Unterlagen

Zwischen der Erkenntnis, dass der CRA gilt, und dem CE-Zeichen liegen drei Phasen und zwölf Schritte. Das Briefing zeigt Umfang und Reihenfolge jeder Aufgabe und die drei Planungsgrundsätze: Prozesse einmal aufbauen und über Produkte skalieren, rückwärts von 12/2027 rechnen, parallel statt sequenziell arbeiten.

Nicht jede Schwachstelle ist meldepflichtig, aber der Ernstfall gibt Ihnen 24 Stunden. Das Briefing trennt Schwachstellenmanagement und Meldepflicht, benennt die Auslöser einer Meldung nach Art. 14, die Fristen ab Kenntnis und die Empfänger – und zeigt, was vor dem 11.09.2026 vorbereitet sein muss.

Die SBOM gilt als der große Brocken im CRA, doch das Erstellen ist nicht die eigentliche Hürde. Das Briefing zeigt, was der CRA bei der Software-Stückliste wirklich verlangt und was nicht, warum die Arbeit im Komponentenmanagement vor der Integration liegt, was Scanner zuverlässig erkennen und wer die SBOM überhaupt zu sehen bekommt.

Ihre EN-18031-Nachweise sind wertvoll, für den CRA reichen sie nicht. Die technischen CRA-Anforderungen kommen aus der EN 40000-1-4, die derzeit als Entwurf vorliegt. Das Briefing zeigt, was sich übernehmen lässt und was nicht: überarbeitete Controls trotz gleicher ID, mindestens 29 neue Controls, die Frage nach der vertikalen Produktnorm und ein strukturiertes Vorgehen für das Delta.

RED war die Generalprobe, der CRA ist der Ernstfall. Was Sie unter RED am Gerät nachgewiesen haben, sind Produktmerkmale; der CRA verlangt durchgängige Prozesse über den Lebenszyklus: Secure Development Lifecycle, Schwachstellenmanagement mit CVD, SBOM, Meldung aktiv ausgenutzter Schwachstellen binnen 24 Stunden, kostenlose Sicherheitsupdates über mindestens fünf Jahre. Das Briefing zeigt, was sich aus RED-Nachweisen nicht ableiten lässt – und warum diesmal aktiv kontrolliert wird.

Eine vernetzte Maschine, die Sie ab 2027 in Verkehr bringen, unterliegt der Maschinenverordnung und dem CRA zugleich – keines der beiden Regelwerke nimmt das andere aus. Wer zwei getrennte Projekte startet, zahlt doppelt. Das Briefing zeigt die vier Termine, die den Takt setzen, wie Risikobewertung und technische Dokumentation auf einer gemeinsamen Grundlage laufen, warum die Konformitätsbewertung je Verordnung ein eigenes Verfahren bleibt, und wo der CRA allein steht.

Mit einem ISMS-Zertifikat bekommen Sie kein CE-Zeichen an ein Produkt. Das Briefing stellt Gegenstand, Nachweis und Sanktionen beider Regelwerke gegenüber und benennt, welche ISMS-Bausteine für den CRA wiederverwendbar sind und welche produktbezogenen Pflichten zusätzlich entstehen.