Cyber Resilience Act Beratung: CRA-Pflichten für Hersteller umsetzen

Wir klären mit Ihnen Betroffenheit und Produktklasse, bauen Ihren Meldeprozess auf und begleiten Sie bis zur CE-Kennzeichnung nach dem CRA.

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) macht Cybersicherheit zur Voraussetzung für den Marktzugang: Vernetzte Hardware und Software dürfen in der EU künftig nur noch mit Konformitätsbewertung und CE-Kennzeichnung in Verkehr gebracht werden, die die Cybersicherheit einschließt. Die Meldepflichten gelten bereits, und zwar auch für Produkte, die schon beim Kunden im Einsatz sind. Bei Verstößen gegen die grundlegenden Anforderungen oder die Herstellerpflichten drohen Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes.

Die Süddeutsche Datenschutzgesellschaft mbH (SDG) berät Hersteller zum CRA und unterstützt sie bei der Umsetzung: von der Frage, welche Produkte betroffen sind, über den Meldeprozess bis zur Vorbereitung der Konformitätsbewertung. Die technische Umsetzung am Produkt bleibt bei Ihrer Entwicklung, wir begleiten sie methodisch und organisatorisch.

  • 11.09.2026 Seit diesem Tag gelten die Meldepflichten, auch für Bestandsprodukte
  • 11.12.2027 Ab diesem Tag gelten alle Pflichten, einschließlich Konformitätsbewertung und CE-Kennzeichnung

Unsere Leistungen zum Cyber Resilience Act

  1. Betroffenheit und Rollen Wir erfassen mit Ihnen alle Produkte mit digitalen Elementen, bestimmen je Produkt Ihre Rolle als Hersteller, Einführer oder Händler und prüfen Ausnahmen, etwa für Medizinprodukte oder reine SaaS-Angebote.
  2. Klassifizierung Wir ordnen Ihre Produkte nach ihrer Kernfunktion einer Produktklasse zu und empfehlen das passende Konformitätsbewertungsverfahren.
  3. Meldeprozess Wir bauen mit Ihnen den Meldeprozess für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle auf, abgestimmt mit einem bestehenden NIS2- oder ISMS-Vorfallprozess und einmal geübt. Diese Pflicht gilt schon heute.
  4. Gap-Analyse gegen Anhang I Wir prüfen Ihre Produktlinien gegen die grundlegenden Anforderungen und begleiten die Umsetzung, etwa beim Schwachstellenmanagement, beim SBOM-Prozess und bei der Richtlinie zur koordinierten Offenlegung.
  5. Konformität vorbereiten Wir helfen bei der Struktur der technischen Dokumentation, bereiten Sie auf die Konformitätsbewertung vor und unterstützen die Zusammenarbeit mit benannten Stellen.
  6. Teams schulen Produktmanagement, Entwicklung und Geschäftsleitung lernen, was der CRA im Alltag von ihnen verlangt: Schulungen.

Warum die SDG

Recht und Technik an einem Tisch

  • Juristisch und technisch eingeordnetRolle, Ausnahme und Produktklasse sind Rechtsfragen, Architektur, Fernverarbeitung und Update-Fähigkeit technische. Bei uns arbeiten IT-affine Juristen und IT-Spezialisten zusammen.
  • Ein Prozess statt dreiSchwachstellen-, Lieferanten- und Vorfallmanagement bauen Sie nur einmal auf und nutzen sie für CRA, NIS2 und ISO 27001.
  • Klare RollenWir beraten und begleiten, Ihre Entwicklung setzt um. So bleibt das Produktwissen in Ihrem Haus.

Wir beraten seit 2014 von Regensburg aus, in ganz Deutschland und international, und haben mehrere hundert Audits bei kleinen und mittleren Unternehmen durchgeführt. Unser Leiter Informationssicherheit ist zertifizierter IT-Sicherheitsbeauftragter und BCM-Beauftragter.

Viele Hersteller unterliegen mit ihrem Unternehmen zugleich NIS2 oder betreiben ein ISMS. Dann verzahnen wir die CRA-Anforderungen mit Ihrer NIS2 Beratung oder Ihrem ISMS nach ISO 27001, damit Meldewege und Risikomanagement nicht doppelt entstehen. Für Hersteller digitaler Gesundheitsanwendungen klären wir die Abgrenzung zwischen Medizinprodukt und CRA-Produkt, auch im Zusammenspiel mit unserem Datenschutz für DiGA.

Vertiefende Artikel

Der Cyber Resilience Act im Detail

Pflichten, Fristen und Verfahren erklären wir ausführlich in unserem Blog.

Häufige Fragen zur Cyber Resilience Act Beratung

Wie finde ich heraus, ob meine Produkte unter den CRA fallen?

Erfasst sind Produkte mit digitalen Elementen, also vernetzte Hardware, Firmware und eigenständige Software. Ob ein Produkt betroffen ist und welche Rolle Sie dafür tragen, hängt von Details ab: Wer ein zugekauftes Produkt unter eigener Marke vertreibt, gilt zum Beispiel als Hersteller. In der Betroffenheitsanalyse gehen wir Ihr Portfolio Produkt für Produkt durch.

Gilt der CRA auch für Software und SaaS?

Eigenständige Software ist erfasst. Reine Webanwendungen, die ausschließlich im Browser genutzt werden, fallen in der Regel nicht darunter. Erfasst sein kann aber eine Fernverarbeitung, die eine Funktion eines CRA-pflichtigen Produkts unterstützt, etwa ein Cloud-Backend für ein vernetztes Gerät. Das prüfen wir im Einzelfall anhand der Architektur.

Gilt der CRA für Medizinprodukte und DiGA?

Nein. Medizinprodukte und In-vitro-Diagnostika sind ausgenommen, weil das Medizinprodukterecht eigene Cybersicherheitsanforderungen enthält. Eine DiGA als Medizinprodukt fällt daher grundsätzlich nicht unter den CRA. Andere Produkte desselben Herstellers ohne medizinische Zweckbestimmung, etwa begleitende Apps oder vernetzte Geräte, können aber erfasst sein.

Hilft uns ein bestehendes ISMS oder NIS2-Programm beim CRA?

Ja. Ein ISMS nach ISO 27001 deckt Prozesse wie Schwachstellen-, Lieferanten- und Vorfallmanagement gut ab, und Meldeprozesse nach NIS2 und CRA lassen sich zusammenführen. Die produktbezogenen Anforderungen aus Anhang I des CRA ersetzt das aber nicht. Wir zeigen Ihnen, was Sie wiederverwenden können und was neu hinzukommt.

Was kostet die Beratung zum Cyber Resilience Act?

Das hängt vor allem von der Zahl Ihrer Produkte, ihrer Produktklasse und dem Stand Ihrer Prozesse ab. Pauschalpreise nennen wir deshalb nicht. Nach einem kostenfreien Erstgespräch und in der Regel einer Gap-Analyse erhalten Sie von uns eine seriöse Aufwandsschätzung.

Rechtsquellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), ENISA

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.