Cyber Resilience Act –
Sind Sie bereit?
Die EU macht Cybersicherheit zur Pflicht. Für Hersteller vernetzter Produkte läuft die Zeit: Die ersten Fristen greifen bereits im September 2026. Wir begleiten Sie sicher durch die Compliance.
Was steckt hinter dem
Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist die erste EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen schafft, die auf dem europäischen Markt angeboten werden – und zwar über den gesamten Produktlebenszyklus hinweg.
Anders als Richtlinien (z. B. NIS2) gilt der CRA als EU-Verordnung unmittelbar in allen Mitgliedstaaten – ohne nationales Umsetzungsgesetz. Er setzt damit dort an, wo NIS2 aufhört: nicht die Unternehmensinfrastruktur, sondern das Produkt selbst muss sicher sein.
Für Industrieunternehmen, die vernetzte Maschinen, Automatisierungssysteme, Steuerungen oder eingebettete Software entwickeln oder vertreiben, bedeutet das: Cybersicherheit ist kein optionaler Qualitätsfaktor mehr – sie wird zur CE-Pflicht.
- Secure by Design: Sicherheit muss von Beginn der Produktentwicklung berücksichtigt werden
- Schwachstellenmanagement über den gesamten Produktlebenszyklus – inklusive Software Bill of Materials (SBOM)
- Aktive Meldung ausgenutzter Sicherheitslücken innerhalb von 24 Stunden an ENISA und CSIRT
- Sicherheitsupdates müssen über die gesamte Nutzungsdauer bereitgestellt werden
- Standardmäßig sichere Werkseinstellungen – keine schwachen Standardpasswörter
- Konformitätsbewertung und CE-Kennzeichnung für Cybersicherheit ab 2027
Wer ist betroffen – und warum
unterschätzen das viele?
Der Geltungsbereich ist bewusst weit gefasst. Betroffen sind alle, die Produkte mit digitalen Elementen in der EU herstellen, einführen oder vertreiben – unabhängig von Unternehmensgröße oder Branche.
Vernetzte SPS-Steuerungen, Robotersysteme, Anlagensteuerungen und jede Maschine mit Ethernet-Schnittstelle oder Fernwartungszugang fällt unter den CRA – auch wenn Software nur eine Nebenrolle spielt.
Eingebettete Systeme, Sensoren mit Netzwerkfähigkeit, Mikrocontroller und alle vernetzten Industriekomponenten – gerade Hersteller von Nischenprodukten werden überrascht sein, wie breit der CRA greift.
Leitsysteme, SCADA-Applikationen, HMI-Software und jede Software mit lokaler Client-Komponente oder Update-Funktion muss CRA-konform sein – das betrifft auch maßgeschneiderte Industriesoftware.
Nicht nur Hersteller tragen Verantwortung: Wer Produkte in die EU einführt oder weitervertreibt, haftet ebenfalls für CRA-Konformität – auch wenn die Entwicklung außerhalb der EU stattfindet.
Industriesteuerungen, Firewalls, Betriebssysteme und weitere Kategorien werden als „wichtig“ oder „kritisch“ eingestuft und unterliegen verschärften Anforderungen mit obligatorischer Drittstellenprüfung.
Der CRA adressiert ausdrücklich die gesamte Lieferkette. Wer Komponenten an OEMs oder Systemintegratoren liefert, wird von seinen Kunden zunehmend Nachweise über CRA-Konformität einfordern müssen.
Die Uhr läuft –
Fristen & Pflichten im Detail
Der CRA staffelt seine Anforderungen in drei Stufen. Wer jetzt wartet, riskiert nicht nur Bußgelder, sondern vor allem Marktverlust: Ohne CE-Kennzeichnung kein Verkauf in der EU ab Dezember 2027.
Was bei Nichteinhaltung
droht – konkret
Der CRA sieht empfindliche Sanktionen vor. Doch das eigentliche Risiko ist nicht das Bußgeld – es ist der Verlust des EU-Marktzugangs und das Haftungsrisiko gegenüber Kunden und Partnern.
Vom Assessment zur
zertifizierungsfähigen Lösung
Mit unserer langjährigen Erfahrung in Embedded Systems, Automatisierungstechnik und Cybersicherheit begleiten wir Sie strukturiert durch den gesamten CRA-Compliance-Prozess.
Wir tauschen uns mit Ihnen aus, welche Ihrer Produkte und Systeme unter den CRA fallen, geben Handlungsempfehlungen zur Klassifizierung Risikoklasse und unterstützen bei der Identifizierung von Lücken gegenüber den Anforderungen. Ergebnis: ein klares Bild Ihres Handlungsbedarfs.
Wir analysieren Ihre Produktarchitektur und implementieren Security-by-Design-Prinzipien direkt in Ihren Entwicklungsprozessen – sowohl für neue Produkte als auch für bestehende Systeme mit wesentlichen Änderungen.
Wir unterstützen beim Aufbau einer vollständigen Software Bill of Materials (SBOM), implementieren automatisiertes Schwachstellen-Monitoring und etablieren die für September 2026 verpflichtenden Meldeprozesse.
Wir unterstützen bei der Erstellung der geforderten technische Dokumentation, begleiten Sie durch den Konformitätsbewertungsprozess und bereiten – wo erforderlich – die Drittstellenprüfung für wichtige und kritische Produkte vor.
Wir implementieren die technischen Voraussetzungen für die 24-Stunden-Meldepflicht, definieren Eskalationsketten, richten Monitoring-Infrastruktur ein und schulen Ihre Teams auf die neuen Abläufe.
Cybersicherheit endet nicht mit der Markteinführung. Wir begleiten Sie dauerhaft: Sicherheitsupdates über den Produktlebenszyklus, Reaktion auf neue Schwachstellen, Anpassungen bei regulatorischen Änderungen.
Engineering meets Security –
aus einer Hand
Viele Beratungsangebote kommen aus der reinen IT-Security-Welt. Wir kennen zusätzlich die Realität industrieller Systeme, von der SPS bis zum Embedded-Prozessor.
Wir entwickeln seit Jahren sichere Lösungen für industrielle Umgebungen und kennen die besonderen Herausforderungen vernetzter Produktionssysteme aus eigener Praxiserfahrung.
Unsere Teams decken Embedded Software, Hardwareentwicklung, Leitsystemtechnik und industrielle Bildverarbeitung ab – wir verstehen Ihre Produkte technisch, nicht nur regulatorisch.
Von der Gap-Analyse bis zur CE-Kennzeichnung: Wir begleiten den gesamten Prozess – kein Handoff zwischen Beratern und Umsetzern, sondern ein Team, das Sie kennt.
CRA-Compliance muss nicht zwingend teuer sein. Wir priorisieren Maßnahmen nach Wirksamkeit und Aufwand und orientieren uns dabei an Ihrer Unternehmensrealität.
Ihr CRA-Status –
in 60 Minuten klar.
In einem unverbindlichen Erstgespräch klären wir, welche Ihrer Produkte betroffen sind, welche Fristen für Sie prioritär sind und welche nächsten Schritte Sinn ergeben. Ohne Verpflichtung, ohne Fachchinesisch.