Dienstleistungen zur Einhaltung des Cyber Resilience Act

Unterstützung von Herstellern während des gesamten CRA-Compliance-Prozesses, vom Erstkontakt bis zur Konformitätsbewertung.

Der Cyber Resilience Act ist noch nicht vollständig verpflichtend, aber seine Anforderungen werden schrittweise in Kraft treten. Hersteller befinden sich auf unterschiedlichen Stufen der Cybersicherheitsreife, und die Vorbereitung hängt davon ab, wann die CRA-Anforderungen gelten und wie gut vorbereitet Produkte und Organisationen darauf vorbereitet sind. 

CRA-Compliance-Checkliste: Wichtige Schritte für Hersteller

• ✓ Ermitteln Sie die geltende Produktklassifizierung (Standard, Wichtig Klasse I/II, Kritisch)
• ✓ Bestimmen Sie den geeigneten Konformitätsbewertungsweg (Modul A, B+C, H oder CSA-System)
• ✓ Prüfen Sie die Verfügbarkeit harmonisierter Normen (hEN) für wichtige Produkte
• ✓ Technische Dokumentation erstellen
• ✓ Selbstbewertung durchführen oder eine unabhängige Bewertungsstelle beauftragen
• ✓ Einhaltung der Anforderungen an die Cybersicherheit und der gesetzlichen Vorschriften sicherstellen
• ✓ Dokumentation und Konformitätsnachweise aufrechterhalten

Die CRA-Verordnung verstehen

Lesen Sie den CRA Essential Guide

Machen Sie sich zunächst mit dem Geltungsbereich, den Zielen und der Struktur des Cyber Resilience Act vertraut, einschließlich der Frage, welche Produkte und Wirtschaftsakteure davon betroffen sind.

Die Einhaltung des CRA erfordert spezifische Verpflichtungen über den gesamten Produktlebenszyklus hinweg, unterstützt durch wesentliche Cybersicherheitsanforderungen, die festlegen, welche Anforderungen Produkte mit digitalen Komponenten in der Praxis erfüllen müssen. CRA-Herstellerpflichten

Obwohl die vollständige Einhaltung der CRA-Vorschriften erst ab Dezember 2027 verpflichtend ist, wird die Meldung von Sicherheitslücken und schwerwiegenden Vorfällen bereits ab September 2026 verpflichtend.  CRA-Meldepflichten (Sept. 2026)

Ermitteln Sie die für Sie geltende Produktklassifizierung und mögliche Wege zur Einhaltung der Vorschriften

Gemäß dem Cyber Resilience Act stehen Herstellern mehrere Wege zur Konformitätsbewertung zur Verfügung. Diese Wahl ist jedoch nicht vollständig frei wählbar. Der CRA legt klar fest, welche Wege zur Einhaltung der Vorschriften je nach Produktkategorie anwendbar sind.  

Bevor sie sich für einen Weg zur Einhaltung der CRA-Vorschriften entscheiden, müssen Hersteller zunächst feststellen, ob ihr Produkt in den Geltungsbereich des CRA fällt und wie es klassifiziert ist. Diese anfängliche Klassifizierung begrenzt oder ermöglicht direkt die verfügbaren Konformitätsbewertungsmodule.

Wege zur CRA-Compliance

• Modul A – Interne Kontrolle: Der Hersteller ist allein dafür verantwortlich, die Einhaltung der wesentlichen Cybersicherheitsanforderungen in Anhang I sicherzustellen. Er erstellt die technische Dokumentation und gewährleistet ordnungsgemäße Prozesse für Design, Entwicklung, Produktion und den Umgang mit Schwachstellen. Die Konformitätserklärung wird ausgestellt und die CE-Kennzeichnung angebracht; die Dokumentation wird mindestens zehn Jahre oder für die Dauer des Supportzeitraums aufbewahrt.
• Modul B – EU-Baumusterprüfung: Eine benannte Stelle bewertet die technische Auslegung des Produkts und die Prozesse zum Umgang mit Schwachstellen auf Grundlage der eingereichten Dokumentation. Sie überprüft die Einhaltung der wesentlichen Anforderungen und stellt bei erfolgreichem Ergebnis eine EU-Baumusterprüfbescheinigung für den genehmigten Produkttyp aus.
• Modul C – Konformität mit dem Baumuster auf Grundlage der internen Fertigungskontrolle: Der Hersteller stellt sicher, dass die produzierten Einheiten dem unter Modul B genehmigten Typ entsprechen und weiterhin die Cybersicherheitsanforderungen erfüllen. Produktionskontrollen werden umgesetzt, die CE-Kennzeichnung wird angebracht und die Konformitätserklärung wird ausgestellt und für den erforderlichen Zeitraum aufbewahrt.
• Modul H – Konformität auf Grundlage einer umfassenden Qualitätssicherung: Der Hersteller betreibt ein von einer benannten Stelle genehmigtes Qualitätsmanagementsystem, das den gesamten Produktlebenszyklus abdeckt. Die benannte Stelle bewertet das System und führt eine laufende Überwachung durch, um die fortlaufende Konformität sicherzustellen. Die Produkte tragen die CE-Kennzeichnung und eine Konformitätserklärung. 
• CSA-System: IKT-Produkte, -Dienstleistungen oder -Prozesse können im Rahmen von EU-Cybersicherheitszertifizierungssystemen zertifiziert werden, die im Cybersecurity Act definiert sind. Die Zertifizierung erfolgt durch akkreditierte Stellen oder nationale Behörden und bestätigt die Einhaltung definierter Anforderungen. Zertifikate sind in allen EU-Mitgliedstaaten gültig.

Bereiten Sie sich jetzt auf die CRA-Konformität vor – mit einer künftigen benannten Stelle

Applus+ Laboratories befindet sich im Prozess der Akkreditierung und Notifizierung als benannte Stelle (NB) im Rahmen des Cyber Resilience Act. In der Zwischenzeit können Hersteller bereits damit beginnen, ihre Produkte und die technische Dokumentation auf die CRA-Konformitätsbewertung vorzubereiten, insbesondere für Wege, die eine Bewertung durch Dritte erfordern, wie Modul B+C und Modul H.

Eine frühzeitige Vorbereitung ermöglicht es Herstellern, Produktdesign, Prozesse zum Umgang mit Schwachstellen und unterstützende Nachweise im Voraus zu bewerten, Unsicherheiten zu verringern und Nacharbeit zu vermeiden, sobald formelle Bewertungen durch benannte Stellen beginnen.