CRA-Beratung — Cyber Resilience Act

Der CRA gilt für alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden — also Hardware und Software, die eine direkte oder indirekte Datenverbindung ermöglichen. Das umfasst IoT-Geräte, Betriebssysteme, Anwendungssoftware, Netzwerkkomponenten und auch SaaS-Lösungen. Ausgenommen sind unter anderem bereits regulierte Bereiche wie Medizinprodukte, Luftfahrt und Kraftfahrzeuge sowie Open-Source-Software, die nicht kommerziell bereitgestellt wird. ADVISORI hilft Ihnen bei der Klassifizierung Ihrer Produkte in die CRA-Kategorien (Standard, Klasse I, Klasse II, kritisch).

Der CRA wurde im November

2024 verabschiedet und trat am 10. Dezember

2024 in Kraft. Die Anwendung erfolgt stufenweise: Ab dem 11. September

2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember

2027 sind sämtliche Anforderungen vollständig anzuwenden — einschließlich Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung. Unternehmen sollten jetzt mit der Vorbereitung beginnen, da insbesondere der Aufbau von Secure-by-Design-Prozessen und SBOM-Strukturen erhebliche Vorlaufzeit erfordert.

Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Inventar aller Softwarekomponenten eines Produkts — inklusive Open-Source-Bibliotheken, Frameworks und Abhängigkeiten. Der CRA fordert die SBOM, um Transparenz über die Softwarezusammensetzung zu schaffen und eine schnelle Reaktion auf bekannte Schwachstellen zu ermöglichen. Wird eine Sicherheitslücke in einer weit verbreiteten Bibliothek entdeckt (wie bei Log4Shell), können Unternehmen mit einer aktuellen SBOM sofort identifizieren, welche Produkte betroffen sind. ADVISORI unterstützt Sie bei der Toolauswahl, der Prozessintegration und der laufenden Pflege Ihrer SBOM.

Der Cyber Resilience Act sieht empfindliche Sanktionen vor: Verstöße gegen wesentliche Cybersicherheitsanforderungen können mit Bußgeldern von bis zu

15 Millionen Euro oder 2,

5 % des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Für andere Verstöße gelten Bußgelder bis zu

10 Millionen Euro oder

2 % des Umsatzes. Darüber hinaus können Marktüberwachungsbehörden den Rückruf oder das Verbot von Produkten anordnen. Eine frühzeitige CRA-Compliance schützt nicht nur vor Strafen, sondern sichert auch den Marktzugang in der EU.

Der CRA, NIS 2 und der EU AI Act adressieren unterschiedliche Aspekte der Cybersicherheit und ergänzen sich gegenseitig. Der CRA reguliert die Sicherheit von Produkten mit digitalen Elementen (Produktsicherheit). NIS 2 fokussiert auf die Cybersicherheit von Unternehmen und deren Netzwerke (organisatorische Sicherheit). Der EU AI Act regelt den sicheren und ethischen Einsatz von KI-Systemen. Ein IoT-Hersteller kann beispielsweise gleichzeitig unter alle drei Verordnungen fallen. ADVISORI berät Sie ganzheitlich über alle relevanten Regulierungen hinweg und identifiziert Synergien bei der Umsetzung.