Cyber Resilience Act
Cybersicherheit für digitale Produkte
+++ Jetzt handeln: Meldepflichten gelten ab 11. September 2026! +++
+++ Bestehende IT-Governance-Strukturen für Synergien nutzen +++
Vernetzte Produkte brauchen verlässliche Cybersicherheit - und der Cyber Resilience Act (CRA) macht sie zur Pflicht. Er sorgt dafür, dass alle Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus geschützt sind. Wir unterstützen euch dabei, die EU-Verordnung sicher umzusetzen und im Alltag zu operationalisieren.
Setzt den Cyber Resilience Act (CRA) mit unserer Unterstützung effizient und wirksam um
Anstelle eines deutschen Durchführungsgesetzes wird es flankierende Standards geben, die zeitnah durch europäische Standardsetzer erlassen werden. Wir bringen die Anforderungen für euch in die Umsetzung und in den Betrieb, steuern die erforderlichen Risikobewertungen und übersetzen die Vorgaben in technische, organisatorische und vertragliche Maßnahmen.
Zuerst prüfen wir, ob ihr auf bestehenden IT-Governance-Strukturen aufsetzen könnt – etwa aus DORA oder NIS-2. Das spart Aufwand, schafft Synergien und macht euch schneller CRA-konform.
Anwendungsbereich erkennen und verstehen
Euer Nutzen:
Ihr wisst genau, ob und wie euch der CRA betrifft und vermeidet sowohl unnötigen Aufwand als auch gefährliche Lücken.
Was wir für euch tun:
- Prüfung, ob und welche Produkte als „Produkte mit digitalen Elementen“ in den CRA-Anwendungsbereich fallen
- Klärung der Rolle im Sinne des CRA und der daraus resultierenden Pflichten für die jeweiligen betroffenen Wirtschaftsakteure
- Zuordnung der Produkte zur richtigen Kategorie einschließlich der Feststellung, ob es sich um ein kritisches oder wichtiges Produkt mit digitalen Elementen handelt
Eure zentralen Teilergebnisse:
- Dokumentierte Betroffenheitsanalyse eurer Produkte
- Nachvollziehbare Produktklassifizierung als Grundlage für alle weiteren Pflichten und die damit verbundene Umsetzung
- Klarer Überblick über die geltenden Anforderungen und Fristen
Zu den Pflichten als Hersteller haben wir für dich eine Übersicht erstellt, die du dir kostenlos herunterladen kannst: zum Download!
Umsetzungspflichten ableiten, Synergien nutzen
Euer Nutzen:
Ihr erfüllt die grundlegenden Cybersicherheitsanforderungen des CRA fristgerecht und könnt die Konformität eurer Produkte belastbar nachweisen. Dabei setzt ihr idealerweise auf vorhandenen IT-Governance-Strukturen auf und findet Synergien für eine ressourcenschonende Umsetzung.
Was wir für euch tun:
- Ableitung aller geltenden Pflichten aus Betroffenheit, Rolle und Produktklasse
- Abgleich der Produkte und Prozesse mit den grundlegenden Anforderungen
- KI-gestützte Identifikation von Lücken (Gap-Analyse) und Priorisierung der Maßnahmen zum Schließen der Lücken
- KI-gestützte Prüfung, ob und inwieweit auf bestehende IT-Governance-Strukturen aus DORA oder NIS-2 zur CRA-Umsetzung aufgesetzt werden kann
- Erstellung eines Umsetzungsfahrplans entlang der CRA-Fristen
Eure zentralen Teilergebnisse:
- Vollständige Übersicht der einzuhaltenden CRA-Pflichten
- Dokumentierte Gap-Analyse mit priorisierten Handlungsfeldern mit Umsetzungsfahrplan
- Grundlage für die EU-Konformitätserklärung und die CE-Kennzeichnung
Cybersicherheitsrisiken systematisch beherrschen
Euer Nutzen:
Ihr ermittelt ein angemessenes Cybersicherheitsniveau für eure digitalen Produkte und haltet eure Risikobeurteilung über den gesamten Lebenszyklus hinweg aktuell – von der Planung über die Einführung bis zum Ende des Unterstützungszeitraums.
Was wir für euch tun:
- KI-gestützter Aufbau bzw. Anpassung einer Methodik zur Cyber-Risikobeurteilung für die Ermittlung eines angemessenen Cybersicherheitsniveaus gemäß Art. 13 Abs. 2 CRA
- Toolgestützte Durchführung der Risikobeurteilung auf Basis der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung
- Sicherstellung des geforderten Analyseumfangs mit Betriebsumgebung und -anlagen unter Berücksichtigung von Anlage I des CRA
- Hinterlegung der identifizierten Risiken mit konkreten Maßnahmen zur Mitigation inkl. regelmäßiger Aktualisierungen und Sicherheitstests über den Lebenszyklus
Eure zentralen Teilergebnisse:
- Nachvollziehbare Methodik zur Cybersicherheits-Risikobeurteilung
- Dokumentierte Risikobeurteilungen je Produkt
- Priorisierte Maßnahmen zur Risikobehandlung
- Prüfungssicherer Nachweis der Risikosteuerung über den Lebenszyklus
Transparenz über alle Komponenten erhalten
Euer Nutzen:
Ihr verfügt über eine vollständige, konsistente technische Dokumentation und behaltet über die SBOM jederzeit den Überblick über eure Komponenten.
Was wir für euch tun:
- Ermittlung und Aufbereitung der Inhalte der technischen Dokumentation gemäß Anhang VII des CRA
- Toolgestützter Aufbau und Pflege einer Software-Stückliste (SBOM) zur Erfassung der Software-Komponenten
- Verknüpfung von Risikobewertung, Maßnahmen und Nachweisen
Eure zentralen Teilergebnisse:
- Vollständige technische Dokumentation als Konformitätsnachweis
- Aktuelle SBOM als Grundlage für das Schwachstellenmanagement
- Konsistente Verknüpfung aller relevanten Nachweise
Sicherheit von Anfang an mitgedacht
Euer Nutzen:
Ihr verankert Cybersicherheit fest in Entwicklung und Produktion und erfüllt die CRA-Anforderungen nicht durch Nacharbeit, sondern von Anfang an.
Was wir für euch tun:
- Verankerung von Security by Design in den Entwicklungs- und Produktionsprozessen
- Definition sicherer Standardkonfigurationen im Sinne von Security by Default
- Einbeziehung der Lieferkette in die Prozessgestaltung
Eure zentralen Teilergebnisse:
- Prozess-integrierte Security-by-Design-Anforderungen
- Definierte sichere Standardkonfigurationen
- Klare Verantwortlichkeiten und Kontrollpunkte
Meldepflichten sicher erfüllen
Euer Nutzen:
Ihr erfüllt die CRA-Meldepflichten fristgerecht und reagiert auf Schwachstellen und Sicherheitsvorfälle strukturiert und nachvollziehbar.
Was wir für euch tun:
- Aufbau wirksamer Prozesse zur Erkennung und Reaktion bei einer aktiv ausgenutzten Schwachstelle
- Umsetzung der Meldepflicht der Hersteller gegenüber ENISA und CSIRT innerhalb der geltenden Fristen
- Definition von Abläufen zur Bereitstellung kostenloser Sicherheitsupdates und Hinweismeldungen
Eure zentralen Teilergebnisse:
- Etablierter Prozess zur Schwachstellenbehandlung
- Fristgerechte Melde- und Reaktionsfähigkeit (ENISA/CSIRT)
- Nachvollziehbare Dokumentation von Schwachstellen und Vorfällen
Belastbare Nachweise gegenüber Dritten führen
Euer Nutzen:
Ihr geht vorbereitet in Konformitätsbewertung und Audits und könnt eure CRA-Konformität gegenüber Behörden, Auditoren und Kunden belastbar nachweisen.
Was wir für euch tun:
- Proaktive Prüfung, ob und wie gut ihr die CRA-Anforderungen umgesetzt habt
- Orchestrierung aller Beteiligten mit klaren Rollen und Verantwortlichkeiten
- (KI-gestützte) Durchführung von Readiness-Checks und Prüfungssimulationen
Eure zentralen Teilergebnisse:
- Belastbare Vorbereitung auf die Konformitätsbewertung
- Dokumentierte Nachweisführung gegenüber Dritten
- Sicherheit im Umgang mit Behörden und benannten Stellen
Cyber Resilience Act
Wir stellen Compliance für Hersteller, Händler und alle Betroffenen sicher
Kostenloses Erstgespräch sichern
Nutzt ein unverbindliches, kostenloses Erstgespräch, um euren aktuellen Stand bei der Umsetzung des Cyber Resilience Acts präzise zu klären und konkrete Handlungsbedarfe sichtbar zu machen.
Im Gespräch klären wir die folgenden Fragen:
- Status-Check: Wo steht ihr heute bei der Sicherheit eurer Produkte mit digitalen Elementen? Sind die Produkte wichtig oder kritisch? Sind Konformitätserklärungen erforderlich?
- Priorisierte Maßnahmen: Welche Schritte sind jetzt wirklich notwendig – effizient, nachweisfähig und ressourcenschonend?
- Marktübliche Spielräume: Welche Gestaltungsmöglichkeiten sind praktikabel und anerkannt? Wie lässt sich auf bestehenden IT-Governance-Strukturen beispielsweise im Kontext von DORA oder NIS-2 aufsetzen?
Fristen im Blick: Erste Pflichten greifen bereits 2026
Auch wenn die vollständigen Anforderungen erst ab dem 11. Dezember 2027 gelten, greift die erste verbindliche Pflicht deutlich früher. Ab dem 11. September 2026 gelten die Meldepflichten nach dem CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA und die zuständigen CSIRTs melden – innerhalb enger Fristen.
Diese Meldepflichten gelten für alle Produkte. Nach Art. 69 Abs. 3 CRA erfassen sie sämtliche Produkte mit digitalen Elementen im Anwendungsbereich, die bereits vor der vollständigen CRA-Geltung auf dem EU-Markt bereitgestellt wurden – also auch Produkte, die lange vor Inkrafttreten des CRA ausgeliefert wurden.
Wartet daher nicht bis 2027: Wer die Meldeprozesse nicht rechtzeitig aufsetzt, riskiert schon ab September 2026 Verstöße – über den gesamten Produktbestand hinweg.
Kostenloses Whitepaper
Alles Wissenswerte zu den Meldepflichten haben wir für dich in einem Whitepaper zusammengefasst. Lade es dir jetzt kostenlos herunter!
FSI im Fokus: Software, CRA und das Zusammenspiel mit DORA
Unter den Produkten mit digitalen Elementen ist Software für den Finanzsektor die praktisch wichtigste Kategorie. Denn Software wird vielfach unmittelbar beim Kunden installiert, wodurch sich mögliche Schwachstellen und deren Auswirkungen vervielfachen.
Für Finanzunternehmen ist dabei das Zusammenspiel mit DORA entscheidend. Beide Regelwerke adressieren dasselbe Risiko - Schwachstellen in Software – aber setzen an verschiedenen Punkten in der Kette an: der CRA dort, wo Software entsteht und in Verkehr gebracht wird, DORA dort, wo sie im Institut eingesetzt wird. DORA stärkt die operationale Resilienz des Instituts selbst, der CRA die Sicherheit des einzelnen Produkts über seinen gesamten Lebenszyklus.
Weil Finanzunternehmen aus DORA bereits IT-Governance-, Risiko- und Vorfallstrukturen kennen, gibt es eine Grundlage, an die sich anknüpfen lässt; nicht als fertige Antwort auf den CRA, aber als solides Fundament.
Darin liegt unser Ansatz: Wir prüfen, wo Bestehendes trägt und ergänzen von dort aus gezielt um die Produktperspektive, die der CRA neu einfordert.
Wichtig: Als Hersteller im Sinne des CRA gilt auch, wer ein Produkt entwickeln lässt und unter eigenem Namen oder eigener Marke anbietet . Wird eine App extern entwickelt, aber unter der Marke des Finanzunternehmens vertrieben, trägt es die Herstellerpflichten. Lieferantensteuerung und Produktverantwortung fallen zusammen.
Kostenloses Erstgespräch sichern
Ihr wollt wissen, wie ihr CRA und DORA in eurem Haus aufeinander abstimmt? Sichert euch ein kostenloses Erstgespräch.
Oder ladet euch unser kostenloses Whitepaper herunter und lest nach, wie ihr Anforderungen in bestehende Strukturen integriert.
FAQ zum Cyber Resilience Act (CRA)
Die wichtigsten Fragen, die euch bei der Umsetzung des CRA begegnen – kurz, präzise und mit Fundstelle in der Verordnung (EU) 2024/2847. Zitate beziehen sich auf den amtlichen Verordnungstext.
Wann fällt unser Produkt überhaupt unter den Cyber Resilience Act?
Der CRA gilt für jedes Produkt mit digitalen Elementen, das auf dem EU-Markt bereitgestellt wird, also für “Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen” (Art. 3 Nr. 1 CRA). Ausgenommen sind u. a. Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt sowie Produkte im Bereich nationale Sicherheit und Verteidigung (Art. 2 Abs. 2 CRA). Rund 90 % der Produkte dürften Standardprodukte sein. Nur die in Anhang III und IV gelisteten wichtigen bzw. kritischen Produkte unterliegen erhöhten Konformitätsanforderungen.
Welche Rolle spielen wir als Wirtschaftsakteur und welche Pflichten ergeben sich daraus?
Der CRA unterscheidet vier Wirtschaftsakteure:
- Hersteller (Art. 3 Nr. 13),
- Bevollmächtigte (Art. 3 Nr. 15),
- Einführer (Art. 3 Nr. 16) und
- Händler (Art. 3 Nr. 17).
Der Hersteller trägt die umfassendsten Pflichten. Einführer und Händler müssen vor allem sicherstellen, dass nur konforme, CE-gekennzeichnete Produkte in Verkehr gebracht bzw. bereitgestellt werden (Art. 19 und Art. 20 CRA).
Was verlangt der CRA bezüglich Security by Design und Security by Default?
Hersteller müssen ihre Produkte “im Einklang mit den grundlegenden Cybersicherheitsanforderungen” des Anhangs I, Teil I, konzipieren, entwickeln und herstellen (Art. 13 Abs. 1 CRA). Dazu zählen u. a. eine sichere Standardkonfiguration, der Schutz vor unbefugtem Zugriff, Datenminimierung und eine möglichst geringe Angriffsfläche. Security by Default heißt: Produkte werden mit der sichersten vernünftigerweise möglichen Konfiguration ausgeliefert, Schutzmaßnahmen sind ab Installation aktiv und dürfen nur durch eine bewusste Nutzerhandlung eingeschränkt werden (Anhang I, Teil I Nr. 2 lit. b CRA).
Wie müssen wir die Cyber-Risikoanalyse über den Lebenszyklus gestalten?
Schon bei der Planung ist eine Bewertung der Cybersicherheitsrisiken „auf der Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung“ vorzunehmen (Art. 13 Abs. 2 und 3 CRA). Die Analyse ist nicht einmalig. Sie muss regelmäßig aktualisiert und über den gesamten Lebenszyklus – Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung – aktuell gehalten werden. Im Unterstützungszeitraum ist sie fortlaufend fortzuschreiben (Art. 13 Abs. 3 CRA).
Was muss die technische Dokumentation enthalten und wann brauchen wir eine SBOM?
Art. 31 CRA verlangt eine technische Dokumentation, deren Mindestinhalte in Anhang VII stehen – u. a. Produktbeschreibung, Risikobewertung über den Lebenszyklus, Testberichte und EU-Konformitätserklärung. Bestandteil ist eine Software-Stückliste (SBOM), “eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten” (Art. 3 Nr. 41 CRA), aus der mindestens die obersten Abhängigkeiten hervorgehen. Beide sind vor Inverkehrbringen zu erstellen und laufend zu aktualisieren.
Welche Meldefristen gelten bei einer aktiv ausgenutzten Schwachstelle und bei einem schweren Sicherheitsvorfall?
Die Meldepflicht ist dreistufig geregelt (Art. 14 CRA i. V. m. Anhang I, Teil II): Innerhalb von 24 Stunden nach Kenntniserlangung ist eine Frühwarnung an ENISA und das zuständige CSIRT abzusetzen. Innerhalb von 72 Stunden folgt eine angereicherte Meldung mit Angaben zur Schwachstelle bzw. zum Sicherheitsvorfall, zu Korrekturmaßnahmen und einer ersten Risikoeinschätzung. Innerhalb von 14 Tagen ist ein Abschlussbericht einzureichen, der Schweregrad, Auswirkungen und Korrekturmaßnahmen beschreibt.
Welches Konformitätsbewertungsverfahren müssen wir durchlaufen und wann brauchen wir eine benannte Stelle?
Vor Inverkehrbringen ist ein Konformitätsbewertungsverfahren nach Art. 32 CRA durchzuführen. Welches, hängt von der Produktkategorie ab. Für Standardprodukte genügt in der Regel die interne Kontrolle (Modul A). Für kritische und wichtige Produkte nach Anhang III/IV gelten strengere Verfahren, bei denen die Einbindung einer benannten Stelle erforderlich sein kann. Nach erfolgreichem Abschluss wird die CE-Kennzeichnung angebracht – sie belegt die Konformität mit den grundlegenden Cybersicherheitsanforderungen.
Wie lange müssen wir Sicherheitsupdates bereitstellen – und welche Fristen sind schon jetzt relevant?
Der Unterstützungszeitraum beträgt mindestens 5 Jahre und soll die voraussichtliche Nutzungsdauer des Produkts widerspiegeln (Art. 13 Abs. 8 CRA). In dieser Zeit müssen Schwachstellen wirksam behandelt und kostenlose Sicherheitsupdates bereitgestellt werden. Wichtig für den Zeitplan: Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten bereits ab dem 11. September 2026, alle übrigen Pflichten – inklusive Konformitätsbewertung – mit Ablauf der Übergangsfrist am 11. Dezember 2027.
Gibt es Erleichterungen für Open Source?
Ja. Kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht fällt grundsätzlich nicht unter den CRA (Art. 2 CRA). Für Verwalter quelloffener Software gelten erleichterte Pflichten (Art. 24 CRA).
Wie grenzen sich CRA und DORA ab und was bedeutet das für unser Finanzunternehmen?
Beide Regelwerke adressieren Cyberrisiken in Software, setzen aber an unterschiedlichen Punkten an: Der CRA regelt die Sicherheit des Produkts dort, wo es entsteht und in Verkehr gebracht wird. DORA stärkt die operationale Resilienz dort, wo Software im Institut eingesetzt wird. Für Finanzunternehmen heißt das: Aus DORA bestehen bereits Governance-, Risiko- und Vorfallstrukturen, die als Fundament für die CRA-Umsetzung dienen können. Entscheidend ist, beide Regime abgestimmt umzusetzen, damit aus zwei Regulierungen kein doppelter Aufwand, sondern ein konsistentes Vorgehen wird.
Welche Pflichten haben Hersteller von Produkten mit digitalen Elementen?
Auch wenn es andere Beteiligte gibt, der Hersteller steht im Zentrum des CRA und seine Pflichten gegenüber Nutzern, Behörden, ihren Bevollmächtigten und anderen sind vielfältig. Er muss Cybersicherheit immer im Blick behalten, mit einer Konformitätserklärung die Erfüllung von Anforderungen nachweisen, Schwachstellen offenlegen und dauerhaft Sicherheits-Updates zur Verfügung stellen. Dabei muss er auch darauf achten, dass die Cybersicherheit auch bei Serienherstellung dauerhaft gewahrt bleibt.
Im Einzelnen handelt es sich u.a. um die folgenden Pflichten des Herstellers:
-
Grundlegende Sicherheitsanforderungen
Ein Teil der Cybersicherheits-Anforderungen sind nach Gesetzessystematik grundlegend – diese finden sich in Anhang I zum CRA wieder.
-
Cyber-Risikoanalyse
Durch eine Bewertung der Cybersicherheits-Risiken sollen diese Risken im Laufe des Produkt-Lebenszyklus minimiert, Sicherheitsvorfälle reduziert und in ihrer Auswirkung auf Gesundheit und Sicherheit der Nutzer minimiert werden.
Der Lebenszyklus betrifft sämtliche Produkt-Phasen: Planung, Konzeption, Entwicklung, Herstellung, Lieferung, Wartung.
Somit sind die Risikoanalysen regelmäßig durchzuführen und jeweils aktuell zu halten (vgl. auch Art. 13 Abs. 3 CRA). -
Technische Dokumentation und Software-Stückliste (SBOM)
Die nach Art. 31 CRA erforderliche technische Dokumentation enthält alle einschlägigen Daten oder Einzelheiten darüber, wie der Hersteller sicherstellt, dass das Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen genügen.
Dabei ist auch eine Software-Stückliste (Software Bill Of Materials, SBOM) zu erstellen, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen.
Sie muss vor dem Inverkehrbringen des Produkts erstellt und laufend aktualisiert werden. -
Meldung und Behandlung von Schwachstellen
Stellt der Hersteller eine Schwachstelle in integrierten (auch quelloffenen) Komponenten fest, unterliegt er Pflichten:
- Meldung der Schwachstelle an die Person oder Einrichtung, die die Komponente herstellt oder wartet (Art. 13 Abs. 6 CRA); bei aktiv ausgenutzten Schwachstellen an ENISA und CSIRT(gestuft: Frühwarnung binnen 24 h, Schwachstellenmeldung innerhalb von 72 h, Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme (Art. 14 Abs. 1, 2 CRA))
- Behandlung und Behebung der Schwachstelle gemäß Anhang I, Teil II CRA. Die Pflicht gilt ab dem Inverkehrbringen bis über die erwartete Produktlebensdauer bzw. bis zum Ende des Unterstützungszeitraums. Sind keine Korrekturmaßnahmen möglich, muss das Produkt vom Markt genommen oder zurückgerufen werden.
- Bereitgestellte Sicherheitsaktualisierungen müssen nach ihrer Auslieferung für mindestens zehn Jahre verfügbar bleiben (Art. 13 Abs. 9 CRA).
- Unverzügliche Information der betroffenen Nutzer über den Vorfall sowie über Risikominderungs- und Korrekturmaßnahmen, die diese selbst ergreifen können (soweit erforderlich)
-
Meldung schwerwiegender Sicherheitsvorfälle
Stellt der Hersteller einen schwerwiegenden Sicherheitsvorfall fest, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt, unterliegt er folgenden Pflichten (Art. 14 Abs. 3, 4, 8 CRA):
- Meldung des Vorfalls an das als Koordinator benannte CSIRT und an die europäische Cybersicherheitsbehörde ENISA (gestuft: Frühwarnung innerhalb von 24 h, Vorfallmeldung innerhalb von 72 h, Abschlussbericht innerhalb eines Monats)
- Unverzügliche Information der betroffenen Nutzer über den Vorfall sowie über Risikominderungs- und Korrekturmaßnahmen, die diese selbst ergreifen können (soweit erforderlich)
-
Dokumentation aller Cybersicherheitsaspekte
Der Hersteller dokumentiert systematisch und in angemessener Weise
- alle relevanten Cybersicherheitsaspekte des Produkts mit digitalen Elementen,
- alle Schwachstellen, von denen er Kenntnis erlangt
- alle von Dritten bereitgestellten einschlägigen Informationen
Gegebenenfalls aktualisiert er außerdem die Bewertung der Cybersicherheitsrisiken des Produkts.
-
Durchführung des Konformitätsbewertungsverfahrens
Vor Inverkehrbringen eines Produkts mit digitalen Elementen ist ein Konformitätsbewertungsverfahren nach Art. 32 CRA durchzuführen. Das kennt man bereits durch das Vorgehen bei der CE-Kennzeichnung. Welches der zur Verfügung stehenden Konformitätsverfahren zur Wahl steht, hängt von der jeweiligen Produktkategorie ab.
Mit diesem Verfahren wird nachgewiesen, dass das Produkt mit digitalen Elementen und die angewandten Verfahren den grundlegenden Cybersicherheitsanforderungen genügen.
Alles Wissenswerte zu den Pflichten als Hersteller haben wir für dich in einem Fact Sheet übersichtlich zusammengefasst. Lade es dir jetzt kostenlos herunter!
Auch interessant für dich
CloudGate - Compliance & Risks
Kennst du CloudGate, unser TPRM-Tool für Compliance und Risk Management? Hier erfährst du mehr und kannst es 30 Tage kostenlos testen.
Whitepaper: DORA-Informationsregister
Lest im kostenlosen Whitepaper, wie Finanzunternehmen ihre IKT-Drittdienstleister dokumentieren und überwachen sollten - inklusive Update 2025. Jetzt downloaden!
GRC-Seminare
Du willst mit deinem Team Innovationen vorantreiben, wenn es um GRC geht? Dann buche für euch eines unserer Seminare!
den Cyber Resilience Act
Sebastian Dosch
Enabler und Principal Consultant
Du hast Fragen zum Cyber Resilience Act oder einem anderen Regulatorik-Thema? Sebastian Dosch hat die Antworten und freut sich über deine Kontaktaufnahme.
Tel +49 6172 177 630
Neues Seminar zum CRA: Grundlagen
Kennst du schon unser neues CRA-Seminar? Fokus: Umsetzung des Cyber Resilience Act in Finanzunternehmen. Jetzt informieren!
zu den Seminaren