, Cybersicherheit systematisch über den gesamten Produktlebenszyklus hinweg zu berücksichtigen. Dazu gehören unter anderem:
Der Cyber Resilience Act ist bereits am 10. Dezember 2024 in Kraft getreten.
Für Unternehmen sind insbesondere folgende Termine relevant:
Unternehmen sollten die Umsetzung nicht bis 2027 aufschieben. Die erforderlichen Prozesse, Nachweise und Entwicklungsmaßnahmen benötigen in vielen Organisationen einen erheblichen Vorlauf.
Der CRA soll dazu beitragen, dass Produkte bereits bei ihrer Markteinführung angemessen abgesichert sind und während ihres gesamten Lebenszyklus sicher betrieben werden können.
Der CRA richtet sich an alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem europäischen Markt bereitstellen.
Hierzu zählen insbesondere:
Hersteller
Importeure
Unternehmen, die Produkte mit digitalen Elementen aus Drittstaaten in die EU einführen.
Händler und Distributoren
Unternehmen, die entsprechende Produkte innerhalb der EU vertreiben.
Unternehmen mit Eigenentwicklungen
Auch Unternehmen, die Produkte entwickeln und unter eigenem Namen vermarkten, können unter die Anforderungen des CRA fallen.
Der CRA verwendet den Begriff:
„Produkt mit digitalen Elementen“
Hierunter fallen grundsätzlich Hardware- oder Softwareprodukte, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können.
Beispiele
Hardware
Software
Standardprodukte
Produkte, die den allgemeinen Anforderungen des CRA unterliegen.
Wichtige Produkte (Important Products)
Produkte mit erhöhter Bedeutung für die Cybersicherheit. Für diese gelten zusätzliche Anforderungen und teilweise strengere Konformitätsbewertungsverfahren. [eur-lex.europa.eu]
Kritische Produkte (Critical Products)
Produkte mit besonders hoher Relevanz für die Cybersicherheit der EU. Hier können weitergehende Prüf- und Nachweispflichten erforderlich sein. [eur-lex.europa.eu]
Die konkrete Einstufung hängt vom jeweiligen Produkt und dessen Funktion im digitalen Ökosystem ab.
Der Cyber Resilience Act verlangt deutlich mehr als ein klassisches Produkttestverfahren.
Zu den wesentlichen Anforderungen gehören insbesondere:
Secure by Design
Cybersicherheit muss bereits in der Produktentwicklung berücksichtigt werden.
Risikobewertung
Unternehmen müssen Risiken systematisch identifizieren, bewerten und behandeln.
Schwachstellenmanagement
Sicherheitslücken müssen erkannt, bewertet und bearbeitet werden.
Security Updates
Hersteller müssen geeignete Sicherheitsupdates bereitstellen und verwalten.
Technische Dokumentation
Die Einhaltung der Anforderungen muss nachvollziehbar dokumentiert werden.
Meldepflichten
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen unter bestimmten Voraussetzungen gemeldet werden.
Konformitätsbewertung und CE-Kennzeichnung
Unternehmen müssen nachweisen können, dass ihre Produkte die Anforderungen des CRA erfüllen.
Nicht jedes digitale Produkt fällt automatisch unter den CRA.
Ausgenommen sind unter anderem Produkte, die bereits durch spezielle europäische Regelungen abgedeckt werden. Dazu zählen beispielsweise:
Eine genaue Bewertung sollte immer auf Grundlage des konkreten Produkts und dessen regulatorischer Einordnung erfolgen.
Viele Unternehmen betrachten den CRA zunächst ausschließlich als regulatorische Verpflichtung. Tatsächlich bietet die Umsetzung jedoch auch strategische Vorteile.
Mehr Vertrauen bei Kunden
Nachweisbare Produktsicherheit wird zunehmend zu einem Auswahlkriterium.
Wettbewerbsvorteile
Sicher entwickelte Produkte schaffen Differenzierung im Markt.
Weniger Sicherheitsvorfälle
Ein systematisches Schwachstellenmanagement reduziert Risiken.
Bessere Lieferkettenposition
Immer mehr Kunden verlangen belastbare Nachweise zur Produktsicherheit.
Vorbereitung auf zukünftige Anforderungen
Der CRA ergänzt die wachsenden Anforderungen aus NIS2, Produktsicherheit und Lieferkettenmanagement.
Wir unterstützen Unternehmen strukturiert bei der Vorbereitung und Umsetzung der CRA-Anforderungen.
Unsere Leistungen umfassen unter anderem:
Unser Fokus liegt dabei auf einer praxisnahen und wirtschaftlich sinnvollen Umsetzung.
Die wesentlichen Anforderungen des Cyber Resilience Act gelten ab dem 11. Dezember 2027. Bereits ab dem 11. September 2026 greifen vorgezogene Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Unternehmen mit betroffenen Produkten sollten die Übergangszeit bis 2027 nutzen, um Prozesse und Nachweise rechtzeitig aufzubauen.
Unter den Cyber Resilience Act fallen grundsätzlich alle Produkte mit digitalen Elementen, die direkt oder indirekt mit Geräten oder Netzwerken verbunden werden können. Das betrifft ein breites Spektrum an Hardware- und Softwareprodukten, von IoT-Geräten über Industriesteuerungen bis hin zu Standardsoftware. Ob ein konkretes Produkt in den Anwendungsbereich fällt, hängt von Einzelfallmerkmalen wie Vernetzungsfähigkeit und Produktkategorie ab und sollte im Rahmen einer strukturierten Betroffenheitsanalyse geprüft werden.
Der Cyber Resilience Act regelt die Sicherheit von Produkten mit digitalen Elementen, während die NIS2-Richtlinie das Cybersecurity-Risikomanagement, die Governance und die Meldepflichten von Betreibern und Organisationen adressiert. Vereinfacht gesagt: Der CRA betrifft die Produktsicherheit, NIS2 die Unternehmenssicherheit. Beide Regelwerke ergänzen sich inhaltlich, verfolgen jedoch unterschiedliche Ziele und richten sich an unterschiedliche Adressaten.
mabs4.0 begleitet Unternehmen von der ersten Betroffenheitsanalyse über die Identifikation der relevanten regulatorischen Anforderungen bis zur praktischen Implementierung der erforderlichen Prozesse und Nachweise. Als Beratungsunternehmen mit Kernkompetenz in ISO 27001, NIS2, TISAX und Datenschutz bringt mabs4.0 dabei bestehendes Prozess-Know-how aus verwandten Regelwerken ein, statt den CRA isoliert zu betrachten. Ziel ist eine strukturierte, nachvollziehbare und wirtschaftlich vertretbare Umsetzung der CRA-Anforderungen.