Seminar CRA – Cyber Resilience Act

Der Cyber Resilience Act ist der europäische Rahmen für die Cybersicherheit von Produkten mit digitalen Elementen. Das Seminarangebot verbindet die Sicht von Software- und Geräteherstellern mit den Aufgaben von Entwicklung, Product Security, Qualitätsmanagement und Compliance. Schulungsgegenstand ist die produktbezogene Umsetzung von der ersten Einordnung bis zur langfristigen Pflege.

Die CRA-Themenseite bündelt ein herstellerübergreifendes Programm. Im Mittelpunkt stehen nachvollziehbare Abläufe und überprüfbare Arbeitsweisen: Produkte abgrenzen, Risiken bewerten, Komponenten verstehen, sichere Eigenschaften entwickeln, Sicherheitsmeldungen bearbeiten und technische Nachweise ordnen. Vorhandene Entwicklungs- und Managementprozesse werden gezielt einbezogen.

Die Hersteller-Meldepflichten gelten seit 11. September 2026; die allgemeinen Produktanforderungen werden ab 11. Dezember 2027 anwendbar. Die Kurse berücksichtigen diese unterschiedlichen Zeitpunkte und trennen die Vorbereitung künftiger Produktfreigaben vom bereits erforderlichen Meldeprozess. Die besondere Rolle von Open-Source-Stewards wird gesondert behandelt.

Inhaltsübersicht

• Fachseminare für gezielte Aufgaben
• Intensivpfade mit zusammenhängender Fallarbeit
• Kompakter Einstieg für gemischte Teams
• Praxis und Einordnung
• Empfohlene Besuchsreihenfolge
• Seminarauswahl

Fachseminare für gezielte Aufgaben

Elf Fachseminare mit ein bis drei Tagen bilden klar abgegrenzte Aufgabenbereiche ab. Der eintägige Grundkurs schafft die gemeinsame Basis. Zweitägige Workshops vertiefen Analyse, Prozesse und Wartung. Dreitägige Kurse ermöglichen umfangreichere technische Arbeit oder den vollständigen Aufbau und Review einer Musterakte.

Intensivpfade mit zusammenhängender Fallarbeit

Drei Intensivseminare bündeln sämtliche Fachthemen in rollenbezogenen Pfaden: Konformität und Projektsteuerung in vier Tagen, sichere Produktentwicklung in fünf Tagen sowie Schwachstellenbetrieb und Meldeprozesse in vier Tagen. Eine gemeinsame Fallakte pro Pfad reduziert wiederholte Einführungen. Die zugehörigen Fachkurse bieten zusätzliche Varianten und vertiefende Einzelübungen.

Kompakter Einstieg für gemischte Teams

Das dreitägige Kompaktseminar vermittelt die Gesamtsicht und bearbeitet ausgewählte Kurzworkshops. Es eignet sich zur Abstimmung zwischen technischen und organisatorischen Funktionen. Danach können einzelne Fachkurse anhand der tatsächlichen Rolle und der noch offenen Aufgaben ausgewählt werden.

Praxis und Einordnung

Die Übungen verwenden vorbereitete Produktfälle, isolierte technische Umgebungen und prüfbare Arbeitsdokumente. Der Schwerpunkt reicht von Produktsteckbriefen und Projektplanung bis zu SBOM-Prüfung, Updatefehlerfällen und simulierten Meldungen. Der konkrete Praxisumfang und das erforderliche Vorwissen sind auf jeder Seminarseite beschrieben.

Empfohlene Besuchsreihenfolge

Die folgenden Reihenfolgen sind Lernempfehlungen. Die Seminarseiten selbst sind alphabetisch angeordnet. Die Rollenpfade beginnen mit dem Grundkurs oder setzen gleichwertige Kenntnisse voraus.

Gemeinsame Grundlage

Der Grundkurs ist der empfohlene erste Schritt. Gleichwertiges Vorwissen ermöglicht den unmittelbaren Einstieg in die fachliche Vertiefung.

1. CRA – Grundlagen, Geltungsbereich und Herstellerpflichten (1 Tag)

Produkt-Compliance und Projektleitung

Nach den Grundlagen folgt die Planung des Vorhabens. Die Rollen- und Lieferantenklärung bereitet den Aufbau der technischen Akte und die Konformitätswegentscheidung vor. Technische Nachweise werden mit den Entwicklungsteams abgestimmt.

1. CRA – Projektsteuerung, Gap-Analyse und Auditvorbereitung (2 Tage)
2. CRA – Open Source, Lieferanten und Wirtschaftsakteure (1 Tag)
3. CRA – Technische Dokumentation, Konformitätsbewertung und CE (3 Tage)

Softwareentwicklung und Product Security

Die Risikobewertung liefert Anforderungen und Prüfkriterien für den sicheren Entwicklungsprozess. Anschließend wird die Komponenten- und Nachweisverwaltung vertieft. Der SBOM-Kurs kann bei entsprechender Erfahrung auch früher besucht werden.

1. CRA – Cybersecurity-Risikobewertung und Threat Modeling (2 Tage)
2. CRA – Secure Development Lifecycle und Security by Design (3 Tage)
3. CRA – SBOM, Komponentenbewertung und Software-Lieferkette (2 Tage)

Geräte- und Embedded-Entwicklung

Für Hardware- und Geräteprodukte ergänzt dieser Pfad die Risikobewertung um konkrete Geräteeigenschaften, Komponentenpflege und technisch überprüfte Aktualisierung.

1. CRA – Cybersecurity-Risikobewertung und Threat Modeling (2 Tage)
2. CRA – IoT, Embedded und OT-Produkte absichern (3 Tage)
3. CRA – SBOM, Komponentenbewertung und Software-Lieferkette (2 Tage)
4. CRA – Sicherheitsupdates, Support und Produktlebenszyklus (2 Tage)

Schwachstellenbearbeitung und Produktpflege

Ein geregelter Schwachstellenprozess bildet die Basis für fristgerechte Meldungen und sichere Korrekturen. Bei unmittelbar bevorstehenden Meldeaufgaben kann das Meldepflichten-Seminar mit CRA-Grundwissen zuerst besucht werden.

1. CRA – Schwachstellenmanagement, PSIRT und Coordinated Disclosure (2 Tage)
2. CRA – Meldepflichten und Incident Response (2 Tage)
3. CRA – Sicherheitsupdates, Support und Produktlebenszyklus (2 Tage)

Gebündelte Qualifizierung

Die Intensivseminare werden nach Rolle gewählt. Für eine vollständige fachübergreifende Qualifizierung empfiehlt sich diese Reihenfolge; technische Voraussetzungen des Entwicklungspfads bleiben erforderlich. Ein vorheriger Besuch sämtlicher zusammengefasster Fachseminare ist nicht notwendig.

1. CRA – Intensivseminar Konformität und Projektsteuerung (4 Tage)
2. CRA – Intensivseminar Sichere Produktentwicklung (5 Tage)
3. CRA – Intensivseminar Schwachstellenbetrieb und Meldeprozesse (4 Tage)

Gesamtsicht vor der Spezialisierung

Das Kompaktseminar ist ein alternativer Einstieg für gemischte Teams. Anschließend wird der fachliche Pfad anhand von Aufgaben und Vorkenntnissen ausgewählt.

1. CRA – Kompaktseminar Umsetzung im Überblick (3 Tage)