Ihr Produkt enthält Software und wird in der EU verkauft? Dann fällt es voraussichtlich unter den Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847. Sie verlangt von Herstellern, dass Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus sicher sind – und dass sich das belegen lässt. Wir prüfen Ihr Produkt aus technischer Sicht, zeigen Ihnen, wo es steht, und setzen die nötigen Maßnahmen auf Wunsch mit Ihnen um.
Die Fristen
- Seit 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Sie gelten auch für Produkte, die bereits auf dem Markt sind.
- Ab 11. Dezember 2027: Die Verordnung gilt vollständig, einschließlich der grundlegenden Cybersicherheitsanforderungen, der Konformitätsbewertung und der CE-Kennzeichnung.
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die übrigen Anforderungen erst erfüllen, wenn sie danach wesentlich geändert werden.
Was wir für Sie prüfen
1. Bestandsaufnahme
Welche Produkte und Versionen sind betroffen, welche Software steckt darin, welche Schnittstellen und Datenverbindungen gibt es? Wir klären technisch, ob Ihr Produkt in den Anwendungsbereich fällt und welche Einstufung naheliegt – Standardprodukt, wichtiges oder kritisches Produkt. Davon hängt ab, ob Sie die Konformität selbst bewerten können oder eine benannte Stelle brauchen. Einige Produktgruppen, etwa Medizinprodukte, sind ausgenommen, weil für sie eigene Regeln gelten.
2. Software-Stückliste (SBOM)
Der CRA verlangt, dass Sie die Komponenten Ihres Produkts kennen und dokumentieren, mindestens die direkten Abhängigkeiten, in einem gängigen maschinenlesbaren Format. Wir erfassen Bibliotheken, Open-Source-Komponenten und zugekaufte Module mit ihren Versionen und richten die Erzeugung der SBOM, etwa im Format CycloneDX oder SPDX, so ein, dass sie bei jedem Build automatisch entsteht.
3. Schwachstellenmanagement
Wir gleichen Ihre Komponenten mit öffentlichen Schwachstellendatenbanken ab, bewerten die Treffer für Ihr Produkt und schlagen Korrekturen vor. Dazu gehört ein Ablauf, wie Sie künftig mit Schwachstellen umgehen: eine Kontaktadresse für Meldungen von außen, ein Konzept zur koordinierten Offenlegung und regelmäßige Prüfungen.
4. Update-Prozess
Sicherheitsupdates müssen Ihre Kunden zügig, sicher und möglichst getrennt von Funktionsupdates erreichen. Wir prüfen, wie Updates heute erstellt, signiert und verteilt werden, und wie Sie den Unterstützungszeitraum abdecken. Er beträgt in der Regel mindestens fünf Jahre, bei kürzerer Nutzungsdauer entsprechend weniger.
5. Sicherheit des Produkts
Wir prüfen die grundlegenden Anforderungen an das Produkt selbst: keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Grundeinstellungen, Schutz vor unbefugtem Zugriff, Verschlüsselung, möglichst kleine Angriffsfläche und Protokollierung sicherheitsrelevanter Ereignisse. Methodisch nutzen wir dafür unsere Qualitätsprüfung mit Code-Review und Sicherheitsprüfung.
6. Technische Dokumentation
Für die Konformitätserklärung brauchen Sie eine technische Dokumentation: Produktbeschreibung, Architektur, Bewertung der Cybersicherheitsrisiken, Verfahren zur Behandlung von Schwachstellen und Informationen für die Nutzer. Wir prüfen, was vorhanden ist, und erstellen die technischen Teile, die fehlen.
7. Meldepflichten
Wird eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt, ist eine Frühwarnung innerhalb von 24 Stunden fällig, eine ausführlichere Meldung innerhalb von 72 Stunden – über die einheitliche Meldeplattform der ENISA. Wir legen mit Ihnen fest, wer Hinweise erkennt, bewertet und meldet, und bereiten die technischen Angaben so vor, dass im Ernstfall keine Zeit verloren geht.
Was Sie von uns erhalten
- Einen Bericht mit dem Stand Ihres Produkts je Anforderungsbereich, verständlich auch für Geschäftsführung und Produktmanagement
- Eine Liste der Maßnahmen, nach Dringlichkeit geordnet und mit geschätztem Aufwand
- Auf Wunsch die Umsetzung: SBOM im Build, Behebung von Schwachstellen, Update-Mechanismus, Dokumentation
- Bei Bedarf eine dauerhafte Begleitung, zum Beispiel über Support und Wartung
Für wen das passt
Unser Angebot richtet sich an Hersteller von Maschinen und Geräten mit eigener Steuerungssoftware, an Anbieter von Labor- und Messtechnik sowie an Unternehmen, die Desktop-Software oder CAD-Add-ins für AutoCAD, BricsCAD oder Revit vertreiben. Wir prüfen Software, die wir selbst entwickelt haben, ebenso wie Software anderer Hersteller und gewachsenen Bestandscode in C#/.NET oder C++.
Hinweis: Wir übernehmen die technische Prüfung und Umsetzung, keine Rechtsberatung. Rechtliche Fragen, etwa die verbindliche Einstufung Ihres Produkts, stimmen wir mit Ihrer Rechtsabteilung bzw. Ihren Anwälten ab.
Ihr nächster Schritt
Im Erstgespräch klären wir, welche Produkte betroffen sein könnten und womit Sie am besten beginnen. Mehr zu unseren Leistungen rund um Qualität und Sicherheit finden Sie in der Übersicht.
kununu