01
Gespräch und Umfang
Produkt, Versionen, Unternehmensrolle, Märkte und vorhandene Unterlagen klären. Prüfgrenzen und Zugriffsregeln festlegen.
Cyber Resilience Act
CRA: Prüfung und Umsetzung
Sie entwickeln Software oder Geräte für den EU-Markt? Wir helfen, den Anwendungsbereich des Cyber Resilience Act zu klären, Lücken zu prüfen und Änderungen zu planen. Die Umsetzung von Schutzmaßnahmen, Schwachstellenmanagement und Produktdokumentation vereinbaren wir gesondert.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Fällt Ihr Produkt unter den CRA?
Der Cyber Resilience Act, Verordnung (EU) 2024/2847, betrifft Produkte mit digitalen Elementen, die im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden. Er erfasst Hard- und Software, deren vorhersehbare Nutzung eine direkte oder indirekte Verbindung mit einem Gerät oder Netzwerk umfasst. Wir beginnen beim Produkt, Vertriebsmodell und Ihrer Rolle als Hersteller, Einführer oder Händler. Kleine Unternehmen sind nicht automatisch ausgenommen. Der Hersteller verantwortet Produktsicherheit und Schwachstellenbehandlung. Einführer prüfen unter anderem Konformitätsbewertung und Herstellerunterlagen; Händler kontrollieren CE-Kennzeichnung und erforderliche Angaben und reagieren auf festgestellte Nichtkonformität.
CRA-Prüfung: Was wir untersuchen
Sie erhalten eine Übersicht der Anforderungen und Lücken, Prüfnachweise und einen Maßnahmenplan. Technische Tests und den Zugang zum Quellcode stimmen wir vorab ab.
Produkt und Rolle
Wir analysieren Funktionen, Cloud-Abhängigkeiten, Komponenten und Ihre Rolle. Wir prüfen Ausnahmen sowie wichtige und kritische Produktkategorien, die das Konformitätsbewertungsverfahren beeinflussen.Risiken und Schutzmaßnahmen
Wir prüfen Risikobewertung, Voreinstellungen, Authentifizierung, Datenschutz und Aktualisierungsmechanismen. Vereinbarte Tests beziehen sich auf die Anforderungen in Anhang I.Schwachstellen und Komponenten
Wir prüfen die Softwarestückliste (SBOM), externe Abhängigkeiten, Meldungen, Fehlerbehebung und den Unterstützungszeitraum. Dabei betrachten wir Verantwortlichkeiten über den gesamten Produktlebenszyklus.Dokumentation und Nachweise
Wir prüfen technische Unterlagen, Anleitungen und Testaufzeichnungen. Der Bericht trennt bestätigte Feststellungen, Lücken und nicht überprüfte Bereiche.CRA-Umsetzung: Wie wir unterstützen
Nach der Prüfung wählen Sie die nächsten Schritte. Wir können mit unserem Bericht arbeiten oder eine vorhandene Bewertung prüfen. Änderungen am Produkt selbst erfordern die Mitwirkung der Produktverantwortlichen und des Entwicklungsteams.
Sichere Entwicklung und Updates
Wir strukturieren Sicherheitsanforderungen, Änderungsprüfungen und Tests. Wir helfen bei der Planung von Korrekturen und sicheren Updates mit vereinbarten Abnahmekriterien.Schwachstellen und Meldungen
Wir erarbeiten Meldewege, Zuständigkeiten und Reaktionsregeln. Gemeinsam üben wir die Einstufung, Eskalation und Datenerfassung für Meldungen über die ENISA-Plattform.Technische Unterlagen
Wir unterstützen bei Risikobewertung, Komponentenverzeichnis, Unterstützungsrichtlinie und technischen Unterlagen. Anforderungen werden mit Umsetzungsnachweisen verknüpft.Prüfung der Korrekturen
Wir überprüfen Schutzmaßnahmen und Prozesse im vereinbarten Umfang erneut. Sie erhalten Ergebnisse, verbleibende Risiken und laufende Aufgaben für das Produktteam.Ablauf der Zusammenarbeit
Sie können die Prüfung einzeln oder eine gesondert vereinbarte Umsetzung beauftragen. Kosten und Zeitplan hängen von Produktanzahl, Architektur, Unterlagen und Tests ab.
02
Prüfung und Prioritäten
Unterlagen analysieren, Gespräche führen und vereinbarte Prüfungen durchführen. Lückenbericht und Maßnahmenplan übergeben.
03
Umsetzung
Nach gesonderter Vereinbarung Prozesse und Dokumentation vorbereiten sowie das Team bei technischen Änderungen unterstützen.
04
Verifikation und Pflege
Korrekturen prüfen, verbleibende Risiken benennen und regelmäßige Prüfungen, Updates sowie Zuständigkeiten vereinbaren.
Praktischer Umfang
CRA-Fristen und Meldung von Ereignissen
Informationsstand: 24. September 2026. Die Verordnung trat am 10. Dezember 2024 in Kraft; ihre Pflichten gelten ab unterschiedlichen Zeitpunkten.
Die Meldepflichten der Hersteller nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits. Sie erfassen auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Nach Kenntniserlangung folgen Frühwarnung und weitere Meldung. Der Abschlussbericht zu einer Schwachstelle ist spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Minderungsmaßnahme fällig; bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
Die meisten CRA-Anforderungen werden anwendbar. Zuvor in Verkehr gebrachte Produkte werden grundsätzlich erfasst, wenn sie ab diesem Datum wesentlich verändert werden; für Meldungen gilt eine gesonderte Regel.
grundsätzlich mindestens fünf Jahre, außer die erwartete Nutzungsdauer ist kürzer. Produkttyp, Verwendung und Erwartungen der Nutzer sind bei der Festlegung zu berücksichtigen.
Prüfung, Normen und Konformität
Lückenanalyse und Umsetzung unterstützen die Vorbereitung des Produkts und der Nachweise. Sie ersetzen weder das vorgeschriebene Konformitätsbewertungsverfahren noch die EU-Konformitätserklärung oder CE-Kennzeichnung. Das Verfahren hängt von Produktkategorie und Spezifikationen ab; in bestimmten Fällen ist eine notifizierte Stelle erforderlich. Virtline wird hier nicht als solche Stelle dargestellt. Ausgangspunkt sind die CRA-Anforderungen einschließlich Anhang I. Normen und Spezifikationen wählen wir anhand der Produktrisiken aus. Die Arbeiten von CEN, CENELEC und ETSI im Auftrag M/606 umfassen übergreifende und produktspezifische Normen. Ein Entwurf oder die Veröffentlichung einer Norm allein begründet nicht automatisch eine CRA-Konformitätsvermutung. Vor der Anwendung prüfen wir Fassung, Anwendungsbereich und Veröffentlichung der Fundstelle im Amtsblatt der EU. Die Konformitätsvermutung gilt nur für die von der Norm erfassten Anforderungen.
Rechtsgrundlagen, Leitlinien und Normung
Offizielle Quellen zu Anwendungsbereich und Fristen. Leitlinien erläutern die Regeln, ersetzen aber nicht die Verordnung. Den Normenstatus prüfen wir produktbezogen.
Fragen zum CRA
Wie unterscheidet sich der CRA von NIS2?
+
Der CRA betrifft die Cybersicherheit von Produkten mit digitalen Elementen und Pflichten über ihren Lebenszyklus. NIS2 betrifft die Sicherheit der erfassten Organisationen. Beide Regelungen können ein Unternehmen betreffen. Eine NIS2-Prüfung oder ein ISO-27001-Zertifikat allein bestätigt keine CRA-Konformität eines Produkts.
Erfasst der CRA SaaS und Open Source?
+
Nicht jeder Cloud-Dienst fällt unter den CRA. Fernverarbeitung kann erfasst sein, wenn sie die Definition einer für eine Produktfunktion erforderlichen Lösung erfüllt. Freie und quelloffene Software außerhalb einer Geschäftstätigkeit ist ausgenommen; für Verwalter quelloffener Software gelten besondere Regeln. Kostenloser Zugang allein entscheidet nicht über eine Ausnahme. Wir prüfen das konkrete Bereitstellungsmodell.
Gilt der CRA für jedes Gerät?
+
Nein. Ausnahmen betreffen unter anderem Produkte nach Medizinprodukterecht, bestimmten Fahrzeugvorschriften, Luftfahrtzertifizierung oder Schiffsausrüstungsrecht. Produkte ausschließlich für Verteidigung oder nationale Sicherheit werden gesondert behandelt. Rechtsgrundlage und Verwendungszweck müssen für eine Ausnahme geprüft werden.
Erhalte ich durch die Prüfung ein CRA-Zertifikat und CE?
+
Nein. Sie erhalten einen Bericht zum vereinbarten Prüfumfang und einen Maßnahmenplan. Umsetzung, erneute Tests und Dokumentation werden gesondert vereinbart. Der Hersteller bleibt für Konformitätsbewertung, EU-Erklärung und CE verantwortlich; die Beteiligung einer notifizierten Stelle hängt von Produktkategorie und Verfahren ab.
Produkt und Arbeitsumfang besprechen
Beschreiben Sie Ihre Software oder Ihr Gerät, Ihre Märkte und ob Sie eine Prüfung, Umsetzung oder Überprüfung der Meldebereitschaft benötigen. Eine Produktbeschreibung genügt für den Einstieg.
CRA-Prüfung oder Umsetzung besprechen