EU CRA Practitioner Training

Der CRA wird stufenweise wirksam, und die erste echte Frist - die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle - fällt auf den 11. September 2026. Die Anforderungen an den sicheren Produktentwicklungslebenszyklus folgen am 11. Dezember 2027. Keiner dieser Zeitpläne lässt viel Raum, um Prozesse von Grund auf neu aufzubauen. Am besten aufgestellt sind die Teams, die 12 bis 18 Monate vor den Fristen mit der Vorbereitung beginnen, nicht erst im letzten Quartal.

Das Training funktioniert am besten als teamübergreifende Session. Die Inhalte sind für alle relevant, die an einem Produkt mitwirken, das unter den CRA fällt - nicht nur für das Security-Team.

• CISOs und Informationssicherheitsbeauftragte erhalten ein klares Bild ihrer gesetzlichen Pflichten und dessen, was ein Compliance-Programm leisten muss.
• Compliance-Verantwortliche, Rechtsabteilung und Risikomanager gewinnen ein solides Verständnis des regulatorischen Rahmens, der Fristen und der erforderlichen Dokumentation.
• Softwarearchitekten und Tech Leads lernen, wie sich Secure-by-Design- und Secure-by-Default-Prinzipien in konkrete Architekturentscheidungen übersetzen.
• Produkt- und Anwendungsmanager verstehen, wo CRA-Pflichten auf Produkt-Roadmaps, Release-Zyklen und Post-Release-Support treffen.
• Entwickler und DevOps-Engineers erfahren, was sich im Alltag ändert: SBOM-Erzeugung, Schwachstellen-Triage und Fristen für die Auslieferung von Patches.
• Softwaretester verstehen, wie CRA-relevante Sicherheitsverifikation in der Praxis aussieht.

CRA-Vorkenntnisse sind nicht erforderlich.

Eine Mischung aus Präsentation, Diskussion und angewandten Übungen. Die Teilnehmenden arbeiten echte CRA-Anforderungen durch und übertragen sie auf Szenarien, die für ihre eigenen Produkte relevant sind. Der Tag endet mit einer strukturierten Maßnahmenplanung - das Team geht mit etwas Konkretem nach Hause, nicht nur mit Notizen.

Der CRA erfasst alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und deren Nutzung durch Verbraucher oder Unternehmen vernünftigerweise vorhersehbar ist - das schließt die meisten Softwareprodukte ein. Die wichtigsten Ausnahmen sind Produkte, die bereits durch sektorspezifische Regulierung erfasst sind (etwa die Medizinprodukteverordnung), sowie bestimmte Kategorien von Open-Source-Software. Das Training enthält ein Modul zur Produktklassifizierung, mit dem Ihr Team genau bestimmen kann, welche Pflichten für Ihre Produkte gelten.

1. Ein Beamer und eine Steckdose für den Trainer
2. Ausreichend Platz für die Arbeit in Kleingruppen von 3 bis 5 Personen
3. Ein Whiteboard oder Flipchart pro Gruppe

Die Teilnehmenden benötigen keine Laptops. Alle Übungen arbeiten mit gedruckten Materialien.

Ja, für bis zu 25 Teilnehmende. Die Gruppen arbeiten in virtuellen Breakout-Räumen mit Unterstützung durch den Trainer und kommen nach jedem Übungsblock zur Diskussion wieder zusammen.