Cyber Resilience Act umsetzen: Konformität, die vor dem Ernstfall steht
Von den grundlegenden Anforderungen aus Anhang I über die Schwachstellenbehandlung bis zur Meldekette bildet isidaten die CRA-Pflichten an einem Ort ab. Die Meldepflichten greifen ab dem 11. September 2026, die volle Anwendbarkeit folgt am 11. Dezember 2027.
Was Cyber Resilience Act fordert
Der Cyber Resilience Act, Verordnung (EU) 2024/2847, verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus. Dazu gehören die grundlegenden Anforderungen aus Anhang I, ein Prozess zur Schwachstellenbehandlung, eine Konformitätsbewertung mit Konformitätserklärung und technischer Dokumentation sowie Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle.
Wie isidaten Cyber Resilience Act abbildet
Jede Anforderung trifft auf ein Modul, das auf derselben Objektbasis arbeitet wie das Risikoregister. So bleibt der Nachweis verbunden, statt über Werkzeuge kopiert zu werden.
Schwachstellen behandeln
Schwachstellen in den eigenen Produkten erfassen, bewerten und die Behandlung dokumentieren, wie Anhang I Teil II es verlangt.
Zum Modul: SchwachstellenmanagementVorfälle melden und Fristen wahren
Vorfälle strukturiert aufnehmen und die gestaffelten Meldefristen von 24 Stunden, 72 Stunden und 14 Tagen einhalten.
Zum Modul: IT-Service-ManagementAngriffsfläche sichtbar machen
Exponierte Assets und Schwachstellen erkennen, bevor sie aktiv ausgenutzt werden und eine Meldung auslösen.
Zum Modul: Attack Surface ManagementRisiken bewerten
Die Risikobewertung führen, auf der die grundlegenden Anforderungen aus Anhang I aufsetzen.
Zum Modul: RisikoregisterKomponenten und Lieferkette
Zulieferer und Komponenten führen, als Grundlage für die Sorgfaltspflichten entlang der Lieferkette.
Zum Modul: LieferantenmanagementHäufige Fragen
Für wen gilt der Cyber Resilience Act?
Der CRA gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, also Hard- und Software, die mit einem Netz oder Gerät verbunden werden kann. Ausgenommen sind Bereiche mit eigener Regulierung, etwa Medizinprodukte oder Kraftfahrzeuge.
Ab wann gelten die Pflichten?
Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle gelten ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.
Macht isidaten mich CRA-konform?
Nein. Software allein stellt keine Konformität her. isidaten bildet den Kontrollkatalog aus Anhang I strukturiert ab, führt Konformitätserklärung und Dokumentation und liefert den Nachweis. Umsetzung und Verantwortung bleiben beim Hersteller.
Wie hängen CRA und NIS2 zusammen?
Der CRA adressiert die Sicherheit von Produkten, NIS2 die Sicherheit der Betreiber und ihrer Netze. Wer beides erfüllt, kann Schwachstellen, Vorfälle und Nachweise auf einer gemeinsamen Basis führen, statt zwei getrennte Welten zu pflegen.
Bereit, Ihre Compliance zu vereinfachen?
Vereinbaren Sie eine unverbindliche Demo und erleben Sie isidaten an Ihren eigenen Anwendungsfällen – persönlich und ohne Verpflichtung.