Den Cyber Resilience Act strukturiert angehen.
Acht aufeinander aufbauende Phasen zeigen, welche Aktivitäten und Ergebnisse für eine CRA-Konformität typischerweise relevant sind — von der ersten Einordnung bis zum Betrieb nach Inverkehrbringen.
CRA ist interdisziplinär.
Wer den Cyber Resilience Act allein in der Entwicklung verortet, greift zu kurz. Jede Phase der Roadmap ist deshalb nach drei Dimensionen bewertet — so wird sichtbar, wann Recht, Organisation und Technik zusammenarbeiten müssen.
Recht
Vertragsgestaltung, Konformitätserklärung, Haftung, Pflichten gegenüber Behörden und Marktüberwachung.
Organisation
Prozesse, Rollen, Verantwortlichkeiten, Schulungen, Lieferantenmanagement und Incident-Response-Strukturen.
Technik
Secure Development, Schwachstellenmanagement, SBOM, Updates und sichere Standardkonfigurationen.
In der Roadmap zeigt jede Phase ein Bewertungsprofil (0–5) für diese drei Dimensionen — als Hinweis, welche Disziplinen wann besonders gefordert sind.
Die acht CRA-Phasen
Eine bewusst schlanke Struktur — als Orientierung und Diskussionsgrundlage gedacht, nicht als vollständiges Compliance-System.
- 1
Einordnen und Bewerten
Produktportfolio systematisch erfassen und CRA-Relevanz bestimmen.
- 2
GAP-Analyse und Zielbild
Ist-Zustand gegen CRA-Anforderungen spiegeln und ein tragfähiges Zielbild ableiten.
- 3
Risikobewertung (Produkt / Prozess)
Cyber-Risiken auf Produkt- und Prozessebene strukturiert bewerten.
- 4
Definition von Sicherheitsmaßnahmen
Aus Risiken und CRA-Anforderungen geeignete Sicherheitsmaßnahmen ableiten.
- 5
Verankerung in der Entwicklungsebene
Sicherheitsanforderungen in Entwicklungsprozess, Tools und Rollen übersetzen.
- 6
Nachweisführung und Auditvorbereitung
CRA-relevante Dokumente und Nachweise für die Konformitätsbewertung aufbereiten.
- 7
Audit
Durchführung und Begleitung der Konformitätsbewertung.
- 8
Betrieb, Updates und Meldeprozess
Schwachstellen- und Meldewesen für die Zeit nach dem Inverkehrbringen verankern.