Der Cyber Resilience Act macht Cybersicherheit zur Marktzugangsbedingung.
Der CRA verpflichtet Unternehmen, die Produkte mit digitalen Elementen in der EU vertreiben, zu nachweisbarer Produktsicherheit. Voll verbindlich ab Dezember 2027.
Wir unterstützen Sie bei der CRA-konformen Umsetzung.
- Pragmatische Umsetzung statt Compliance-Theater
- Integration in bestehende Entwicklungs- und Produktprozesse
- Fokus auf Sicherheit, Nachweisbarkeit und Marktzugang
Definition & Scope: Was regelt der Cyber Resilience Act?
Der CRA legt verbindliche Sicherheitsanforderungen für Produkte mit digitalen Komponenten fest. Im Mittelpunkt stehen sichere Entwicklung, Schwachstellenmanagement, Software-Transparenz und Nachweisbarkeit über den gesamten Produktlebenszyklus.
Sobald Ihr Produkt mit einem anderen Gerät oder dem Internet kommunizieren kann, wird Security by Design zur Voraussetzung für den Marktzugang.
Software
Anwendungen, digitale Services, Software-Produkte und Komponenten, die im EU-Markt bereitgestellt werden.
Hardware
Produkte mit Software, Firmware, Konnektivität oder Update-Funktionalität.
IoT & Embedded
Vernetzte Geräte, industrielle Steuerungen, Sensorik, Maschinen und Embedded Systems.
Open Source & Drittsoftware
Produkte mit externen Komponenten, Bibliotheken, SBOM-Pflichten und Abhängigkeiten.
Welche Unternehmen sind betroffen?
Entscheidend ist nicht der Firmensitz, sondern ob das Produkt im EU-Markt in Verkehr gebracht oder bereitgestellt wird.
Hersteller
Softwareanbieter
Importeure
Distributoren
Private-Label-Anbieter
Was der CRA regelt
- Sicherheitseigenschaften digitaler Produkte
- Umgang mit Schwachstellen und Sicherheitsvorfällen
- Transparenz über eingesetzte Software-Komponenten
- Sichere Update- und Patch-Mechanismen
CRA-Anforderungen erklärt
Reduzierte Übersicht entlang der Verordnung: Produktsicherheit und Schwachstellenbehandlung.
Teil I: Produktsicherheit
Anforderungen an das Produkt selbst:
- Sichere Standardkonfiguration
- Schutz vor unbefugtem Zugriff
- Datenvertraulichkeit und -integrität
- Minimale Angriffsfläche
- Minderung der Auswirkungen von Vorfällen
- Sicherheitsprotokollierung und -überwachung
Teil II: Schwachstellenbehandlung
Anforderungen an das laufende Sicherheitsmanagement:
- Identifizierung und Dokumentation von Schwachstellen
- Koordinierte Schwachstellenoffenlegung (CVD)
- Zeitnahe Sicherheitspatches und Updates
- Software Bill of Materials (SBOM)
- Benutzerbenachrichtigung über Schwachstellen
Timeline: Warum 2027 zu spät ist
CRA-Compliance ist kein Stichtagsprojekt. Betroffene Produkte werden oft Jahre vor dem Launch spezifiziert, entwickelt, zertifiziert und in den Markt gebracht.
Risiko
Fehlende Security-by-Design-Prozesse, lückenhafte Dokumentation oder unklare Update-Mechanismen können Produktlaunches verzögern und Marktzugang gefährden. Diese Seite ersetzt keine Rechtsberatung.
Heute
Produktportfolio und Betroffenheit klären
Klären, welche Produkte, Komponenten und Entwicklungsprozesse in den CRA-Scope fallen.
11. September 2026
Meldepflichten werden verbindlich
Prozesse für Vulnerability Handling, Incident Response und interne Verantwortlichkeiten müssen tragfähig sein.
11. Dezember 2027
Vollständige Sicherheitsanforderungen gelten
Neue Produkte mit digitalen Elementen müssen die CRA-Anforderungen erfüllen, bevor sie im EU-Markt bereitgestellt werden.
Unser Angebot: CRA von der Analyse bis zur Umsetzung
TEQABLE verbindet regulatorisches Verständnis mit praktischer Engineering-Erfahrung. Der Fokus liegt auf umsetzbaren Massnahmen in echten Produkt- und Entwicklungsumgebungen.
CRA Scope Assessment
Einordnung von Produkten, Rollen, Pflichten, Risiken und betroffenen Entwicklungsprozessen.
Engineering Gap Analyse
Prüfung von Secure SDLC, Threat Modelling, Security Defaults, SBOM, Testing und Dokumentation.
Vulnerability Handling
Aufbau tragfähiger Prozesse für Schwachstellenannahme, Bewertung, Behebung, Meldewege und Nachweisbarkeit.
SBOM & Komponenten-Transparenz
Struktur für Software Bill of Materials, Open-Source-Komponenten und Abhängigkeiten.
Secure-by-Design Enablement
Integration von Sicherheitsanforderungen in Architektur, Entwicklung, Reviews, Tests und Release-Prozesse.
Nachweisbare Umsetzung
Dokumentationsstruktur, technische Evidenz, Management-Unterlagen und Vorbereitung auf externe Prüfungen.
CRA-Readiness: Erste Selbsteinschätzung
Ein kurzer Check macht sichtbar, ob akuter Klärungsbedarf besteht.
TEQABLE: Umsetzung statt Papier-Compliance
Wir sind keine theoretische Prüfstelle. Wir arbeiten an der Schnittstelle von Produktentwicklung, Security Engineering, Risikoanalyse und technischer Dokumentation.
Ziel
CRA-Anforderungen so in bestehende Prozesse integrieren, dass Produkte sicherer werden und Teams lieferfähig bleiben.
Offizielle CRA-Richtlinie
Vollständiger Gesetzestext und verbindliche Anforderungen der EU.
CRA Cheatsheet für Entwickler
Kurzübersicht für Engineering-Teams.
CRA Vulnerability Handling
Informationen und Checkliste im Hinblick auf den 11. September 2026
CRA Engineering-Checkliste
Threat Modelling, Secure by Design, SBOM, Updates, Dokumentation.
STRIDE Threat-Modelling Vorlage
Strukturierter Einstieg für Produkt- und Architekturteams.
CRA Anforderungskatalog
Vollständige, strukturierte Übersicht aller relevanten CRA-Anforderungen zur direkten Anwendung.
Unsicher, ob Ihr Produkt betroffen ist?
Beschreiben Sie Produkt, Zielmarkt und aktülle Entwicklungsphase. Wir geben eine erste fachliche Einordnung und schlagen den nächsten sinnvollen Schritt vor.
- Betroffenheit klären
- Risiken priorisieren
- Konkrete Umsetzungsschritte ableiten