Cyber Resilience Act: Sicher durch die Einführung
Die Meldepflicht gilt seit dem 11. September 2026, die vollen Anforderungen ab dem 11. Dezember 2027. Wir bringen Hersteller von Produkten mit digitalen Elementen pragmatisch dorthin – aufbauend auf Ihrem vorhandenen ISMS und nach den Technischen Richtlinien des BSI.
Was der CRA verlangt – und wann
Der CRA gilt für fast alle Produkte mit digitalen Elementen, die in der EU verkauft werden: Hardware, Software einschließlich B2B- und Individualsoftware sowie die Backends, ohne die das Produkt nicht funktioniert. Gefordert ist angemessene, nicht maximale Cybersicherheit, gestützt auf eine Risikobewertung.
Inhaltlich geht es um vier Bereiche: Produktanforderungen (Security by Design und by Default), Umgang mit Schwachstellen über einen Supportzeitraum von in der Regel mindestens fünf Jahren, Drittkomponenten und Lieferkette (SBOM) sowie Mindestinformationen für Nutzende. Bei rund 90 % der Produkte genügt eine Selbstbewertung mit Konformitätserklärung und CE-Kennzeichen.
Unsere Angebote zur CRA-Einführung
CRA-Meldeprozess
Damit Sie die geltende Meldepflicht heute erfüllen.
- Meldekriterien: was meldepflichtig ist und was nicht
- Frühwarnung binnen 24 Stunden, Abschlussbericht 14 Tage nach Abhilfe
- Registrierung von Meldenden und Vertretungen auf der CRA Single Reporting Platform
- Prozessbeschreibung für Ihr ISMS
Preis auf Anfrage
CRA-Check
Klarheit, ob und wie Ihre Produkte betroffen sind.
- Betroffenheit und Produktkategorie (Selbstbewertung oder Drittstelle)
- Gap-Analyse gegen die BSI TR-03183
- Maßnahmenplan bis Dezember 2027
Preis auf Anfrage
Förderantrag SECURE4SME
Bis zu 30.000 € EU-Zuschuss für Ihre CRA-Umsetzung.
- Prüfung der Förderfähigkeit (KMU-Status, keine Kontrolle außerhalb der EU)
- Projektplan mit Arbeitspaketen und Kosten
- Antrag in Englisch über das SECURE-Portal
Preis auf Anfrage
CRA-Erweiterung Ihres ISMS
Wir bauen auf Ihrem ISO 27001-, IT-Grundschutz- oder TISAX-ISMS auf, statt etwas Paralleles zu schaffen.
- Schwachstellenmanagement und Sicherheitsupdates
- SBOM nach BSI TR-03183-2
- Sicherer Software-Lebenszyklus nach BSI TR-03185
- Lieferantenverträge und Supportzeiträume
Preis auf Anfrage
Vorbereitung auf TR-03185-Zertifizierung
Für Hersteller, die ihren Entwicklungsprozess vom BSI zertifizieren lassen wollen.
- Bewertung Ihres Entwicklungsprozesses gegen die TR-03185-1
- Begleitung durch das BSI-Verfahren
Preis auf Anfrage
CRA-Schulung
Für Entwicklung, Produktmanagement und Geschäftsführung.
- Pflichten und Fristen des CRA
- Meldepflicht in der Praxis
- Security by Design im Alltag
Preis auf Anfrage
Förderung: Die Hälfte trägt die EU
| Programm | SECURE4SME (Digital Europe Programme); in Deutschland berät das NKCS beim BSI |
| Zuschuss | bis 30.000 € je KMU, Förderquote 50 %1 |
| Gefördert | CRA-Gap-Analyse, Schwachstellen- und Meldeprozess, Security by Design, Weiterentwicklung von Gerätesoftware, Schulungen, externe Beratung |
| Voraussetzungen | KMU nach EU-Definition, Sitz in der EU, keine Kontrolle von außerhalb der EU |
| Antragsfrist | 11. Dezember 2026 |
| Wichtig | Gefördert werden nur Kosten ab Projektbeginn. Beginnen Sie deshalb mit dem Antrag – nicht mit der Umsetzung. |
1 Angaben laut BSI (Webinar „CRAsh-Kurs“ vom 20.10.2026) und Nationalem Koordinierungszentrum für Cybersicherheit (NKCS) beim BSI: www.nkcs.bund.de. Maßgeblich sind allein die jeweils aktuellen Förderbedingungen. ATM Consulting unterstützt bei der Prüfung der Förderfähigkeit und beim Antrag, kann eine Förderung aber nicht zusagen; über Bewilligung und Höhe entscheidet ausschließlich der Fördergeber.
Warum ATM Consulting
- Vom BSI als Auditor für die TR-03185-1 „Sicherer Software-Lebenszyklus“ gelistet
- BSI-zertifizierter Auditteamleiter für ISO 27001-Audits auf der Basis von IT-Grundschutz (BSI-ZIG-0305)
- Praxis aus ISMS-Mandaten mit TISAX, ISO 27001 und IT-Grundschutz – wir erweitern Bestehendes, statt neu zu bauen
Häufige Fragen
Muss ich jede Schwachstelle melden?
Nein. Meldepflichtig sind nur Schwachstellen, die in der realen Welt von böswilligen Akteuren aktiv ausgenutzt werden, sowie schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit. Ein veröffentlichter Exploit allein oder ein Befund aus dem Labor löst keine Meldepflicht aus.
Wie hängen CRA und NIS2 zusammen?
NIS2 regelt die Cybersicherheit von Organisationen, der CRA die von Produkten. Wer von beiden betroffen ist, kann Maßnahmen aus seinem ISMS für den CRA nachnutzen.
Brauche ich eine Drittstellenbewertung?
Meist nicht: Rund 90 % der Produkte unterliegen der Selbstbewertung. Wichtige Produkte der Klasse 2 und kritische Produkte (Anhänge III und IV des CRA) brauchen eine Drittstelle. Ein ISO 27001-Zertifikat lässt sich dann über das Modul H nachnutzen.
Gilt der CRA auch für Software?
Ja, auch für B2B- und Individualsoftware, die mit wirtschaftlicher Absicht bereitgestellt wird. Statt eines CE-Zeichens auf dem Gerät wird ein Link zur Konformitätserklärung hinterlegt.
Sprechen Sie uns an
Wir klären in einem kurzen Erstgespräch, wo Ihre Produkte stehen und ob sich ein Förderantrag lohnt.
Quellen: BSI – Cyber Resilience Act, Technische Richtlinien TR-03183 und TR-03185, CRAsh-Kurs des BSI vom 20.10.2026. Die Hinweise dienen der Information und sind keine Rechtsberatung.