Ein interdisziplinäres Team
Anwendungssicherheit, Incident Response, Risikomanagement, Cybersicherheitsrecht und CE-Konformität unter einem Dach.
Beratung
EU CRA Compliance Journey
Von den Meldepflichten ab dem 11. September 2026 bis zur CE-Konformität zum 11. Dezember 2027: sieben Arbeitspakete, ein integriertes Team, vor Ort oder remote.
- 11. September 2026 Die Meldepflichten gelten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen gemeldet werden.
- 11. Dezember 2027 Alle CRA-Anforderungen gelten. Produkte auf dem EU-Markt brauchen die CE-Konformität nach dem CRA.
Teams, mit denen wir gearbeitet haben
Warum wir
Konformität braucht mehr als das Lesen der Verordnung
Unser Team arbeitet an den Normen mit, die festlegen, wie die CRA-Anforderungen in der Praxis ausgelegt, umgesetzt und bewertet werden.
Normen aus erster Hand
Wir sitzen in den Arbeitsgruppen von CEN/CENELEC und ISO, die die Normen für die CRA-Konformität erarbeiten. Wir arbeiten also an der Quelle, nicht mit Interpretationen aus zweiter Hand.
Praxiserfahrung
Wir haben diese Arbeit an echten Produkten geleistet: Threat Modeling, Verbesserung des SSDLC, Schwachstellenmanagement und Vorbereitung auf die CE-Konformität.
Festpreis nach dem Scoping
Jedes Arbeitspaket hat benannte Ergebnisse und eine Aufwandsschätzung. Sobald der Umfang feststeht, wird daraus ein Festpreis, ohne offenes Budget.
Schnell
Wir kennen die Anforderungen und die Normen bereits. Ihr Budget fließt also in die Anwendung auf Ihre Produkte, nicht in unsere Einarbeitung.
Flexibel
Nehmen Sie die ganze Journey oder nur die Arbeitspakete, die Ihr Portfolio und Ihr Reifegrad verlangen. Ein guter Start vermeidet Fehlstarts, Compliance-Theater und teure Korrekturen spät im Konformitätsprozess.
Arbeitspakete
Von der Meldebereitschaft zur CE-Konformität
Jedes Arbeitspaket deckt einen klar abgegrenzten Teil des Übergangs ab. Nehmen Sie die ganze Journey oder wählen Sie die Pakete, die Sie für bestimmte Produkte, Produktfamilien, Build Factories oder Teams brauchen.
-
CRA-Meldepflichten 2026
16 Stunden pro Organisation
Ab dem 11. September 2026 müssen Hersteller die Meldepflichten des CRA erfüllen können, auch für Produkte, die bereits auf dem Markt sind und noch unterstützt werden. Ihre Richtlinien für Incident Response und Coordinated Vulnerability Disclosure (CVD) und die CSIRT-Prozesse dahinter müssen relevante Ereignisse innerhalb der gesetzlichen Fristen erkennen, bewerten, eskalieren und melden.
Ergebnisse
- Gap-Analyse Ihrer Incident-Response- und CVD-Richtlinien gegenüber den CRA-Meldepflichten
- Gap-Analyse Ihrer CSIRT-Verfahren und Eskalationsprozesse
- Ein umsetzbarer Plan zum Schließen der Lücken, mit überarbeitetem Richtlinientext, soweit Reifegrad und Zeitrahmen es zulassen
Leitung
Eden YardeniArchitektin für Anwendungssicherheit
Senior-Expertin für Incident Response und digitale Forensik, spezialisiert auf die Norm prEN 40000-1-3 zum Schwachstellenmanagement.
-
Produktkontext und CRA-Geltungsbereich
16 Stunden pro Produktfamilie
Der Produktkontext ist die Grundlage für das Risikomanagement und die Sicherheitsarbeit, die folgen. Wir beschreiben das Produkt, die bestimmungsgemäße Verwendung, die Betriebsumgebung, die Systemgrenzen, Beteiligte und Abhängigkeiten sowie die anwendbaren CRA-Anforderungen. So stehen spätere Entscheidungen über Risiken, Maßnahmen und Konformität auf festem Boden.
Ergebnisse
- Produktkontext: Zweckbestimmung und vernünftigerweise vorhersehbare Verwendung, Funktionen, Betriebsumgebung, Architekturüberblick, Nutzer und Verteilung der Sicherheitsfunktionen
- Geschäftlicher, regulatorischer und technologischer Kontext, einschließlich Datenfernverarbeitung und Systemgrenze
- Rechtliche Analyse der horizontalen und vertikalen CRA-Anforderungen, die für das Produkt gelten
Leitung
Lara BritoCIPP/E; Juristin für Daten- und Technologierecht
Juristin für Daten- und Technologierecht mit Schwerpunkt Daten- und Cybersicherheitsrecht, OWASP SAMM und CRA.
-
SSDLC-Reifegrad und CRA-Gap-Analyse
32 Stunden pro Build Factory
Ein klares Bild Ihres sicheren Entwicklungszyklus gemessen an den Herstellerpflichten des CRA, auf Basis von Interviews und eines CRA-Bewertungsrahmens, der aus den gesetzlichen Anforderungen abgeleitet ist. Es zeigt, wo Ihre Prozesse die Konformität bereits stützen, wo die Lücken liegen und was sich ändern muss. Das Risikomanagement bekommt besondere Aufmerksamkeit, weil es die Grundlage für alle folgenden Sicherheitsaktivitäten ist.
Ergebnisse
- Bericht zum SSDLC-Reifegrad gemessen an den Herstelleranforderungen des CRA
- EU-CRA-Gap-Map
- Verbesserungsplan für Ihre Risikomanagement-Methodik
- Minimale Roadmap zum Schließen der Compliance-Lücken
Leitung
Nariman Aga-TagiyevArchitekt für Anwendungssicherheit
Senior Application Security Architect, nationaler Experte in CEN/CENELEC JTC 13/WG 9 (Cyber Resilience Act) und Mitglied des OWASP-SAMM-Kernteams.
-
Threat Model und Risikobewertung des Produkts
64 Stunden pro Produkt
Jede Sicherheitsaktivität sollte ein Produktrisiko verringern, das erkannt, bewertet und dokumentiert ist. Ein Experte für Produktsicherheit erstellt mit Ihren Product Ownern, Architekten und Entwicklern das Threat Model. Unser Experte für Risikomanagement verbindet dann Produktkontext und Threat Model zu einer strukturierten Risikobewertung nach prEN 40000-1-2. Die Schätzung teilt sich in 32 Stunden für das Threat Model und 32 Stunden für die Risikobewertung.
Ergebnisse
- Bearbeitbares Threat Model im Format CycloneDX TM-BOM, bereit zur Wiederverwendung
- Threat-Model-Bericht mit Datenflussdiagramm, identifizierten Bedrohungen und vereinbarten Gegenmaßnahmen
- Bericht zur Risikobewertung, strukturiert nach prEN 40000-1-2
Leitung
Luc PoulinSenior-Berater für Anwendungssicherheit und Vertrauenswürdigkeit
Autor und Editor der ISO/IEC 27034, der Norm für die Integration von Sicherheit in das Anwendungsmanagement über den gesamten Lebenszyklus.
-
Programm für Schwachstellenmanagement
96 Stunden pro Organisation
Der CRA macht das Schwachstellenmanagement zu einer langfristigen Pflicht: Sicherheitsupdates müssen während des gesamten Unterstützungszeitraums bereitstehen, ohne Zusatzkosten für die Nutzer. Wir bauen den Lebenszyklus nach prEN 40000-1-3 auf, von Richtlinie und Annahme über Triage, Behebung und koordinierte Offenlegung bis zur Überwachung nach dem Release. Wenn Sie mit Arbeitspaket 1 begonnen haben, fließt diese Arbeit direkt ein. Die Schätzung umfasst 80 Stunden für die Anpassung Ihrer Richtlinien und 16 Stunden für Schulung und eine Tabletop-Übung.
Ergebnisse
- Überarbeitete Incident-Response-Richtlinie
- Überarbeitete Richtlinie zur Offenlegung von Schwachstellen
- Ergänzende Leitfäden und Verfahren
- Schulung und eine IR/CVD-Tabletop-Übung für Ihr CSIRT-Team
Leitung
Eden YardeniArchitektin für Anwendungssicherheit
Unsere Leitung für Incident Response und Coordinated Vulnerability Disclosure.
-
Secure by Design und Secure by Default
80 Stunden pro Organisation
CRA-Konformität lässt sich nicht am Ende anbauen. Secure by Design und Secure by Default müssen sich darin zeigen, wie Produkte entworfen, entwickelt, getestet, gehärtet und ausgeliefert werden. Wir bewerten Ihre heutigen Entwicklungspraktiken, Maßnahmen und Richtlinien gegenüber prEN 40000-1-4, der horizontalen Norm, mit der Hersteller diese Prinzipien in ihrem Entwicklungszyklus verankern können, und schließen die dringendsten Lücken.
Ergebnisse
- Workshop zu Secure by Design und Secure by Default für Ihr Entwicklungsteam
- Gap-Analyse Ihres sicheren Produktentwicklungszyklus gegenüber prEN 40000-1-4
- Roadmap zur Verbesserung Ihres Entwicklungszyklus
- Umsetzung ausgewählter Maßnahmen im vereinbarten Zeitrahmen
Leitung
Timo PagelDevSecOps-Architekt
Senior-Experte für Anwendungssicherheit mit Hintergrund in der Softwareentwicklung und Erfahrung in echten Entwicklungsumgebungen.
-
Nachweise und Dokumentation für die CE-Konformität
40 Stunden pro Produkt
Bevor ein Produkt die CE-Kennzeichnung tragen darf, brauchen Sie eine technische Dokumentation, die die Erfüllung der Anforderungen aus Anhang I belegt, und eine EU-Konformitätserklärung. Wir führen die früheren Ergebnisse zusammen, darunter Produktkontext, Risikobewertung, Threat Model, SBOM und Prozessnachweise, zu einer Konformitätsakte, die einer Prüfung standhält, und helfen Ihnen, das passende Konformitätsbewertungsverfahren für Ihre Produktklasse zu wählen. Die Schätzung setzt voraus, dass die früheren Arbeitspakete abgeschlossen sind.
Ergebnisse
- Das Konformitätsbewertungsverfahren für Ihre Produktklasse: interne Kontrolle (Modul A) oder Bewertung durch Dritte, wo vorgeschrieben
- Technische Dokumentation aus den früheren Arbeitspaketen, zugeordnet zu den Anforderungen aus Anhang I und den angewandten Normen
- Entwurf der EU-Konformitätserklärung
Leitung
Dagmar MoserBeraterin, Auditorin und Dozentin
Spezialistin für CRA-Konformität und ISO/IEC 27001 Lead Auditorin, unterstützt von den Rechts- und Anwendungssicherheitsleads der früheren Arbeitspakete.
Aufwand
Was es braucht
Die Schätzungen gehen von einem Produkt, einer Produktfamilie und einer Build Factory aus. Pakete, die pro Produkt, Produktfamilie, Build Factory oder Organisation geschätzt werden, wachsen mit dem gewählten Umfang.
| Arbeitspaket | Geschätzter Aufwand | Basis |
|---|---|---|
| 01. CRA-Meldepflichten 2026 | 16 Stunden | pro Organisation |
| 02. Produktkontext und CRA-Geltungsbereich | 16 Stunden | pro Produktfamilie |
| 03. SSDLC-Reifegrad und CRA-Gap-Analyse | 32 Stunden | pro Build Factory |
| 04. Threat Model und Risikobewertung des Produkts | 64 Stunden | pro Produkt |
| 05. Programm für Schwachstellenmanagement | 96 Stunden | pro Organisation |
| 06. Secure by Design und Secure by Default | 80 Stunden | pro Organisation |
| 07. Nachweise und Dokumentation für die CE-Konformität | 40 Stunden | pro Produkt |
| Arbeitspakete einzeln: 344 Stunden (etwa 43 Personentage) | ||
| Ganze Journey: 328 Stunden (etwa 41 Personentage) | ||
Als Gesamtpaket geht die Arbeit aus Paket 1 in Paket 5 auf. Das spart 16 Stunden.
Die Schätzungen decken die Richtlinien, Verfahren, Bewertungen und Dokumentation ab, die der CRA und die EN-40000-Normen verlangen. Die Umsetzung oder den Betrieb technischer Maßnahmen wie Penetrationstests, Software Composition Analysis (SCA) oder statische und dynamische Sicherheitstests (SAST und DAST) umfassen sie nicht. Diese bieten wir separat an, parallel zur Journey oder danach. Sobald der Umfang feststeht, wandeln wir die Schätzung in einen Festpreis zu unserem Tagessatz um.
Sie wissen nicht, wo Sie anfangen sollen?
Internes EU-CRA-Audit
In wenigen Tagen setzen wir den Hut des Auditors auf und gehen jede anwendbare CRA-Anforderung durch: Gibt es ausreichende Nachweise, dass sie erfüllt ist? Sie erhalten eine Liste der Nichtkonformitäten, und die zeigt genau, welche Arbeitspakete Sie brauchen.
Nach einem internen Audit fragen- Eine Prüfung Ihrer Nachweise, Anforderung für Anforderung
- Eine Liste der Nichtkonformitäten als Ergebnis
- Wenige Tage Arbeit, ein klarer Ausgangspunkt
Sie verkaufen von außerhalb in die EU?
Der CRA gilt für jedes Produkt mit digitalen Elementen, das auf dem EU-Markt bereitgestellt wird, egal wo der Hersteller sitzt. Das gilt auch für Softwareanbieter in den USA und anderswo, die On-Premises-Software an Kunden in der EU verkaufen. Bei Bedarf führen wir die Journey vollständig remote durch und planen Workshops passend zu Ihrer Zeitzone.
FAQ
1. Müssen wir die ganze Journey buchen?
Nein. Jedes Arbeitspaket steht für sich, und Sie können Pakete pro Produkt, Produktfamilie, Build Factory oder Organisation zuschneiden. Viele Hersteller beginnen mit dem internen EU-CRA-Audit oder mit Arbeitspaket 1 und ergänzen weitere Pakete, sobald die Lücken klar sind.
2. Gilt der CRA auch für Unternehmen außerhalb der EU?
Ja, sobald ihre Produkte auf dem EU-Markt bereitgestellt werden. Hersteller außerhalb der EU haben dieselben Pflichten, und ihre Einführer und Händler müssen prüfen, ob diese erfüllt sind. Wir arbeiten remote mit Herstellern außerhalb der EU.
3. Wie wird die Journey abgerechnet?
Wir schätzen den Aufwand pro Arbeitspaket wie oben gezeigt. Sobald der Umfang feststeht, wandeln wir die Schätzung in einen Festpreis zu unserem Tagessatz um. Ein offenes Budget gibt es also nicht.
4. Was ist nicht enthalten?
Die Umsetzung und der Betrieb technischer Maßnahmen wie Penetrationstests, SCA, SAST und DAST. Diese bieten wir als separate Leistungen an, parallel zur Journey oder sobald Programm und Dokumentation stehen.
5. Nach welchen Normen arbeiten Sie?
Nach dem CRA selbst, der Normenreihe EN 40000 von CEN/CENELEC JTC 13 WG 9, in der wir mitarbeiten, ISO/IEC 27034 und OWASP SAMM. Gilt für Ihr Produkt eine vertikale Norm, ermittelt die rechtliche Analyse in Arbeitspaket 2 sie.
6. Wie lange dauert es?
Die ganze Journey umfasst etwa 41 Personentage unserer Arbeit für ein Produkt, eine Produktfamilie und eine Build Factory. Die Laufzeit hängt vor allem davon ab, wie schnell Ihr Team an Interviews und Workshops teilnehmen kann.