Cybersecurity-Regulierung für Produkte
Ab dem 11.12.2027 gilt: Kein CE ohne CRA. Wer die Anforderungen von Cyber Resilience Act, RED Delegated Act und Maschinenverordnung bis dahin nicht nachweisen kann, verliert das CE-Kennzeichen und damit den EU-Marktzugang.
Die Frage ist nicht mehr, ob CRA und die begleitenden Verordnungen für Ihre Produkte gelten. Die Frage ist, was die Marktüberwachung vorfindet, wenn sie prüft. Ein Übergangsregime, das Lücken in der technischen Dokumentation toleriert, gibt es nicht. Je später die Lücken sichtbar werden, desto teurer wird das Schließen.
Verlust des Marktzugangs
Ohne Konformitätsnachweis darf Ihr Produkt nicht mehr in der EU in Verkehr gebracht werden. Kein Verkauf, keine Wartung, keine Updates.
Rückruf & Vertriebsstopp
Die Marktüberwachung kann die Bereitstellung untersagen, einen Rückruf anordnen oder Produkte vom Markt nehmen lassen.
Bußgelder bis 15 Mio. €
Der CRA sieht Bußgelder bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor, dazu behördliche Maßnahmen.
Verlorene Ausschreibungen
Kunden setzen CRA- und IEC 62443-Nachweise zunehmend als Eingangskriterium voraus. Ohne Nachweis scheiden Sie früh aus dem Verfahren aus.
Diese Muster begegnen uns bei Herstellern immer wieder. Je mehr davon auf Ihre Situation zutreffen, desto dringender ist eine strukturierte Einordnung, bevor Fristen, Aufwände und Engpässe zusammenfallen.
Unklare Betroffenheit
Welche Verordnung gilt für welches Produkt? CRA, RED Delegated Act und Maschinenverordnung überschneiden sich, ohne dass der Gesetzestext sagt, was das für Ihr Produkt heißt.
Unklare Normenlage
EN 40000, EN 50742, EN 18031, IEC 62443: Die Zuordnung der passenden harmonisierten Normen entscheidet über den Aufwand, ist aber selten eindeutig.
Fehlende Nachweise
Technische Dokumentation, Risikobeurteilung und Konformitätserklärung fehlen oder halten einer Prüfung durch Marktüberwachung und Benannte Stellen nicht stand.
Kein nachweisbarer SDLC
Der CRA verlangt einen dokumentierten Secure Development Lifecycle. Ein nachträglicher Aufbau unter Zeitdruck bindet Engineering-Kapazität, die im Tagesgeschäft fehlt.
Meldepflichten ab 2026
Schon ab dem 11.09.2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen. Ohne Prozess drohen Fristverletzungen mit Haftungsfolge.
Fehlende interne Ressourcen
Product Security ist im Haus selten als eigene Rolle besetzt. Die Verantwortung verteilt sich auf Teams, die schon ausgelastet sind.
Vom Gesetzestext zur belastbaren Konformität
Sie wissen, was die EU verlangt. Was nicht im Gesetzestext steht: was das in Ihrer Architektur, Ihrem Code und Ihren Prozessen konkret bedeutet.
Genau dort setzen wir an. Wir übersetzen die Anforderungen in das, was Ihr Entwicklungsteam wirklich tun muss, und liefern Nachweise, die bei Benannten Stellen halten.
Regulierung und Technik aus einer Hand
Wir verbinden CRA, RED Delegated Act und Maschinenverordnung mit der technischen Umsetzung im Produkt. Das verhindert Reibung zwischen Compliance, Entwicklung und Management.
Tiefe in den harmonisierten Normen
EN 40000, EN 50742, EN 18031, IEC 62443: Wir kennen die Normen, die über Ihren Aufwand entscheiden, und ordnen sie Ihren Produkten treffsicher zu.
Sicherheit, die im Produkt sitzt
Wir setzen Security-Anforderungen technisch im Produkt um, nicht nur in der Dokumentation, von der Architektur über Kryptographie bis Secure Boot.
Anschlussfähig an Prüf- und Benannte Stellen
Unsere Nachweise sind auf Konformitätsbewertungen, Audits und Zertifizierungen ausgerichtet, inklusive Abstimmung mit den beteiligten Stellen.
Vier Schritte, die bei Prüfstellen halten
Cybersicherheit für Produkte lässt sich nicht mit isolierten Maßnahmen lösen. Unser Vorgehen führt Sie nachvollziehbar von der Einordnung bis zur nachgewiesenen Konformität.
Lücke aufdecken
Wir analysieren Ihren Produktstand gegen die geltenden Anforderungen, technisch und prozessual, und identifizieren fehlende Prozesse, Sicherheitsaktivitäten und Nachweise.
Roadmap festlegen
Wir bewerten Aufwand, Risiken und regulatorische Relevanz und erstellen einen umsetzbaren Maßnahmenplan für Produkt, Entwicklung und Organisation.
Umsetzung steuern
Wir begleiten die Umsetzung im Entwicklungsalltag, von Designentscheidungen über sichere Entwicklungsprozesse bis zu Schwachstellen- und Lieferantenmanagement.
Konformität nachweisen
Wir bereiten Konformitätsbewertung, Audit und Zertifizierung vor und begleiten sie durch, so dass die Ergebnisse auch für Folgeversionen tragen.
Am Ende stehen nicht nur Unterlagen, sondern ein konformes Produkt und eine Organisation, die diese Konformität dauerhaft tragen kann.
Klarheit & Plan
Die Grundlage für jede Konformitätsentscheidung: eine belastbare Einordnung und ein priorisierter Plan.
- Betroffenheits- & Gap-Analyse mit konkret benannten Abweichungen
- Standard-Mapping (EN 40000, EN 50742, EN 18031, IEC 62443)
- Compliance-Roadmap mit Meilensteinen und Aufwandsschätzung
Nachweise & Dokumentation
Die Unterlagen, die Marktüberwachung und Benannten Stellen standhalten und auch für Folgeversionen tragen.
- Technische Dokumentation nach regulatorischen Vorgaben
- Konformitätserklärung (DoC) und Nachweisführung
- Vorbereitung auf Marktüberwachung und behördliche Prüfungen
Konformes Produkt & Organisation
Das eigentliche Ziel: ein Produkt, das die Anforderungen erfüllt, und eine Organisation, die diese Konformität hält.
- CRA-konformes Produkt mit belastbarer CE-Grundlage
- Etablierter Secure Development Lifecycle
- Intern verankerte Product-Security-Prozesse
- Übertragbar auf Folgeprodukte und -versionen
Diese Leistung richtet sich an Hersteller, deren Produkte mit digitalen Elementen unter den CRA und häufig parallele Regulierung fallen, vom Mittelstand bis zum Konzern.
Maschinen- & Anlagenbau
Hersteller, deren Produkte zugleich unter CRA und die neue Maschinenverordnung fallen und beide Nachweise brauchen.
Embedded & IIoT
Hersteller vernetzter Geräte und Komponenten mit digitalen Elementen, die ihren Marktzugang in der EU absichern müssen.
Hersteller ohne eigene Product-Security-Funktion
Unternehmen ohne dediziertes Product-Security-Team, die regulatorische Anforderungen mit der technischen Realität verbinden müssen.
Wir standen vor der Herausforderung, unser gesamtes Mobile Robots Portfolio unter erheblichem Zeitdruck EN 18031-konform zu machen. Secuvise hat uns dabei nicht nur beraten, sondern hands-on unterstützt, von der systematischen Informationssammlung über die Gap-Analyse bis zur Durchführung der Konformitätstests. Ohne diese pragmatische Unterstützung hätten wir unsere Deadline nicht gehalten.
Für die regulatorische Konformität unserer Produkte brauchten wir einen Partner, der technische Tiefe mit praktischer Umsetzbarkeit verbindet. Die Zusammenarbeit mit Secuvise war unkompliziert und die Lösungen ließen sich gut in unsere Entwicklung integrieren.
Ab wann gilt der CRA verbindlich?
Die zentralen Pflichten des Cyber Resilience Act greifen ab dem 11.12.2027. Bereits ab dem 11.09.2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Wer Produkte mit digitalen Elementen verkauft, sollte die verbleibende Zeit für Analyse und Umsetzung einplanen.
Betrifft der CRA mein Produkt?
Der CRA betrifft Produkte mit digitalen Elementen, also Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. In der Praxis fällt der Großteil vernetzter Produkte darunter. In der Betroffenheitsanalyse klären wir verbindlich, welche Anforderungen für Ihr konkretes Produkt gelten.
Wie hängen CRA, RED Delegated Act und Maschinenverordnung zusammen?
Die drei Regelwerke stellen teils überlappende Cybersicherheitsanforderungen an unterschiedliche Produktkategorien. Wir ordnen ein, welche Verordnung für Ihr Produkt führend ist, und mappen die passenden harmonisierten Normen, damit Sie Anforderungen einmal erfüllen statt mehrfach prüfen.
Brauchen wir zwingend eine Benannte Stelle?
Das hängt von der Produktkategorie ab. Für einen Teil der Produkte ist eine Selbstbewertung vorgesehen, kritische Produkte erfordern die Einbindung einer Benannten Stelle. Wir bereiten Ihre Nachweise so vor, dass sie für beide Wege belastbar sind, und begleiten die Abstimmung mit Prüf- und Benannten Stellen.
Wie schnell können wir konform werden?
Das Tempo hängt vom Ausgangsstand ab. Nach der Gap-Analyse erhalten Sie eine realistische Roadmap mit Aufwandsschätzung. Je früher Sie starten, desto mehr Spielraum bleibt, um Lücken ohne Last-Minute-Audit-Schleifen zu schließen.
Keine passende Antwort gefunden?
Sprechen Sie uns an. Wir klären Ihre Fragestellung gerne direkt und ordnen sie in Ihren konkreten Produkt- und Regulierungskontext ein.
Gespräch vereinbarenBereit, Ihren CRA-Status zu klären?
Sie möchten wissen, welche Cybersicherheitsanforderungen für Ihre Produkte gelten und wie diese technisch und organisatorisch umgesetzt werden? In einem kurzen Erstgespräch ordnen wir Ihren Produktkontext ein, benennen Ihre größten Compliance-Risiken und skizzieren die nächsten Schritte. Sachlich, strukturiert und ohne Verkaufsdruck.
Unverbindliches Erstgespräch vereinbaren
Füllen Sie das Formular aus. Wir melden uns zeitnah, um ein kurzes Erstgespräch zu vereinbaren.