CRA-konform mit Hays
ohne Ressourcen zu binden

Wir bringen Ihre Produkte mit digitalen Elementen sicher durch die EU-Verordnung.

Viele deutsche Unternehmen kämpfen mit der Unsicherheit der neuen Vorgaben des Cyber Resilience Acts (CRA). Wir verstehen diese Herausforderungen. Als Ihr spezialisierter Partner für CRA-Compliance helfen wir Ihnen nicht nur, Risiken zu minimieren und kostspielige Bußgelder zu vermeiden, sondern verwandeln die CRA-Anforderungen in einen strategischen Vorteil, der das Vertrauen Ihrer Kunden stärkt und Ihre Marktposition nachhaltig sichert.

Diese Kunden

vertrauen uns bereits

Alle Referenzen ansehen

So sind wir für Sie da

Wir kennen die komplexen rechtlichen und technischen Anforderungen des Cyber Resilience Act und entwickeln für Sie praktische, umsetzbare Strategien. Denn wir verstehen die Unklarheiten und die Herausforderungen bei der Implementierung neuer Vorschriften innerhalb bestehender Unternehmensstrukturen.

Dabei bieten wir eine umfassende Sicht auf Ihre CRA-Herausforderungen, optimieren Ihre Organisation, Prozesse und IT-Systeme.

Jetzt kostenfreies Erstgespräch vereinbaren

Das passiert nach

Ihrer Kontaktaufnahme

Terminvereinbarung mit Hays Experts

Beratung und Gap Analyse

Erarbeitung einer klaren Roadmap

Umsetzung und Überprüfung der Wirksamkeit

Was ist der

Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die darauf abzielt, die Cybersicherheit von Produkten mit digitalen Elementen (PDE) zu verbessern. Sie betrifft direkt deutsche Hersteller, Importeure und Händler und zwingt sie, Cybersicherheit über den gesamten Produktlebenszyklus hinweg zu integrieren – von der Entwicklung bis zum Ende der Nutzungsdauer.

Die Verordnung ist am 10. Dezember 2024 in Kraft getreten, wobei die Berichtspflichten für Schwachstellen bereits ab dem 11. September 2026 verpflichtend sind. Bei Nichteinhaltung drohen empfindliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die ultimative CRA-Checkliste: Sind Sie vorbereitet?

Laden Sie sich nun unsere CRA-Checkliste herunter und stellen Sie damit sicher, dass Sie bestens auf die kommende Verordnung vorbereitet sind.

Jetzt kostenfrei runterladen

Von der Entwicklung "sicherer Produkte ab Werk" bis zur Sicherstellung lückenloser Updates und effektivem Schwachstellenmanagement über den gesamten Lebenszyklus – die neuen EU-Vorschriften erfordern eine tiefgreifende Anpassung Ihrer Prozesse. Wir wissen, dass Sie dabei nicht nur Compliance, sondern auch pragmatische und zukunftssichere Lösungen suchen, die Ihr Geschäft stärken und gleichzeitig hohe Strafen vermeiden.

Was ist für

Sie zu tun?

Wenn Sie von CRA betroffen sind, ist es wichtig, dass Sie das Thema Cyber Security von Anfang an mitdenken. Stellen Sie sicher, dass Sie allen Anforderungen entsprechen und belegen Sie das mit einem Konformitätsnachweis. Mögliche Schwachstellen melden Sie der zentralen Meldeplattform.

Anforderungen an

betroffene Unternehmen

Der CRA stellt bestimmte Anforderung an betroffene Produkte mit digitalen Elementen.

Cybersichere Entwicklung

Hersteller müssen Produkte von Anfang an unter Berücksichtigung von Cybersicherheit (Security by Design) entwickeln. Dabei ist eine Bewertung und Dokumentation von Cybersicherheitsrisiken vorgeschrieben.

Konformitätsbewertung und CE-Kennzeichnung

Produkte dürfen nur dann vertrieben werden, wenn sie erfolgreich ein Konformitätsbewertungsverfahren durchlaufen haben und die CE-Kennzeichnung tragen – als Nachweis, dass sie die CRA-Anforderungen erfüllen.

Kategorisierung nach Risikoklassen

Hersteller müssen Produkte von Anfang an unter Berücksichtigung von Cybersicherheit (Security by Design) entwickeln. Dabei ist eine Bewertung und Dokumentation von Cybersicherheitsrisiken vorgeschrieben.

Cybersecurity während des gesamten Produktlebenszyklus

Hersteller müssen mindestens fünf Jahre (oder die erwartete Produktnutzungsdauer, falls diese länger ist) kostenlose Sicherheitsupdates bereitstellen und die Sicherheit der Produkte während des gesamten Lebenszyklus (Entwicklung, Bereitstellung, Wartung, Entsorgung) sicherstellen.

Sicherheitsupdate und Schwachstellenmanagement

Es besteht die Pflicht, Sicherheitsupdates rechtzeitig bereitzustellen und Prozesse für die Aufnahme, Behandlung und Kommunikation von Schwachstellenmeldungen einzurichten. Explizit gibt es eine Meldepflicht für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle an Behörden.

Software Bill of Materials

Für integrierte Software-Komponenten ist eine nachvollziehbare Auflistung aller eingesetzten Software-Bausteine (SBOM) Pflicht.

Nutzerinformation

Hersteller müssen Cybersicherheitsinformationen und Anleitung zur sicheren Nutzung bereitstellen, einschließlich Dokumentation zu erwarteten Einsatzbedingungen und empfohlener sicherer Konfigurationen.

Verantwortlichkeiten in der Lieferkette

Auch Importeure und Händler sind verpflichtet, die Einhaltung der Cybersicherheitsanforderungen zu prüfen, wirksame Kontrollmechanismen zu etablieren und bei Schwachstellen oder Vorfällen Behörden und Nutzer zu informieren.

Haftung und Sanktionen

Bei Verstößen drohen empfindliche Geldbußen (bis zu 15 Millionen Euro oder 2,5% des weltweiten Jahresumsatzes) sowie Verkaufsverbote bzw. Produktrückrufe.

Kontaktieren

Sie uns jetzt

Yesterday's solutions don't solve tomorrow's problems!

FAQ

Was zählt zu „Produkten mit digitalen Elementen“ (PDE)?

Dazu gehören alle Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können, wie Smartphones, Smart-Home-Geräte, industrielle Systeme, B2B-Software und mobile Anwendungen, die kommerziell bereitgestellt werden.

Was bedeutet „wichtig“ oder „kritisch“ in Bezug auf den CRA?

„Wichtig“ oder „kritisch“ bezieht sich auf Produkte mit höherer Cybersicherheitsrelevanz, die in den Anhängen III und IV der CRA-Verordnung gelistet sind, wie z.B. Firewalls oder Smartcards, und strengere Konformitätsbewertungsverfahren durch Dritte erfordern.

Was bedeutet „Security by Design“ und “by Default”?

„Security by Design“ bedeutet, Cybersicherheit von Anfang an in den Produktentwicklungsprozess zu integrieren, während „Secure by Default“ vorschreibt, dass Produkte mit den sichersten Standardeinstellungen ausgeliefert werden, die minimale Benutzereingriffe erfordern.

Was ist die Software Bill of Materials?

Die Software Bill of Materials (SBOM) ist eine detaillierte Bestandsliste aller Softwarekomponenten und deren Abhängigkeiten, die in einem Produkt verwendet werden, vergleichbar mit einem Zutatenverzeichnis für Lebensmittel.

Was ist eine CVE-Überwachung?

Eine CVE-Überwachung (Common Vulnerabilities and Exposures) ist die kontinuierliche Überwachung und das Management bekannter Sicherheitslücken in Produkten und deren Komponenten, um diese schnellstmöglich zu identifizieren, zu beheben und zu melden.

CRA-konform mit Hays ohne Ressourcen zu binden

Diese Kunden vertrauen uns bereits