Seminar Cyber Resilience Act – Kompaktseminar für technische Teams

Das Kompaktseminar schafft in kurzer Form ein gemeinsames technisches Verständnis für die CRA-Umsetzung. Die wichtigsten Pflichten werden nicht isoliert betrachtet, sondern an einem Produktlebenszyklus miteinander verbunden: vom Scoping über sichere Entwicklung und Lieferkette bis zur Schwachstellenbehandlung nach der Veröffentlichung.

Der Fokus liegt auf tragfähigen Minimalprozessen und klaren Artefakten. Dadurch eignet sich das Format besonders für Teams, die einen Pilot starten, ein bestehendes Programm ausrichten oder Verantwortlichkeiten zwischen Engineering, Security und Compliance klären müssen.

Seminarziel

Ziel ist ein umsetzbarer CRA-Bauplan mit priorisierten Kontrollen, eindeutigen Rollen und einer Nachweiskette, die ohne unnötige Doppelarbeit in bestehende Entwicklungs- und Betriebsprozesse integriert werden kann.

Lernziele

• Betroffene Produkte, Rollen und zentrale Fristen einordnen
• Risikoanalyse und Threat Modeling als Ausgangspunkt technischer Maßnahmen nutzen
• Kernkontrollen eines Secure SDLC und sicherer CI/CD-Pipelines auswählen
• SBOM und Lieferketteninformationen erzeugen, prüfen und für Vulnerability Management einsetzen
• PSIRT, Meldeprozess, Patch- und Updateversorgung organisatorisch verbinden
• Technische Nachweise strukturiert und revisionsfähig zusammenführen

Inhalte

Vom Scope zur Sicherheitsanforderung

• Produkte mit digitalen Elementen, Rollen, Klassifizierung und Supportzeitraum
• Produktbezogene Risikoanalyse, Assets, Angriffsfläche und Bedrohungsmodell
• Security by Design, Secure by Default und dokumentierte Restrisiken
• Gap-Analyse und priorisiertes CRA-Backlog

Sichere Entwicklung und Lieferkette

• Secure-SDLC-Aktivitäten, Verantwortlichkeiten und Security Gates
• SAST, SCA, Secrets, Container, IaC und risikobasierte Teststrategie
• SBOM mit SPDX oder CycloneDX, Qualitätsprüfung und Releasezuordnung
• Build-Provenance, Signaturen, vertrauenswürdige Quellen und Drittanbietersteuerung

Vulnerability Handling und Nachweise

• PSIRT-Intake, Triage, CVD, Advisory, CVE und Remediation
• CRA-Meldekriterien, 24-/72-Stunden-Prozess und Single Reporting Platform
• Sichere Updates, Patch-SLAs, Rollback und End-of-Support-Planung
• Traceability von Anforderung, Control, Test, Finding, Release und Evidenz

Praktische Übungen

• Produktfall scopen, Risiken bewerten und relevante Controls auswählen
• SBOM erzeugen, Qualitätsmängel erkennen und Schwachstellen priorisieren
• Security Gate und Ausnahmeprozess für eine Beispielpipeline definieren
• PSIRT-Tabletop mit Meldung, Advisory, Patch und Nachweisdossier bearbeiten

Zielgruppe

Das Seminar richtet sich an technische Teams und Entscheider, die einen vollständigen, aber bewusst verdichteten Einstieg in die CRA-Umsetzung benötigen.