Cyber Resilience Act

ISO 27001 ist eine hervorragende Grundlage, deckt den CRA aber nicht ab. Der CRA ist ein Produktgesetz (für Produkte mit digitalen Elementen), ISO 27001 ein Managementsystem für Ihre Organisation. Vieles aus Ihrem ISMS lässt sich wiederverwenden – Risikomanagement, Prozesse, Governance – aber produktspezifische Pflichten wie Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenmanagement und Meldepflichten kommen zusätzlich hinzu. Wir zeigen Ihnen, was Sie anrechnen können und wo die echten Lücken sind.

Ja. Der CRA wird über die EU-Marktüberwachung durchgesetzt – wie die CE-Pflichten anderer Produkte. Behörden können Produkte vom Markt nehmen und Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes verhängen. Hinzu kommt: Kunden, Distributoren und Ausschreibungen verlangen zunehmend den Konformitätsnachweis – und ab 2027 dürfen betroffene Produkte ohne CE-Kennzeichnung in der EU nicht mehr verkauft werden.

Das ist wertvoll, adressiert aber eine andere Ebene. Ihre IT-Abteilung schützt typischerweise Ihre interne Infrastruktur. Der CRA betrifft die Sicherheit Ihrer Produkte, die Sie in Verkehr bringen – über den gesamten Lebenszyklus, von Secure-by-Design über Schwachstellenmanagement bis zu Meldepflichten gegenüber Behörden. Das erfordert Produkt-, Entwicklungs- und Regulatory-Kompetenz, nicht nur IT-Betrieb.

Der CRA ist Ende 2024 in Kraft getreten. Die Meldepflichten greifen ab September 2026, die vollständigen Anforderungen ab Dezember 2027. Da Konformität Vorlauf braucht – Prozesse, Dokumentation, ggf. benannte Stelle – sollten Sie jetzt beginnen.

Grundsätzlich erfasst der CRA alle "Produkte mit digitalen Elementen", die in der EU in Verkehr gebracht werden – Hardware mit Software ebenso wie eigenständige Software. Bereits sektorspezifisch regulierte Produkte (z.B. bestimmte Medizinprodukte) sind teils ausgenommen. Ihre Betroffenheit klären wir in einem kurzen Erstgespräch.