Cyber Resilience Act (CRA)

Fast sicher, wenn Ihr Produkt digitale Elemente und eine direkte oder indirekte Datenverbindung hat – vom vernetzten Gerät über Industriesteuerungen bis zur Software. Ausgenommen sind u. a. Medizinprodukte, Fahrzeuge und zivile Luftfahrt (dort gelten eigene Regelwerke) sowie nicht-kommerzielle Open-Source-Software. Verpflichtet sind Hersteller, daneben Importeure und Händler. Wir klären Betroffenheit und Produktklasse im CRA-Check.

Der CRA (Verordnung (EU) 2024/2847) ist seit Dezember 2024 in Kraft und gilt gestuft: Ab dem 11. September 2026 greifen die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle (24h-Frühwarnung, 72h-Folgemeldung). Ab dem 11. Dezember 2027 gelten alle Anforderungen – neue Produkte dürfen dann nur noch CRA-konform mit CE-Kennzeichnung in Verkehr gebracht werden.

Die Software Bill of Materials (SBOM) ist die vollständige Stückliste aller Software-Komponenten Ihres Produkts – vergleichbar mit einer Lieferantenliste, inklusive Drittanbieter- und Open-Source-Bestandteilen. Sie ist die Grundlage für wirksames Schwachstellenmanagement und Teil der technischen Dokumentation.

Gerade bei Open-Source-Komponenten reicht die reine Auflistung nicht: Herkunft, Projekt und Verantwortliche gehören geprüft, denn Software-Lieferketten wurden in der Vergangenheit gezielt unterwandert. Wir helfen Ihnen, nicht nur die SBOM aufzubauen, sondern auch die Vertrauenswürdigkeit Ihrer Komponenten und Zulieferer zu bewerten – damit aus einer Liste echte Lieferkettensicherheit wird.

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen grundsätzlich nicht rückwirkend bewertet werden. Achtung: Eine wesentliche Änderung nach dem Stichtag – etwa ein Update, das Sicherheitsprofil oder Zweckbestimmung verändert – löst die volle Konformitätspflicht aus. Reine Sicherheitsupdates zählen nicht dazu.

Nein – und seriös kann das kein Dienstleister versprechen. Die Konformitätsbewertung erfolgt je nach Produktklasse als Hersteller-Selbstbewertung oder durch eine notifizierte Stelle. UBESAFE macht Sie audit-ready: Wir bauen Prozesse, SBOM, Meldekette und Dokumentation auf und begleiten Sie durch die Bewertung.

Die BSI TR-03183 ist eine Technische Richtlinie des BSI, die Cyber-Resilienz-Anforderungen an Hersteller und Produkte beschreibt und der Vorbereitung auf den Cyber Resilience Act dient. Sie gliedert sich in allgemeine Anforderungen (Teil 1), Software Bill of Materials/SBOM (Teil 2) und den Umgang mit Schwachstellenmeldungen (Teil 3) – also genau die Bausteine, die der CRA verlangt.

Besonders relevant für Sie: Über Modul H (TR-03183-H) lässt sich die CRA-Konformität auf Basis eines ISO/IEC-27001-konformen ISMS – etwa nach IT-Grundschutz – demonstrieren. Wer bereits ein ISMS betreibt oder aufbaut, kann diese Prozesse auf Produktentwicklung und Schwachstellenbehandlung ausweiten, statt bei null anzufangen. Genau hier setzen wir an: Wir bauen Ihr ISMS normgerecht auf und übertragen es auf die CRA-Anforderungen.

KI-Assistenten und „Vibe Coding“ beschleunigen die Entwicklung – erzeugen aber Code, dessen Herkunft, Abhängigkeiten und Lizenzlage oft niemand mehr vollständig kennt. KI zieht selbstständig Pakete nach und übernimmt teils unsichere Muster. Für den CRA ist das kritisch: Security by Design, eine vollständige SBOM und die Nachvollziehbarkeit jeder Komponente werden dadurch schwerer, nicht leichter.

Ein Git-Repository ist die Basis, reicht als Nachweis aber nicht aus: Es dokumentiert Änderungen, nicht aber Herkunft, Prüfung und Freigabe von KI-generiertem Code oder die daraus entstehende Lieferkette. Wir richten die nötigen Prozesse ein – von SBOM und Dependency-Prüfung bis zu Review- und Freigabepflichten – und regeln über unseren externen KI-Beauftragten die Governance für den KI-Einsatz in Ihrer Entwicklung.