Cyber Resilience Act (CRA) Consulting

Ab dem 11. September 2026 gelten die ersten Melde- und Reporting-Pflichten des Cyber Resilience Act (CRA). Ab dem 11. Dezember 2027 müssen die Hauptpflichten vollständig angewendet werden. Der CRA ist eine EU-Verordnung und gilt unmittelbar in Deutschland. Nicht konforme Produkte mit digitalen Elementen dürfen ab diesem Zeitpunkt nicht mehr in der EU bereitgestellt werden.

Wir unterstützen Hersteller, Importeure und Händler dabei, ihre Organisation, Produkte und Prozesse rechtzeitig und wirtschaftlich CRA-konform aufzustellen.

Unsere Leistungen

Gap-Analyse und Risiko-Bewertung
• Systematische Bestandsaufnahme entlang der CRA-Pflichten (Sicherheitsanforderungen, Schwachstellenmanagement, Secure Development, Support- und Updatepflichten)
• Identifikation, Priorisierung und Bewertung von Abweichungen und Risiken, Compliance-Roadmap
• Umsetzungsplan mit Meilensteinen bis 09/2026 (Reporting) und 12/2027 (volle Anwendung)
• Zuständigkeiten, Ressourcen- und Budgetplanung, KPIs für das Management-Reporting, Technische Dokumentation
• Aufbau und Pflege der Produktakte, Konformitätserklärung, CE-Bezug
• Einbindung und Pflege der SBOM (Software Bill of Materials)
• Nachweisführung für Audits und Marktüberwachung

Secure Development & Testing
• Threat Modeling, Secure-Coding-Leitlinien, Code-Reviews
• CI/CD-Kontrollen, statische/dynamische Analysen, Penetrationstests
• Absicherung von Release- und Patch-Prozessen, Vulnerability & Incident Management
• Prozesse für koordinierte Schwachstellenmeldungen und Sicherheitsupdates
• Vorlagen und Abläufe für Meldungen zu aktiv ausgenutzten Schwachstellen und erheblichen Sicherheitsvorfällen
• Kommunikationskonzepte gegenüber Behörden, Kunden und Partnern

Begleitung der Konformitätsbewertung
• Readiness-Checks, Auswahl und Interaktion mit Konformitätsbewertungsstellen
• Vorbereitung, Begleitung und Nachbereitung von Audits bis zum Abschluss

Vorgehensmodell

Scoping & Intake
Erfassung des Produktportfolios, der Software-Stücklisten, Lieferkette, vorhandener Zertifizierungen und Verantwortlichkeiten
Assessment
Reifegradmessung gegen die CRA-Anforderungen über den gesamten Produktlebenszyklus einschließlich Secure Development und Schwachstellenmanagement
Roadmap & Umsetzung
Priorisierte Maßnahmen und Umsetzung in Sprints, abgestimmt auf Release-Zyklen und Partner in der Lieferkette
Nachweis & Audit-Vorbereitung
Erstellung und Pflege der Produktakte, interne Audits, Vorbereitung und Begleitung der externen Bewertung

Warum Blackfort Technology

• Techniktiefe und Praxisnähe: Beratung mit direkter Umsetzungsunterstützung (Pentests, Code-Reviews, SBOM-Prozesse, CI/CD-Kontrollen)
• Erfahrung in regulierten Umgebungen und komplexen Lieferketten
• Klare, messbare Ergebnisse statt theoretischer Konzepte, u.a.

• CRA-Readiness-Report mit Risiko- und Maßnahmenübersicht.
• Umsetzungsroadmap mit Verantwortlichkeiten und Zeitplan
• Vorlagen für Produktakte, Prozessbeschreibungen und Meldungen
• Schulungen für Entwicklung, Produktmanagement und Compliance

Häufige Fragen (FAQ)

Ab wann gilt der CRA in Deutschland?
Der CRA ist eine EU-Verordnung und gilt unmittelbar. Ab 11.09.2026 greifen die ersten Reporting-Pflichten, ab 11.12.2027 sind die Hauptpflichten vollständig anzuwenden.

Wer ist betroffen?
Hersteller, Importeure und Händler von Produkten mit digitalen Elementen sowie Akteure in der Lieferkette, die Sicherheits-, Support- oder Updatepflichten übernehmen.

Was sollte heute bereits getan werden?
Unternehmen sollten jetzt beginnen, ihre Produkte und Prozesse systematisch auf die Anforderungen des Cyber Resilience Act zu prüfen. Dazu gehört insbesondere eine erste Gap-Analyse, die Identifikation betroffener Produkte mit digitalen Elementen, die Einführung eines Schwachstellenmanagements sowie die Planung für Incident-Reporting. Auch die Erstellung und Pflege einer Software Bill of Materials (SBOM) sowie die Dokumentation bestehender Sicherheitsmaßnahmen sollten nicht aufgeschoben werden, da diese Aufgaben erfahrungsgemäß zeitintensiv sind. Wer diese Grundlagen heute schafft, kann spätere Anpassungen zielgerichtet und mit deutlich weniger Aufwand umsetzen.

Welche Nachweise werden benötigt?
U.a. Nachweise zur Erfüllung der Sicherheitsanforderungen, Prozesse zum Schwachstellen- und Patch-Management, SBOM-Nachweise, Produktakte und Konformitätserklärung.

Wie passt der CRA zu bestehenden Standards wie ISO/IEC 27001?
Ein ISMS schafft eine wichtige Grundlage, ersetzt den CRA jedoch nicht. Wir mappen bestehende Kontrollen auf die CRA-Pflichten und schließen identifizierte Lücken.

Wann ist der optimale Startzeitpunkt für die CRA-Vorbereitung?
Der optimale Zeitpunkt ist jetzt. Auch wenn die vollständige Anwendung des CRA erst am 11. Dezember 2027 verpflichtend wird, treten bereits ab dem 11. September 2026 Melde- und Reportingpflichten in Kraft. Angesichts der Vorlaufzeiten für technische Anpassungen, Prozessänderungen und die Zusammenarbeit mit Lieferkettenpartnern ist eine Vorbereitung von mindestens 18 bis 24 Monaten empfehlenswert. Wer erst 2026 mit der Umsetzung beginnt, läuft Gefahr, die Übergangsfristen zu überschreiten. Ein frühzeitiger Start ermöglicht es, Maßnahmen sinnvoll zu priorisieren, Budgets planbar einzusetzen und Wettbewerbsvorteile durch nachweisbare Compliance aufzubauen.

Hinweis zu Sanktionen
Je nach Verstoß sind administrative Geldbußen bis zu 15 Mio. € bzw. bis zu 2,5 % des weltweiten Jahresumsatzes möglich. Darüber hinaus drohen Marktmaßnahmen bis hin zum Vertriebsstopp bei fehlender Konformität.

Kontakt

Die Fristen rücken näher. Vereinbaren Sie hier ein Erstgespräch, um Ihre CRA-Compliance strukturiert und termingerecht umzusetzen.