Cyber Resilience Act (CRA) Readiness & Produktsicherheit

Werkzeug und Dienstleistung

CRASteps ist das Arbeitswerkzeug, mit dem wir die Risikoklassen nach Anhang III und IV strukturieren, Anforderungen nach Anhang I prüfen, Komponenten und SBOM erfassen und Lücken vor der CE-Kennzeichnung aufdecken. Die technische Prüfung, Bedrohungsmodellierung und Maßnahmenpriorisierung sind die Leistung von SKOPION Intelligence. Ein Werkzeug ersetzt weder die interne Konformitätsbewertung noch das Verfahren einer Benannten Stelle.

So läuft es ab

1. 01Produkteinstufung: Abgrenzung des Anwendungsbereichs und Klassifizierung (Standard, Wichtige Produkte Klasse I/II, Kritisch).
2. 02Anforderungsabgleich: Prüfung der grundlegenden Cybersicherheitsanforderungen nach Anhang I Teil I (Secure by Design, Integrität, Vertraulichkeit).
3. 03Schwachstellen- & SBOM-Audit: Analyse der Lieferkette, Software-Stücklisten (SBOM) und Prozesse zur 24h-Meldepflicht nach Anhang I Teil II.
4. 04Lückenanalyse & Dokumentation: Abgleich der technischen Dokumentation gemäß Anhang VII und Konformitätsbewertungsmodul.
5. 05Abschlussbesprechung: Übergabe des konkreten Maßnahmen- und Härtungsplans vor den verbindlichen Stichtagen.

Was Sie erhalten

• Eine dokumentierte und begründete Einstufung Ihrer Produkte gemäß Verordnung (EU) 2024/2847.
• Eine tabellarische Soll-Ist-Analyse der grundlegenden Sicherheitsanforderungen und Schwachstellenprozesse.
• Ein konkretes Gap-Assessment für SBOM, Schwachstellen-Handling und automatisierte Update-Mechanismen.
• Einen priorisierten Fahrplan zur CE-Kennzeichnung und technischen Dokumentation.
• Einen technischen Prüfbericht in Deutsch, Englisch oder Polnisch.

Was das nicht ist

• Keine Zertifizierung durch eine Benannte Stelle (Notified Body) für Produkte der Klasse II oder kritische Produkte.
• Keine Rechtsberatung im juristischen Sinne; die abschließende Konformitätserklärung verantwortet der Hersteller.
• Kein rein automatisierter Scan ohne architektonische Produktprüfung.
• Keine Übernahme der gesetzlichen Hersteller- oder Einführerhaftung.

Häufige Fragen zum Cyber Resilience Act (CRA)

Was regelt der EU Cyber Resilience Act (CRA)?

Die Verordnung (EU) 2024/2847 verpflichtet Hersteller von Produkten mit digitalen Elementen (Hardware, Software, vernetzte IoT-Geräte) zu Security-by-Design, Schwachstellen-Handling und CE-Kennzeichnung.

Welche Fristen gelten für den Cyber Resilience Act?

Die Meldepflichten für ausgenutzte Schwachstellen greifen 21 Monate nach Inkrafttreten (Mitte 2026), die vollständigen Sicherheitsanforderungen für Produkte gelten 36 Monate nach Inkrafttreten (Ende 2027).

Wie unterstützt SKOPION Hersteller bei der CRA-Readiness?

Wir bewerten Softwarearchitekturen, automatisieren SBOM-Generierung (Software Bill of Materials), auditieren Update-Mechanismen und prüfen digitale Produkte mit unserem Analysetool CRASteps.