Regulatorik · Produkt-Cybersecurity
Cyber Resilience Act
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden – auch für Produkte, die längst im Feld sind. Ab dem 11. Dezember 2027 gelten alle Anforderungen: Wer dann Produkte mit digitalen Elementen neu in Verkehr bringt, braucht die CRA-Konformität für das CE-Zeichen. Wir bringen Entwicklung, Prozesse und Nachweise Ihrer Geräte dorthin – aus der Praxis mit IEC 62443-4-1 und Functional Safety.
10.12.2024
In Kraft getreten – Verordnung (EU) 2024/2847
11.09.2026
Meldepflichten gelten – auch für Produkte im Feld
11.12.2027
Alle Anforderungen gelten – CE-Zeichen für neue Produkte nur mit CRA
≥ 5 Jahre
Supportzeitraum für Sicherheitsupdates, ausser das Produkt wird kürzer genutzt
Betrifft alle, die Produkte mit digitalen Elementen in der EU in Verkehr bringen – auch Schweizer Hersteller, die in die EU liefern.
Leistungen
Vom ersten Check bis zum Nachweis – technisch, nicht juristisch.
- 01
CRA-Readiness-Check
Wo steht Ihr Produkt? Wir stufen es ein (Standard, wichtig Klasse I oder II, kritisch) und leiten daraus das Konformitätsbewertungsverfahren ab, prüfen es gegen die grundlegenden Anforderungen aus Anhang I und legen eine priorisierte Roadmap bis Dezember 2027 vor. Auch als Festpreis-Paket.
ErgebnisProdukteinstufung, Gap-Liste, Roadmap bis 12/2027
- CRA
- Anhang I
- Produktklassen
- Festpreis
- 02
Schwachstellenmanagement und Meldeprozess
Software-Stückliste (SBOM) erzeugen und aktuell halten, Schwachstellen bewerten und beheben, Coordinated Vulnerability Disclosure einführen. Dazu der Meldeweg für aktiv ausgenutzte Schwachstellen und schwere Vorfälle mit 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussbericht – inklusive der Frage, welches CSIRT für einen Hersteller ohne EU-Sitz zuständig ist. Diese Pflicht gilt bereits.
ErgebnisSBOM-Prozess, Ablauf für Schwachstellen und Meldungen, Vorlagen
- SBOM
- CVD
- PSIRT
- Art. 14
- 03
Sicherer Entwicklungsprozess nach IEC 62443-4-1
Security by Design im bestehenden Entwicklungsprozess: Bedrohungsanalyse, Security-Anforderungen, Secure Coding und statische Analyse, Security-Tests in der CI/CD-Pipeline, sichere Update-Wege. Eingebaut in Ihre Toolchain, nicht daneben.
ErgebnisProzessbeschreibung, Quality Gates in der Pipeline, Nachweise
- IEC 62443-4-1
- Threat Modeling
- SAST
- CI/CD
- 04
Technische Dokumentation und Konformitätsbewertung
Risikobewertung, technische Dokumentation, Supportzeitraum, EU-Konformitätserklärung – strukturiert so, dass ein Prüfer sie lesen kann. Wo die Produktklasse eine benannte Stelle verlangt, bereiten wir die Prüfung vor und begleiten sie.
ErgebnisDokumentationsstruktur, Konformitätsunterlagen, Audit-Readiness
- Technische Dokumentation
- Konformitätserklärung
- CE
- 05
Security-Tests in der Testautomatisierung
Robustheit der Kommunikationsschnittstellen, sichere Default-Konfiguration, Update- und Rücksetzmechanismus, Zugriffsschutz – als automatisierte Testfälle in Ihrer bestehenden Testumgebung, damit jeder Release den Nachweis gleich mitliefert.
ErgebnisSecurity-Testfälle, automatisierte Nachweise je Release
- Security-Tests
- HIL
- Testautomatisierung
- 06
Schwachstellen-Monitoring im Abo
Ihre SBOM laufend gegen neu veröffentlichte Schwachstellen prüfen, Relevanz bewerten, Updates empfehlen und bei Meldungen unterstützen – über den gesamten Supportzeitraum. Zur laufenden Betreuung.
ErgebnisMonatlicher Bericht, Bewertung neuer Schwachstellen, Meldeunterstützung
- Monitoring
- SBOM
- CVE
- Abo
Normen und Begriffe
- Verordnung (EU) 2024/2847
- IEC 62443-4-1
- IEC 62443-4-2
- SBOM
- CVD
- Verordnung (EU) 2023/1230
- IEC 61508
Typische Aufgabenstellungen
- 01
«Wir wissen nicht, ob unser Produkt betroffen ist.»
Zuerst die Einstufung: betroffen ja oder nein, welche Klasse, welches Verfahren – und was das bis 2027 bedeutet.
- 02
«Ein Kunde verlangt eine SBOM.»
SBOM aus dem Build erzeugen, prüfen und aktuell halten – nicht einmalig von Hand, sondern in der Pipeline.
- 03
«Eine Schwachstelle wird ausgenutzt. Wer meldet was bis wann?»
Meldeweg, Rollen und Vorlagen stehen, bevor es ernst wird – 24 Stunden sind kurz.
- 04
«Unser Entwicklungsprozess hat kein Security-Kapitel.»
IEC 62443-4-1 schrittweise einführen, ohne die laufende Entwicklung zu stoppen.
Auch betroffen
Maschinenverordnung ab 20. Januar 2027
Die EU-Maschinenverordnung (EU) 2023/1230 löst die Maschinenrichtlinie ab. Sie stellt Anforderungen an sicherheitsrelevante Steuerungen und Software und verlangt Schutz gegen Manipulation. Für Maschinen- und Anlagenbauer verbinden wir CRA, IEC 62443 und Functional Safety nach IEC 61508 zu einem durchgängigen Nachweis statt drei getrennten Projekten.
Referenz aus diesem Bereich
Details auf der Projektseite.
seit 05.2025
ABB Schweiz AG, Turgi
Unabhängiges Review des Testkonzepts einer Mittelspannungs-Plattform mit Bewertung der CRA-Readiness nach IEC 62443-4-1, Roadmap für SAST und CI/CD.
Wir arbeiten technisch und prozessual. Für die rechtliche Bewertung im Einzelfall stimmen wir uns mit Ihrer Rechtsabteilung ab.
Wie weit ist Ihr Produkt vom CE-Zeichen nach CRA entfernt?
Ein Erstgespräch klärt in 30 Minuten, ob und wie Ihr Produkt betroffen ist und was bis Dezember 2027 zu tun ist.
So geht es weiter
- 01
Erstgespräch
30 Minuten online: Ihre Aufgabe, unsere Fragen, erste Einordnung.
- 02
Schriftliche Kurzeinschätzung
Ob und wie wir helfen können, welches Vorgehen passt, was es ungefähr braucht.
- 03
Angebot mit klarem Umfang
Leistung, Ergebnis, Zeitrahmen – Sie entscheiden, wir starten.
Lieber schriftlich? E-Mail schreiben