Sicheres Produktdesign
Sicherheit von Anfang an einbauen und die grundlegenden Anforderungen nachweisen.
- Produktanforderungen (secure by design & default)
- Risikobewertung
- Lieferkette / Drittanbieter-Due-Diligence
Neue Anforderungen für Produktsicherheit
Cyber Resilience Act
Der EU Cyber Resilience Act (CRA) führt verbindliche Cybersicherheitsanforderungen für "Produkte mit digitalen Elementen" ein, die in der EU in Verkehr gebracht werden. Von Secure-by-Design über Schwachstellenmanagement bis zur CE-Kennzeichnung müssen Hersteller die Sicherheit ihrer Produkte über den gesamten Lebenszyklus nachweisen und aufrechterhalten. Mit unserer Erfahrung sowohl in der regulatorischen Beratung als auch Produktentwicklung, helfen wir Ihnen Ihre Produkte abzusichern.
Lassen Sie uns sprechen- Dez 2024
- In Kraft getreten
- Sep 2026
- Meldepflichten gelten bereits
- Dez 2027
- Alle Anforderungen gelten
Die Kernthemen des CRA
Der CRA betrifft Ihre Produkte, Prozesse und Dokumentation. Diese Bausteine müssen Sie abdecken.
Schwachstellen & Updates
Schwachstellen behandeln und Produkte über den gesamten Supportzeitraum aktuell halten.
- Schwachstellenmanagement
- Supportzeitraum / Sicherheitsupdates
Konformität & CE-Kennzeichnung
Produkt einordnen, das richtige Verfahren durchlaufen und Konformität erklären.
- Produktklassifizierung
- Konformitätsbewertung
- CE-Kennzeichnung & EU-Konformitätserklärung
Dokumentation & Information
Die erforderliche technische Dokumentation pflegen und Nutzer informieren.
- Technische Dokumentation (Anhang VII)
- Benutzerinformationen (Anhang II)
Meldung & Marktüberwachung
Vorfälle fristgerecht melden und mit den Behörden kooperieren.
- Meldepflichten (24h / 72h)
- Single Point of Contact & Marktüberwachung
Jetzt kostenlos verfügbar
GAP-Analyse-Tool für den CRA
Mit unserem kostenlosen Self-Assessment-Tool bestimmen Sie in wenigen Minuten Ihre CRA-Readiness und erhalten eine GAP-Analyse mit konkreten Handlungsempfehlungen und CRA-Referenzen. Starten Sie direkt im Browser oder abonnieren Sie den Newsletter, um zu Aktualisierungen informiert zu bleiben.
- Readiness-Score über die 12 Kernthemen des CRA
- GAP-Liste mit Maßnahmen und CRA-Referenzen
- Ergebnis als individueller PDF-Report
Oder bleiben Sie per Newsletter zu Aktualisierungen informiert:
Mit der Anmeldung willigen Sie ein, unseren Newsletter per E-Mail zu erhalten; Sie können sich jederzeit wieder abmelden. Weitere Informationen finden Sie in unserer Datenschutzerklärung. Datenschutz
Beratung und Engineering aus einer Hand
Die meisten Anforderungen des CRA werden im Produkt und in der Pipeline umgesetzt, nicht auf dem Papier. Deshalb verbinden wir regulatorische Beratung mit technischer Umsetzung: Anforderungen werden zu prüfbaren Regeln, Nachweise entstehen direkt aus Build und Betrieb.
CRA Quick-Check
Kostenlos
Der schnelle Einstieg: In rund einer Stunde wissen Sie, wo Sie stehen. Digital über unseren CRA-Check oder im persönlichen Gespräch.
- Einordnung Ihrer Betroffenheit
- Ampelbewertung der Kernthemen
- Konkrete Sofortmaßnahmen
Empfohlener Einstieg
CRA Gap-Analyse
1.500 €
Die Standortbestimmung an Ihrem Produkt: Wir bewerten Produkt, Prozesse und Dokumentation gegen die Anforderungen des CRA und priorisieren die Lücken.
- Risikogewichtete Lückenliste
- Fahrplan bis Dezember 2027
- Sinnvoll kombinierbar mit dem Modul Meldeprozess
CRA Readiness-Programm
Angebot nach Umfang
Von der Gap-Analyse bis zur Konformität: Wir setzen die vereinbarten Module mit Ihrem Team um, in Ihrem Tempo und auf Basis dessen, was Sie bereits etabliert haben.
- Gap-Analyse als Ausgangspunkt
- Umsetzungsmodule nach Bedarf
- Begleitung bis zur CE-Kennzeichnung
Alle Preise zzgl. USt. Die Module sind einzeln buchbar oder Teil des Readiness-Programms.
Module über den gesamten Produktlebenszyklus
Jedes Modul liefert ein Ergebnis, das Sie für die Konformität brauchen.
Vor dem Markteintritt
Risiken verstehen, Maßnahmen umsetzen, Konformität nachweisen.
- Risikobewertung
- Zweckbestimmung, Bedrohungen und Maßnahmen nach Art. 13, dokumentiert für die technische Dokumentation.
- Threat Modeling
- Angriffsflächen an Ihrem Produkt, gemeinsam mit dem Entwicklungsteam erarbeitet.
- Secure SDLC und Policy as Code
- Prüfbare Regeln in CI/CD und Cluster, SBOM direkt aus dem Build.
- Technische Dokumentation
- Dokumentation nach Anhang VII, über den Lebenszyklus gepflegt.
- Konformitätsroute und CE
- Produktklasse, passendes Verfahren, EU-Konformitätserklärung und CE-Kennzeichnung.
Nach dem Markteintritt
Klare Zuständigkeiten für Schwachstellen, Meldungen und Updates.
- Meldeprozess nach Art. 14
- Rollen, Vertretung und Plattformzugang, mit geprobter 24-Stunden-Frühwarnung. Diese Pflicht gilt bereits.
- Schwachstellenmanagement und SBOM-Pflege
- Prozess mit Fristen und eine SBOM, die aktuell bleibt.
- Sicherheitsupdates und Supportzeitraum
- Update-Mechanismus und festgelegter Supportzeitraum, Sicherheitsupdates getrennt von Funktionsupdates.
Begleitend
Wissen und Bausteine, die in Ihrem Team bleiben.
- Inhouse-Workshop
- Ein bis zwei Tage an Ihrem eigenen Produkt. Ergebnis: priorisierte Lückenliste und Aufgabenverteilung im Team.
- Policy-as-Code-Bausteine und Vorlagen
- Wiederverwendbare Policies mit CRA-Zuordnung, Vorlagen für Meldeprozess und Dokumentation.
Häufige Fragen
Ich bin bereits ISO 27001 zertifiziert – brauche ich das überhaupt?
ISO 27001 ist eine hervorragende Grundlage, deckt den CRA aber nicht ab. Der CRA ist ein Produktgesetz (für Produkte mit digitalen Elementen), ISO 27001 ein Managementsystem für Ihre Organisation. Vieles aus Ihrem ISMS lässt sich wiederverwenden – Risikomanagement, Prozesse, Governance – aber produktspezifische Pflichten wie Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenmanagement und Meldepflichten kommen zusätzlich hinzu. Wir zeigen Ihnen, was Sie anrechnen können und wo die echten Lücken sind.
Merkt das überhaupt jemand, wenn wir das ignorieren?
Ja. Der CRA wird über die EU-Marktüberwachung durchgesetzt – wie die CE-Pflichten anderer Produkte. Behörden können Produkte vom Markt nehmen und Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes verhängen. Hinzu kommt: Kunden, Distributoren und Ausschreibungen verlangen zunehmend den Konformitätsnachweis – und ab 2027 dürfen betroffene Produkte ohne CE-Kennzeichnung in der EU nicht mehr verkauft werden.
Cybersecurity macht unsere IT-Abteilung – wir sind gut aufgestellt.
Das ist wertvoll, adressiert aber eine andere Ebene. Ihre IT-Abteilung schützt typischerweise Ihre interne Infrastruktur. Der CRA betrifft die Sicherheit Ihrer Produkte, die Sie in Verkehr bringen – über den gesamten Lebenszyklus, von Secure-by-Design über Schwachstellenmanagement bis zu Meldepflichten gegenüber Behörden. Das erfordert Produkt-, Entwicklungs- und Regulatory-Kompetenz, nicht nur IT-Betrieb.
Ab wann gilt der CRA?
Der CRA ist Ende 2024 in Kraft getreten. Die Meldepflichten gelten seit dem 11. September 2026, auch für Produkte, die bereits auf dem Markt sind. Die vollständigen Anforderungen folgen ab dem 11. Dezember 2027. Da Konformität Vorlauf braucht – Prozesse, Dokumentation, ggf. benannte Stelle – sollten Sie jetzt beginnen.
Sind wir überhaupt betroffen?
Grundsätzlich erfasst der CRA alle "Produkte mit digitalen Elementen", die in der EU in Verkehr gebracht werden – Hardware mit Software ebenso wie eigenständige Software. Bereits sektorspezifisch regulierte Produkte (z.B. bestimmte Medizinprodukte) sind teils ausgenommen. Ihre Betroffenheit klären wir in einem kurzen Erstgespräch.
Werden Sie CRA-ready
Im kostenlosen Erstgespräch klären wir, welcher Einstieg zu Ihrem Produkt passt.
info@actsecure.eu