Was ist das Cyber ​​Resilience Act?

Der Cyber ​​Resilience Act ist die EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt, die auf den EU-Markt gebracht werden. Es gilt für viele Arten von Hardware- und Softwareprodukten, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können.

Dies kann Folgendes umfassen:

• IoT-Geräte
• Industrielle Automatisierungssysteme
• Eingebettete Controller
• Softwareanwendungen
• Mobile Anwendungen
• Webplattformen, die als Teil eines Produkts bereitgestellt werden
• Firmware
• Mit dem Netzwerk verbundene Geräte
• Intelligente Geräte
• Gateways und verbundene Komponenten
• Mit einem Produkt verknüpfte Remote-Datenverarbeitungslösungen

Die CRA verlangt von Herstellern, Produkte so zu entwerfen, zu entwickeln und zu warten, dass Cybersicherheitsrisiken während des gesamten Produktlebenszyklus reduziert werden.

Warum CRA-Compliance wichtig ist

Die CRA führt Cybersicherheitsverpflichtungen ein, die sich auf Produktkonformität, Technik, Softwareentwicklung, Qualitätsmanagement, Lieferantenmanagement und Überwachung nach dem Inverkehrbringen auswirken.

Hersteller müssen bereit sein, nachzuweisen, dass ihre Produkte wesentliche Cybersicherheitsanforderungen erfüllen. Dazu gehören Secure-by-Design-Prinzipien, sichere Standardkonfiguration, Schwachstellenbehandlung, Sicherheitsupdates, Vorfallberichte und technische Dokumentation.

Für Unternehmen, die Produkte in der EU verkaufen, ist die CRA-Bereitschaft nicht nur eine regulatorische Anforderung. Es wird auch zu einer kommerziellen Erwartung von Kunden, Händlern, öffentlichen Käufern und Betreibern kritischer Sektoren.

Wichtige CRA-Fristen

Hersteller sollten sich frühzeitig vorbereiten, da die CRA-Konformität Auswirkungen auf die Produktarchitektur, Softwareentwicklung, Dokumentation, Tests und Post-Market-Prozesse hat.

Der dringendste Meilenstein ist der Beginn der Meldepflichten für Schwachstellen und schwerwiegende Vorfälle. Unternehmen sollten vor September 2026 über einen funktionierenden Prozess zur Behandlung von Schwachstellen und zur Meldung von Vorfällen verfügen.

Wie ComplyMarket die CRA-Compliance unterstützt

ComplyMarket bietet einen strukturierten CRA-Compliance-Service, der Unternehmen dabei helfen soll, von der Unsicherheit zur Umsetzung zu gelangen. Unser Ansatz kombiniert die Interpretation von Vorschriften, Erfahrung in der Produktkonformität, Cybersicherheitstests und Unterstützung bei der technischen Dokumentation.

Unser CRA-Service kann als gezielte Produktbewertung, als portfolioweites Bereitschaftsprogramm oder als jährliches Supportpaket bereitgestellt werden.

1. CRA-Anwendbarkeitsbewertung

Der erste Schritt besteht darin, zu verstehen, ob ein Produkt in den Geltungsbereich des Cyber Resilience Act fällt.

ComplyMarket hilft Kunden bei der Feststellung:

• Ob das Produkt als Produkt mit digitalen Elementen gilt
• Ob Software, Firmware, Cloud-Funktionen oder Remote-Datenverarbeitungskomponenten Teil der CRA-Produktgrenzen sind
• Ob das Unternehmen als Hersteller, Importeur, Händler oder Bevollmächtigter auftritt
• Ob Ausnahmen oder branchenspezifische Regeln gelten können
• Ob es sich bei dem Produkt wahrscheinlich um eine Standardkategorie, ein wichtiges Produkt oder ein kritisches Produkt handelt

Dieser Schritt ist unerlässlich, da der Konformitätsbewertungsweg und die Prüftiefe von der korrekten Produktklassifizierung abhängen.

2. CRA-Produktklassifizierungs- und Compliance-Roadmap

Nicht alle Produkte weisen das gleiche Cybersicherheitsrisikoprofil auf. ComplyMarket unterstützt die Klassifizierung von Produkten nach CRA-Kategorien und erstellt eine praktische Compliance-Roadmap.

Die Roadmap kann Folgendes umfassen:

• Gruppierung der Produktfamilien
• Risikobasierte Priorisierung
• CRA Annex I-Anforderungszuordnung
• Erforderliche Dokumentation
• Erforderliche Tests
• Erforderliche Lieferanteninformationen
• Konformitätsbewertungsweg
• Interne Verantwortlichkeiten
• Zeitplan für die Schließung von Lücken

Dies hilft dem Management zu verstehen, was von wem und bis wann getan werden muss.

3. CRA Anhang I Lückenbewertung

CRA-Anhang I enthält wesentliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und den Umgang mit Schwachstellen.

ComplyMarket überprüft Produktdesign, Dokumentation und Prozesse anhand der CRA Annex I-Anforderungen, einschließlich:

• Secure-by-Design- und Secure-by-Default-Konfiguration
• Schutz vor unbefugtem Zugriff
• Vertraulichkeit und Integrität der Daten
• Minimierung der Angriffsflächen
• Umgang mit Schwachstellen
• Mechanismen zur Sicherheitsaktualisierung
• Protokollierungs- und Überwachungsfunktionen
• Gegebenenfalls Schutz vor Denial-of-Service-Risiken
• Sichere Datenverarbeitung und -speicherung
• Produkt-Supportzeitraum und End-of-Life-Kommunikation

Das Ergebnis ist eine Lückenbewertung, die den aktuellen Compliance-Status, fehlende Beweise und empfohlene Korrekturmaßnahmen zeigt.

4. Cybersicherheitstests für Produkte mit digitalen Elementen

ComplyMarket bietet technische Cybersicherheitstests an, die den Erwartungen der CRA und anerkannten Cybersicherheitsstandards entsprechen.

Zu den Tests können gehören:

• Penetrationstests für Webanwendungen
• API-Sicherheitstests
• Sicherheitstests für mobile Anwendungen
• Testen eingebetteter Geräte
• Firmware-Überprüfung
• Testen von Netzwerkdiensten
• Authentifizierungs- und Zugriffskontrolltests
• Standard-Anmeldeinformationstest
• Sichere Konfigurationsüberprüfung
• Überprüfung von TLS und Kryptographie
• Überprüfung des Aktualisierungsmechanismus
• SBOM- und Software-Zusammensetzungsanalyse
• Scannen von Schwachstellen
• Fuzzing ausgewählter Schnittstellen oder Protokolle
• Überprüfung der Cloud-Konfiguration, sofern relevant
• Protokollierung und Audit-Trail-Überprüfung

Der Prüfumfang wird an den Produkttyp, die Risikostufe und die CRA-Klassifizierung angepasst.

5. Umgang mit Schwachstellen und Bereitschaft zur Meldung von Vorfällen

Die CRA verlangt von den Herstellern, während des gesamten Produktlebenszyklus einen wirksamen Umgang mit Schwachstellen aufrechtzuerhalten. Dies ist eine der wichtigsten betrieblichen Änderungen, die mit der Verordnung eingeführt wurden.

ComplyMarket hilft Unternehmen beim Aufbau oder der Verbesserung von:

• Richtlinie zur Offenlegung von Sicherheitslücken
• Sicherheitskontaktstelle
• Prozess zur Aufnahme von Sicherheitslücken
• Triage und Schweregradklassifizierung
• Prozess der Ursachenanalyse
• Patch- und Update-Workflow
• Vorlagen für die Kundenkommunikation
• Koordinierter Prozess zur Offenlegung von Schwachstellen
• Verfahren zur Meldung von Vorfällen
• Beweisaufzeichnungen für Behörden und Kunden

Dies ist besonders wichtig, bevor die CRA-Meldepflichten in Kraft treten.

6. Technische Dokumentation und CE-Kennzeichnungsbereitschaft

Die CRA-Konformität muss durch eine Dokumentation belegt werden. Hersteller benötigen Nachweise dafür, dass Cybersicherheitsanforderungen berücksichtigt und umgesetzt wurden.

ComplyMarket unterstützt die Vorbereitung und Überprüfung von:

• CRA-Index der technischen Dateien
• Produktbeschreibung und Verwendungszweck
• Risikobewertung der Cybersicherheit von Produkten
• Architektur- und Datenflussdokumentation
• Sichere Beweise für den Entwicklungslebenszyklus
• Beweise für den Umgang mit Sicherheitslücken
• Testberichte
• SBOM-Dokumentation
• Benutzerhinweise und Sicherheitsinformationen
• Vorlage für die EU-Konformitätserklärung
• Checkliste für die CE-Kennzeichnung

ComplyMarket ersetzt nicht die Verantwortung des Herstellers für die Unterzeichnung der EU-Konformitätserklärung. Stattdessen helfen wir bei der Erstellung der Dokumentation und Nachweise, die zur Unterstützung der Konformitätsentscheidung des Herstellers erforderlich sind.

7. Standardbasierte CRA-Unterstützung

Harmonisierte Standards für die CRA werden noch entwickelt. Bis die endgültigen Standards im Amtsblatt der Europäischen Union zitiert werden, sollten sich Hersteller auf die Nutzung anerkannter Cybersicherheitsstandards und des CRA-Standardisierungsarbeitsprogramms vorbereiten.

Abhängig vom Produkt kann ComplyMarket Referenzen verwenden wie:

• CRA-Verordnung (EU) 2024/2847
• CRA Annex I wesentliche Cybersicherheitsanforderungen
• IEC 62443-4-1 für einen sicheren Produktentwicklungslebenszyklus
• IEC 62443-4-2 für Komponenten industrieller Automatisierungs- und Steuerungssysteme
• IEC 62443-3-3 für industrielle Systemsicherheitsanforderungen
• ISO/IEC 29147 zur Offenlegung von Schwachstellen
• ISO/IEC 30111 für den Umgang mit Schwachstellen
• OWASP ASVS für die Sicherheit von Webanwendungen
• OWASP WSTG für Web-Sicherheitstests
• OWASP API Security Top 10 für API-Tests
• OWASP MASVS und MASTG für die Sicherheit mobiler Anwendungen
• EN 18031-Reihe, in der Anforderungen an die Cybersicherheit von Funkgeräten relevant sind
• SBOM-Formate wie CycloneDX und SPDX
• Sichere Cloud-Konfigurations-Benchmarks, wenn in der Cloud gehostete Produktkomponenten beteiligt sind

Wenn harmonisierte Standards verfügbar werden, kann ComplyMarket dabei helfen, die Compliance-Matrix und die technische Dokumentation zu aktualisieren, um den endgültigen Weg der Konformitätsvermutung widerzuspiegeln.

8. Unterstützung der Lieferanten- und Software-Lieferkette

Viele Produkte mit digitalen Elementen sind auf Komponenten von Drittanbietern, Open-Source-Bibliotheken, Firmware-Module, Cloud-Dienste und Lieferanten angewiesen. Die CRA-Bereitschaft erfordert daher einen starken Software- und Hardware-Lieferkettenprozess.

ComplyMarket unterstützt:

• Fragebögen zur Cybersicherheit von Lieferanten
• SBOM-Erfassung und -Überprüfung
• Überprüfung des Open-Source-Abhängigkeitsrisikos
• Prozess zur Überwachung von Sicherheitslücken
• Risikobewertung von Bauteilen
• Sammlung von Lieferantenbeweisen
• Cybersicherheitsklauseln für Lieferantendokumentation
• Compliance-Beweismanagement auf Produktebene

Dies hilft Herstellern, das Cybersicherheitsrisiko zu reduzieren und vertretbare technische Dokumentationen zu erstellen.

9. Benannte Stelle und Akkreditierungsunterstützung

Für einige CRA-Produktkategorien ist möglicherweise die Einbeziehung einer benannten Konformitätsbewertungsstelle erforderlich. ComplyMarket unterstützt die Vorbereitung solcher Bewertungen, erhebt jedoch nicht den Anspruch, als benannte Stelle zu fungieren, sofern dies nicht gesondert vereinbart und gesetzlich genehmigt wurde.

ComplyMarket kann Kunden helfen:

• Stellen Sie fest, ob die Einbeziehung einer benannten Stelle erforderlich sein kann
• Bereiten Sie vor der Einreichung die technische Dokumentation vor
• Überprüfen Sie Beweise zur Cybersicherheit
• Koordinieren Sie sich bei Bedarf mit akkreditierten Laboren oder benannten Stellen
• Schließen Sie Lücken, die bei der Vorbewertung festgestellt wurden

Dieser Ansatz bietet Herstellern praktische Unterstützung und sorgt gleichzeitig für eine klare Unterscheidung zwischen Beratung, Testunterstützung und formeller Konformitätsbewertung durch Dritte.

Typische Leistungen

Ein CRA-Projekt mit ComplyMarket kann Folgendes umfassen:

• CRA-Anwendbarkeitsbericht
• Produktklassifizierungsbericht
• Bewertung der Produktgrenzen
• CRA-Anhang-I-Compliance-Matrix
• Risikobewertung der Cybersicherheit
• Sicherheitstestplan
• Bericht zum Penetrationstest
• Firmware- oder eingebetteter Sicherheitsbericht
• Zusammenfassung der SBOM- und Softwarezusammensetzungsanalyse
• Bewertung der Lücken im Umgang mit Schwachstellen
• Workflow zur Vorfallmeldung
• Checkliste für die technische Dokumentation
• Entwurf einer EU-Konformitätserklärung
• Bericht zur CE-Kennzeichnungsbereitschaft
• Sanierungs-Roadmap
• Management-Präsentation

Wer braucht CRA-Unterstützung?

Die CRA-Dienste von ComplyMarket sind für Unternehmen relevant, die Produkte mit digitalen Elementen in der EU herstellen, importieren, vertreiben oder liefern.

Dazu gehören Unternehmen in Branchen wie:

• Elektronik
• Industrielle Automatisierung
• Laborausrüstung
• Medizinische und biowissenschaftliche Geräte
• Intelligente Geräte
• Maschinen
• IKT-Produkte
• Softwareprodukte
• Verbraucher-IoT
• Professionelles IoT
• Gebäudeautomation
• Energie- und Infrastrukturausrüstung
• Angeschlossene Mess- und Überwachungsgeräte

Wenn ein Produkt Software, Firmware, Konnektivität, Datenaustausch, Fernzugriff oder digitale Steuerungsfunktionen umfasst, sollte die CRA bewertet werden.

Warum sollten Sie sich für ComplyMarket für die CRA-Bereitschaft entscheiden?

ComplyMarket vereint Produktkonformität, behördliche Bewertung, Lieferantendatenmanagement, Cybersicherheitstests und technische Dokumentationsunterstützung.

Unser Service richtet sich an Produkt-Compliance- und Engineering-Teams, die praktische Ergebnisse und nicht nur rechtliche Interpretationen benötigen.

ComplyMarket hilft Kunden:

• Verstehen Sie, ob die CRA gilt
• Identifizieren Sie betroffene Produkte und Produktfamilien
• Priorisieren Sie Produkte mit hohem Risiko
• Erstellen Sie eine realistische Compliance-Roadmap
• Testen Sie Produkte anhand anerkannter Cybersicherheitsmethoden
• Bereiten Sie technische Dokumentation vor
• Verbessern Sie den Umgang mit Schwachstellen
• Bereiten Sie sich auf die CE-Kennzeichnung vor
• Kommunizieren Sie Anforderungen an Lieferanten
• Reduzieren Sie das Regulierungs- und Marktzugangsrisiko

Empfohlene CRA-Bereitschafts-Roadmap

Hersteller sollten nicht bis zum vollständigen Bewerbungstermin warten. Die CRA-Konformität erfordert Änderungen am Produktdesign, Prozessaktualisierungen und die Sammlung von Beweisen.

Eine praktische Roadmap ist:

1. Erstellen Sie einen Produktbestand.
2. Identifizieren Sie Produkte mit digitalen Elementen.
3. Klassifizieren Sie Produkte nach CRA-Kategorie.
4. Definieren Sie Produktgrenzen und Verantwortlichkeiten.
5. Führen Sie eine CRA-Anhang-I-Lückenbewertung durch.
6. Überprüfen Sie sichere Entwicklungs- und Schwachstellenbehandlungsprozesse.
7. Führen Sie Cybersicherheitstests für repräsentative Produkte durch.
8. Bereiten Sie SBOM- und Lieferkettennachweise vor.
9. Aktualisieren Sie die Produktdokumentation und Benutzeranweisungen.
10. Bereiten Sie technische Unterlagen und die Dokumentation zur Konformitätserklärung vor.
11. Richten Sie Arbeitsabläufe für die Meldung von Schwachstellen und Vorfällen ein.
12. Testen Sie kritische Lücken erneut und behalten Sie die Überwachung nach der Markteinführung bei.

Fazit

Der EU Cyber Resilience Act ist eine der wichtigsten Änderungen in der Produktcompliance für vernetzte Produkte und Software. Es macht Cybersicherheit zu einer Marktzugangsanforderung und verknüpft sie direkt mit Produktdesign, Dokumentation, Schwachstellenbehandlung und CE-Kennzeichnungsbereitschaft.

ComplyMarket hilft Herstellern, sich frühzeitig vorzubereiten, Unsicherheiten zu reduzieren und praktische Beweise für die CRA-Konformität zu sammeln. Unabhängig davon, ob Sie eine produktspezifische Bewertung oder ein umfassendes Portfolio-Bereitschaftsprogramm benötigen, kann ComplyMarket Ihr Team von der ersten Festlegung des Scorings bis hin zur technischen Dokumentation und Cybersicherheitstests unterstützen.

Kontaktieren Sie ComplyMarket, um Ihre CRA-Bereitschaftsbewertung zu starten und Ihre Produkte mit digitalen Elementen für den europäischen Markt vorzubereiten.

FAQ-Bereich

Was ist das Cyber Resilience Act?

Der Cyber ​​Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen einführt, die auf den EU-Markt gebracht werden.

Welche Produkte fallen unter die CRA?

Die CRA kann für Hardware- und Softwareprodukte gelten, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden sind. Dazu gehören IoT-Geräte, eingebettete Systeme, Firmware, Softwareanwendungen, vernetzte Industrieanlagen, mobile Apps und bestimmte Remote-Datenverarbeitungslösungen.

Ist die CRA-Konformität mit der CE-Kennzeichnung verknüpft?

Ja. Bei abgedeckten Produkten wird die CRA-Konformität Teil des Konformitätsbewertungs- und CE-Kennzeichnungsprozesses.

Wann gelten CRA-Pflichten?

Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle beginnen am 11. September 2026. Die wichtigsten CRA-Verpflichtungen gelten ab dem 11. Dezember 2027.

Bietet ComplyMarket eine CRA-Zertifizierung an?

ComplyMarket bietet CRA-Bereitschaft, Cybersicherheitstests, Lückenbewertung und Unterstützung bei der technischen Dokumentation. Die formelle Konformitätsbewertung einer benannten Stelle muss, sofern erforderlich, von einer ordnungsgemäß benannten Konformitätsbewertungsstelle durchgeführt werden.

Welche Standards sind für die CRA-Compliance relevant?

Relevante Standards können harmonisierte CRA-Standards sein, sobald sie verfügbar sind, IEC 62443, ISO/IEC 29147, ISO/IEC 30111, OWASP-Teststandards, EN 18031, wenn es um Funkgeräte geht, und SBOM-bezogene Formate wie CycloneDX und SPDX.

Was ist eine CRA-Lückenbewertung?

Bei einer CRA-Lückenbewertung werden ein Produkt und seine unterstützenden Prozesse mit den CRA-Anforderungen verglichen, fehlende Kontrollen oder Nachweise identifiziert und ein Abhilfeplan erstellt.

Warum jetzt mit der CRA-Compliance beginnen?

Die CRA-Konformität erfordert möglicherweise Produktdesignänderungen, Tests, Lieferantennachweise, SBOM-Management, Schwachstellenbehandlung und Dokumentationsaktualisierungen. Ein früher Beginn verringert das Risiko eines verzögerten Marktzugangs.