Ihr Produkt enthält Software und wird in der EU verkauft? Dann fällt es voraussichtlich unter den Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847. Sie verlangt von Herstellern, dass Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus sicher sind. Und dass sich das belegen lässt. Wir prüfen Ihr Produkt aus technischer Sicht, zeigen Ihnen, wo es steht, und setzen die nötigen Maßnahmen mit Ihnen um.
Die Fristen
- Seit 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Sie gelten auch für Produkte, die bereits auf dem Markt sind.
- Ab 11. Dezember 2027: Die Verordnung gilt vollständig, einschließlich der grundlegenden Cybersicherheitsanforderungen, der Konformitätsbewertung und der CE-Kennzeichnung.
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die übrigen Anforderungen erst erfüllen, wenn sie danach wesentlich geändert werden.
Betrifft der CRA Ihr Produkt?
Der CRA gilt für Produkte mit digitalen Elementen, die eine Datenverbindung zu einem Gerät oder Netz haben können. Das sind Geräte mit eigener Software, aber auch reine Software, die Sie verkaufen. Also auch Desktop-Programme, Apps und Add-ins für CAD-Systeme.
- Betroffen sind zum Beispiel Maschinen und Geräte mit Steuerungssoftware, Mess- und Labortechnik, Desktop-Software, CAD-Add-ins, Firmware und Apps.
- Ausgenommen sind Produkte mit eigenen Regeln, etwa Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge und Luftfahrt. Reine Cloud-Dienste fallen meist unter NIS2 statt unter den CRA, solange sie nicht zu einem Produkt gehören.
Welche Klasse hat Ihr Produkt?
Die meisten Produkte sind Standardprodukte. Für sie bewerten Sie die Konformität selbst. Strengere Regeln gelten für wichtige Produkte der Klassen I und II, etwa Betriebssysteme, Passwortmanager, Router oder Firewalls, und für kritische Produkte wie Smartcards. Dort braucht es je nach Klasse harmonisierte Normen oder eine benannte Stelle.
Was der CRA von Herstellern verlangt
- Sicherheit von Anfang an: keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Grundeinstellungen und Schutz vor unbefugtem Zugriff.
- Eine Bewertung der Cybersicherheitsrisiken, die Sie aktuell halten.
- Eine Software-Stückliste (SBOM) mit mindestens den direkten Abhängigkeiten.
- Einen geregelten Umgang mit Schwachstellen, einschließlich einer Kontaktadresse für Meldungen.
- Sicherheitsupdates für den Unterstützungszeitraum, in der Regel mindestens fünf Jahre. Jedes Update bleibt mindestens zehn Jahre abrufbar.
- Technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
- Meldungen über die Plattform der ENISA innerhalb von 24 und 72 Stunden.
Bei Verstößen gegen die grundlegenden Anforderungen drohen Bußgelder bis 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Quelle: Verordnung (EU) 2024/2847, Art. 2, 7, 13, 14, 64, 69 und 71
Was wir für Sie prüfen und umsetzen
1. Bestandsaufnahme
Welche Produkte und Versionen sind betroffen, welche Software steckt darin, welche Schnittstellen und Datenverbindungen gibt es? Wir klären technisch, ob Ihr Produkt in den Anwendungsbereich fällt und welche Einstufung naheliegt. Davon hängt ab, ob Sie die Konformität selbst bewerten können oder eine benannte Stelle brauchen.
2. Software-Stückliste (SBOM)
Der CRA verlangt, dass Sie die Komponenten Ihres Produkts kennen und dokumentieren, mindestens die direkten Abhängigkeiten, in einem gängigen maschinenlesbaren Format. Wir erfassen Bibliotheken, Open-Source-Komponenten und zugekaufte Module mit ihren Versionen und richten die SBOM im Format CycloneDX oder SPDX so ein, dass sie bei jedem Build automatisch entsteht.
3. Schwachstellenmanagement
Wir gleichen Ihre Komponenten mit öffentlichen Schwachstellendatenbanken ab, bewerten die Treffer für Ihr Produkt und schlagen Korrekturen vor. Dazu gehört ein Ablauf, wie Sie künftig mit Schwachstellen umgehen: eine Kontaktadresse für Meldungen von außen, ein Konzept zur koordinierten Offenlegung und regelmäßige Prüfungen.
4. Update-Prozess
Sicherheitsupdates müssen Ihre Kunden zügig, sicher und möglichst getrennt von Funktionsupdates erreichen. Wir prüfen, wie Updates heute erstellt, signiert und verteilt werden, und wie Sie den Unterstützungszeitraum abdecken. Fehlt ein sicherer Update-Weg, bauen wir ihn.
5. Sicherheit des Produkts
Wir prüfen die grundlegenden Anforderungen an das Produkt selbst: sichere Grundeinstellungen, Schutz vor unbefugtem Zugriff, Verschlüsselung, möglichst kleine Angriffsfläche und Protokollierung sicherheitsrelevanter Ereignisse. Methodisch nutzen wir dafür unsere Qualitätsprüfung mit Code-Review und Sicherheitsprüfung.
6. Technische Dokumentation
Für die Konformitätserklärung brauchen Sie eine technische Dokumentation: Produktbeschreibung, Architektur, Bewertung der Cybersicherheitsrisiken, Verfahren zur Behandlung von Schwachstellen und Informationen für die Nutzer. Wir prüfen, was vorhanden ist, und erstellen die technischen Teile, die fehlen.
7. Meldepflichten
Wird eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt, ist eine Frühwarnung innerhalb von 24 Stunden fällig und eine ausführlichere Meldung innerhalb von 72 Stunden, über die einheitliche Meldeplattform der ENISA. Wir legen mit Ihnen fest, wer Hinweise erkennt, bewertet und meldet, und bereiten die technischen Angaben so vor, dass im Ernstfall keine Zeit verloren geht.
Alte Software und der CRA
Schwierig wird der CRA vor allem bei gewachsener Software. Wer liefert ein Sicherheitsupdate für eine Bibliothek, deren Hersteller es nicht mehr gibt? Wie entsteht eine SBOM, wenn Komponenten von Hand ins Projekt kopiert wurden? Und wie kommt ein signiertes Update zum Kunden, wenn es keinen Update-Weg gibt?
Hier hilft die Software-Modernisierung. Wir ersetzen veraltete Komponenten, richten eine automatische Build-Kette mit SBOM ein und bauen einen sicheren Update-Mechanismus. Bei Delphi, VB6, VBA oder MFC verbinden wir das mit der Portierung. Wichtig: Eine wesentliche Änderung nach dem 11. Dezember 2027 bringt Ihr Produkt vollständig unter den CRA. Planen Sie Modernisierung und CRA deshalb gemeinsam.
Der Einstieg: CRA-Check
Im CRA-Check ordnen wir ein Produkt ein, erstellen eine erste Software-Stückliste und gleichen die Komponenten mit bekannten Schwachstellen ab. Danach wissen Sie, wo Ihr Produkt steht und was bis Dezember 2027 zu tun ist.
- Einordnung: Fällt Ihr Produkt unter den CRA, und welche Klasse liegt nahe?
- Erste Software-Stückliste (SBOM) im Format CycloneDX oder SPDX
- Abgleich der Komponenten mit bekannten Schwachstellen
- Lückenliste je Anforderung mit Maßnahmenplan und Aufwand
Sie erhalten einen Prüfbericht mit dem Stand Ihres Produkts je CRA-Anforderung, der Software-Stückliste und einem Maßnahmenplan mit Festpreisangebot. Der CRA-Check kostet 2.990 € zum Festpreis zzgl. MwSt. für ein Produkt. Beauftragen Sie danach die Umsetzung, rechnen wir 50 % des Paketpreises an.
Was Sie von uns erhalten
- Einen Bericht mit dem Stand Ihres Produkts je Anforderungsbereich, verständlich auch für Geschäftsführung und Produktmanagement
- Eine Liste der Maßnahmen, nach Dringlichkeit geordnet und mit geschätztem Aufwand
- Auf Wunsch die Umsetzung: SBOM im Build, Behebung von Schwachstellen, Update-Mechanismus, Dokumentation
- Bei Bedarf eine dauerhafte Begleitung, zum Beispiel über Support und Wartung
Für wen das passt
Unser Angebot richtet sich an Hersteller von Maschinen und Geräten mit eigener Steuerungssoftware, an Anbieter von Labor- und Messtechnik sowie an Unternehmen, die Desktop-Software oder CAD-Add-ins für AutoCAD, BricsCAD oder Revit vertreiben. Wir prüfen Software, die wir selbst entwickelt haben, ebenso wie Software anderer Hersteller und gewachsenen Bestandscode in C#/.NET oder C++.
Hinweis: Wir übernehmen die technische Prüfung und Umsetzung, keine Rechtsberatung. Rechtliche Fragen, etwa die verbindliche Einstufung Ihres Produkts, stimmen wir mit Ihrer Rechtsabteilung bzw. Ihren Anwälten ab.
Mehr aus unserem Fachwissen
- Cyber Resilience Act: Was Softwarehersteller bis Ende 2027 erledigt haben müssen
- SBOM erstellen: die Software-Stückliste für den Cyber Resilience Act
- Alte Software modernisieren: Delphi, VB6 und MFC schrittweise nach .NET
Häufige Fragen zum Cyber Resilience Act
Gilt der CRA auch, wenn wir nur in Deutschland verkaufen?
Ja. Der CRA gilt für alle Produkte, die auf dem EU-Markt bereitgestellt werden, auch wenn Sie nur in einem Land verkaufen.
Gilt der CRA auch für Software, die wir nur intern nutzen?
Software, die Sie nur im eigenen Haus nutzen und nicht anbieten, stellen Sie nicht auf dem Markt bereit. Sie fällt deshalb in der Regel nicht unter den CRA.
Was gilt für Versionen, die unsere Kunden schon haben?
Die Meldepflichten gelten seit dem 11. September 2026 auch für Produkte, die schon auf dem Markt sind. Die übrigen Anforderungen gelten für Produkte, die Sie ab dem 11. Dezember 2027 in Verkehr bringen oder danach wesentlich ändern.
Brauchen wir eine benannte Stelle?
Für Standardprodukte nicht. Die Konformität bewerten Sie selbst. Für wichtige und kritische Produkte kann eine benannte Stelle nötig sein. Das klären wir in der Bestandsaufnahme.
Erstellen Sie auch die Konformitätserklärung?
Wir erstellen die technischen Teile der Dokumentation. Die EU-Konformitätserklärung unterschreiben Sie als Hersteller.
Ihr nächster Schritt
Im Erstgespräch klären wir, welche Produkte betroffen sein könnten und womit Sie am besten beginnen. Mehr zu unseren Leistungen finden Sie unter Software-Modernisierung und Qualität und Sicherheit.
kununu