Seminar CRA – Grundlagen, Geltungsbereich und Herstellerpflichten

Der Einstiegskurs schafft eine gemeinsame Arbeitsgrundlage für die Umsetzung des Cyber Resilience Act. Im Mittelpunkt steht die Frage, welche Produkte und Tätigkeiten betroffen sind und welche Aufgaben daraus für Produktmanagement, Entwicklung, Vertrieb und Compliance entstehen. Software, vernetzte Geräte, separat angebotene Komponenten und zugehörige Datenfernverarbeitung werden an verständlichen Beispielen betrachtet.

Die Einordnung folgt einem wiederverwendbaren Prüfschema: Produkt und bestimmungsgemäße Verwendung beschreiben, Bereitstellung auf dem Markt untersuchen, Rolle bestimmen, Ausnahmen prüfen und Folgeaufgaben zuordnen. Dadurch lassen sich unklare Fälle gezielt an die zuständigen Fachbereiche übergeben. Die eintägige Ausrichtung konzentriert sich auf belastbare Orientierung und eine Erstbewertung eines Musterprodukts.

Inhaltsübersicht

• Produktbezug und zeitliche Einordnung
• Geltungsbereich systematisch prüfen
• Rollen in der Wertschöpfungskette
• Produktkategorien und Konformitätswege
• Pflichten entlang des Produktlebenszyklus
• Erstbewertung und nächste Arbeitsschritte

Produktbezug und zeitliche Einordnung

Untersucht werden Zielsetzung und Aufbau der produktbezogenen Cybersicherheitsanforderungen. Der Beginn der Hersteller-Meldepflichten am 11. September 2026 und die allgemeine Anwendung ab 11. Dezember 2027 werden in einen Einführungsplan übertragen. Bereits vermarktete Produkte und spätere wesentliche Änderungen erhalten eigene Prüfpunkte.

Geltungsbereich systematisch prüfen

Anhand eines Produktsteckbriefs werden Software, Hardware, direkte und indirekte Verbindungen sowie notwendige Datenfernverarbeitung eingeordnet. Eigenbedarf, kostenlose Angebote, individuelle Software und reine Cloud-Dienstleistungen werden anhand ihrer tatsächlichen Bereitstellung beurteilt. Für jeden Grenzfall werden Annahmen, fehlende Informationen und nächste Prüfschritte festgehalten.

Rollen in der Wertschöpfungskette

Hersteller, Bevollmächtigte, Einführer und Händler werden anhand typischer Lieferketten unterschieden. Eigene Marke, Auftragsentwicklung und Produktänderungen können die Rollenbewertung beeinflussen. Eine Verantwortungsmatrix verdeutlicht, welche Aufgaben intern erledigt werden, welche Angaben von Partnern benötigt werden und wo Abstimmungen erforderlich sind.

Produktkategorien und Konformitätswege

Die Einordnung sonstiger, wichtiger und kritischer Produkte wird mit dem jeweils zu prüfenden Konformitätsverfahren verknüpft. Die Kernfunktion des Produkts bildet den Ausgangspunkt. Technische Kritikalität, betriebliche Bedeutung und gesetzliche Produktkategorie werden getrennt bewertet, damit aus einer hohen internen Risikoeinstufung keine unzutreffende Klassifizierung entsteht.

Pflichten entlang des Produktlebenszyklus

Risikobewertung, sichere Entwicklung, Komponentenübersicht, Schwachstellenbehandlung, Updates und technische Dokumentation werden als zusammenhängende Aufgaben eingeordnet. Hinzu kommen Nutzerinformationen, Supportplanung und die Freigabe vor dem Inverkehrbringen. Für jede Aufgabe wird ein Beispiel eines prüfbaren Arbeitsdokuments besprochen.

Erstbewertung und nächste Arbeitsschritte

Ein vereinfachter Produktfall wird vom Geltungsbereich bis zur ersten Maßnahmenliste bearbeitet. Offene Fragen werden nach fachlicher Zuständigkeit priorisiert. Die Abgrenzung zu organisationsbezogenen Sicherheitsvorgaben und bestehenden Managementsystemen zeigt, welche vorhandenen Prozesse nutzbar sind und welche produktbezogenen Nachweise zusätzlich benötigt werden.

Praxisworkshop

1. Ein Musterprodukt mit Funktionen, Zielgruppe, Bereitstellungsmodell und Schnittstellen beschreiben.
2. Den Geltungsbereich anhand einer Entscheidungsfolge prüfen und Annahmen sichtbar dokumentieren.
3. Die beteiligten Unternehmen den möglichen CRA-Rollen zuordnen und Informationslücken markieren.
4. Eine erste Produktkategorie mit Begründung festhalten und den Konformitätsweg zur weiteren Prüfung vormerken.
5. Die wichtigsten Umsetzungsschritte nach Verantwortlichkeit, Dringlichkeit und Abhängigkeiten ordnen.

Schulungsumgebung

Bearbeitet werden vorbereitete Produktsteckbriefe, Entscheidungsmatrizen und eine tabellarische Maßnahmenliste. Ein Arbeitsplatz mit Textverarbeitung und Tabellenkalkulation genügt.

Weitere CRA-Seminare und empfohlene Besuchsreihenfolge