Seminar Cyber Resilience Act – Geltungsbereich, Klassifizierung und Engineering-Roadmap

Vor der technischen Umsetzung muss geklärt sein, welche Produkte, Komponenten, Cloud-Anteile und wirtschaftlichen Rollen betroffen sind. Fehler in dieser frühen Abgrenzung ziehen sich später durch Risikoanalyse, Dokumentation, Konformitätsbewertung und Schwachstellenbehandlung. Das Seminar schafft eine belastbare gemeinsame Arbeitsgrundlage.

Im Mittelpunkt steht kein juristischer Vortrag, sondern die Überführung der regulatorischen Struktur in ein Engineering-Programm. Berücksichtigt werden die seit Ende 2025 konkretisierten technischen Beschreibungen wichtiger und kritischer Produktkategorien sowie die aktuellen Leitlinien zu Remote-Datenverarbeitung, Open Source, Supportzeiträumen und wesentlichen Änderungen. Für ein Beispielportfolio entstehen Klassifizierungsdossiers und priorisierte Umsetzungspakete.

Seminarziel

Ziel ist eine nachvollziehbare Scoping- und Planungsmethode, mit der Organisationen ihre CRA-relevanten Produkte erfassen, technische Lücken bewerten und die Umsetzung bis zu den anwendbaren Fristen steuern können.

Lernziele

• Produkte mit digitalen Elementen, Komponenten und Remote-Datenverarbeitung systematisch abgrenzen
• Hersteller-, Importeur-, Händler- und Open-Source-Rollen in der Lieferkette unterscheiden
• Wichtige und kritische Produktkategorien anhand ihrer Kernfunktion technisch einordnen und Unsicherheiten dokumentieren
• Supportzeitraum, erhebliche Änderungen und Altprodukte in die Planung einbeziehen
• CRA-Anforderungen auf bestehende Prozesse und technische Controls abbilden
• Eine priorisierte Engineering-Roadmap mit Verantwortlichkeiten und Abnahmekriterien erstellen

Inhalte

Produkt- und Rollenabgrenzung

• Hardware, Software, separat vermarktete Komponenten und verbundene Remote-Dienste
• Kommerzielle Tätigkeit, freie und quelloffene Software sowie Open-Source-Stewards
• Eigenmarke, Auftragsentwicklung, OEM-Konstellationen, Importe und Distribution
• Produktvarianten, Plattformen, gemeinsam genutzte Komponenten und Produktfamilien

Klassifizierung und Pflichtenmodell

• Standardprodukte sowie wichtige Produkte der Klassen I und II und kritische Produkte mit digitalen Elementen
• Technische Kategorienbeschreibungen, Kernfunktion des Produkts und passender Konformitätsweg
• Supportzeitraum, Marktbereitstellung, wesentliche Änderung und Lebenszyklus
• Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle

Supportzeitraum und wesentliche Änderung

• Begründung des Supportzeitraums aus erwarteter Nutzungsdauer, Produktart und Abhängigkeiten
• Mindestens fünf Jahre als Untergrenze, soweit keine kürzere erwartete Nutzungsdauer nachgewiesen ist
• Bewertung von Änderungen anhand neuer Angriffsvektoren, Angriffsszenarien, Eintrittswahrscheinlichkeit und Auswirkungen
• Re-Assessment, neue Konformitätsentscheidung und dokumentierte Releasefreigabe

Gap-Analyse und Roadmap

• Reifegradaufnahme für Secure SDLC, SBOM, PSIRT, Updateprozess und Dokumentation
• Priorisierung nach Frist, Produktrisiko, Wiederverwendung und Umsetzungsabhängigkeit
• RACI, Workstreams, Meilensteine, Definition of Done und Management-Kennzahlen
• Abgrenzung zwischen technischen, organisatorischen und vertraglichen Maßnahmen

Praktische Übungen

• Produktinventar mit CRA-relevanten Merkmalen und Rollen aufbauen
• Mehrere Produktfälle klassifizieren und offene Annahmen dokumentieren
• Gap-Analyse gegen ein CRA-orientiertes Kontrollmodell durchführen
• Umsetzungsroadmap mit Abhängigkeiten, Prioritäten und prüfbaren Liefergegenständen erstellen

Zielgruppe

Geeignet ist das Seminar für Verantwortliche, die aus dem CRA ein steuerbares Produkt- und Engineering-Programm machen und dabei technische sowie organisatorische Teams auf eine gemeinsame Struktur ausrichten müssen.