1. Orientierung
CRA-Klassifizierung & Scope / Betroffenheitsprüfung
- Analyse, ob und in welchem Umfang Produkte dem CRA unterliegen.
- Analyse, ob Produkte in die Kategorie „Wichtige Produkte mit digitalen Elementen“ oder „Kritische Produkte mit digitalen Elementen“ fallen, Abgrenzung zu IEC 62443 und anderen Standards.
- Prüfung, welche Art der CE-Konformitätserklärung notwendig ist: Self Declaration oder den Weg über einen Notified Body
Ergebnis: Dokumentierte Analyse mit Produkttyp, Kategorie und Handlungsempfehlung.
CRA Gap-Analyse / Readiness-Check
- Leistung: Kompakte Bestandsaufnahme zum CRA-Reifegrad. Durchführung eines strukturierten Assessments und Ableitung notwendiger Maßnahmen, um die Lücken zu schließen.
- Ergebnis: Dokumentierte Gap-Analyse mit High-Level Handlungsempfehlungen
- Ziel: Klarheit, ob und wie das Produkt betroffen ist, sowie ein schneller Überblick über Handlungsbedarf.
2. Risikoanalyse
Ganzheitliche Risikoanalyse mit SECIRA
SECIRA prüft, ob eine Schwachstelle erreichbar und ausnutzbar ist. Genau das fordert der CRA, bevor risikopriorisiert Maßnahmen definiert werden.
Mit SECIRA setzen Sie CRA-Anforderungen softwaregestützt und nachvollziehbar um:
- Risikoanalyse und Bedrohungsmodellierung strukturiert abbilden
- Technische Dokumentation erstellen und versionieren
- Schwachstellen bewerten und Maßnahmen planen
- Security by Design
Resilienzstrategie / Maßnahmenplan
Wir entwickeln mit Ihnen eine realistische CRA-Roadmap, priorisieren gemeinsam die relevanten Anforderungen und definieren Umsetzungsziele, die zu Ihrem Produkt, Team und Budget passen. Auch für Start-ups und KMUs erstellen wir individuelle Angebote, die den Einstieg erleichtern.
Ziel: Einen strukturierten Fahrplan entwickeln, wie CRA-Anforderungen in Entwicklungs- und Produktzyklen integriert werden.
3. Umsetzung
Security-by-Default
Leistung: Unterstützung bei der Umsetzung der CRA-Vorgaben in konkrete Maßnahmen.
- Produkte müssen ohne bekannte Schwachstellen ausgeliefert werden,
- Die Integrität der Software muss geschützt sein
- Schutzmaßnahmen müssen im Standardzustand aktiv sein.
Ergebnis: Praxisnahe Begleitung bis zur regelkonformen, einsatzbereiten Lösung.
SBOM & Update-Management
- Leistung: Erstellung und Pflege einer Software Bill of Materials (SBOM). Definition von Support- und Update-Prozessen.
- Ergebnis: Transparente SBOM, dokumentierte Update-Strategie, Nachweisfähigkeit für Auditoren.
Vulnerability Management
- Leistung: Aufbau eines Prozesses zur Schwachstellenmeldung. Einrichtung und Training eines Product Security Incident Response Teams (PSIRT).
- Ergebnis: Vulnerability Management Process, definierter Workflow, Templates für Security Advisories.
- Ziel: Zentrale Pflichten praktisch im Produktdesign und in Prozessen umsetzen.
Training & SDLC-Integration
- Leistung: Durchführung praxisnaher Schulungen für Entwickler, PMs und Security-Rollen. Integration von Security-by-Design in den Entwicklungsprozess (SDLC).
- Ergebnis: Geschultes Team, dokumentierte Prozessanpassung, nachhaltige Verankerung von Security im Lifecycle.
- Ziel: Teams fit machen, Audits bestehen und Security-by-Design nachhaltig im Unternehmen verankern.
4. CE-Nachweis & Dokumentation
CE-Konformitätsbewertung
- Leistung: Unterstützung beim gesamten CE-Prozess nach CRA. Vorbereitung der technischen Dokumentation, Schnittstelle zu benannten Stellen.
- Ergebnis: Vollständige Unterlagen für die CE-Kennzeichnung
Dokumentation
- Leistung: Beratung und Erstellung einer nach CRA geforderten Dokumentation – von Produktbeschreibung und Entwicklungsprozessen über Risikobewertung bis hin zu Testberichten und EU-Konformitätserklärung.
- Ergebnis: Strukturiertes, prüfsicheres Dossier, das alle Pflichtinhalte gemäß Art. 31 abdeckt.
5. After-Market & Betrieb
Kontinuierliches Monitoring
- Leistung: Unterstützung oder Übernahme des Vulnerability Management Prozess und der kontinuierlichen Risikoanalyse zur Identifikation & Bewertung von ausnutzbaren Schwachstellen.
- Ergebnis: SECIRA als Tools zur kontinuierlichen Überwachung und Schwachstellenbehebung, managed oder als self service.
Product Registration & Regulatory Controls
- Leistung: Beratung und Durchführung bei Meldepflichten. Einrichtung interner Compliance-Kontrollmechanismen.
- Ergebnis: Registrierte Produkte, zentrale Übersicht über regulatorische Verpflichtungen.
- Ziel: Auch nach Markteinführung gesetzeskonform bleiben, Schwachstellen melden und Updates dokumentieren.
CRA-Klassifizierung & Scope / Betroffenheitsprüfung
- Analyse, ob und in welchem Umfang Produkte dem CRA unterliegen.
- Analyse, ob Produkte in die Kategorie „Wichtige Produkte mit digitalen Elementen“ oder „Kritische Produkte mit digitalen Elementen“ fallen, Abgrenzung zu IEC 62443 und anderen Standards.
- Prüfung, welche Art der CE-Konformitätserklärung notwendig ist: Self Declaration oder den Weg über einen Notified Body
Ergebnis: Dokumentierte Analyse mit Produkttyp, Kategorie und Handlungsempfehlung.
CRA Gap-Analyse / Readiness-Check
- Leistung: Kompakte Bestandsaufnahme zum CRA-Reifegrad. Durchführung eines strukturierten Assessments und Ableitung notwendiger Maßnahmen, um die Lücken zu schließen.
- Ergebnis: Dokumentierte Gap-Analyse mit High-Level Handlungsempfehlungen
- Ziel: Klarheit, ob und wie das Produkt betroffen ist, sowie ein schneller Überblick über Handlungsbedarf.
Ganzheitliche Risikoanalyse mit SECIRA
SECIRA prüft, ob eine Schwachstelle erreichbar und ausnutzbar ist. Genau das fordert der CRA, bevor risikopriorisiert Maßnahmen definiert werden.
Mit SECIRA setzen Sie CRA-Anforderungen softwaregestützt und nachvollziehbar um:
- Risikoanalyse und Bedrohungsmodellierung strukturiert abbilden
- Technische Dokumentation erstellen und versionieren
- Schwachstellen bewerten und Maßnahmen planen
- Security by Design
Resilienzstrategie / Maßnahmenplan
Wir entwickeln mit Ihnen eine realistische CRA-Roadmap, priorisieren gemeinsam die relevanten Anforderungen und definieren Umsetzungsziele, die zu Ihrem Produkt, Team und Budget passen. Auch für Start-ups und KMUs erstellen wir individuelle Angebote, die den Einstieg erleichtern.
Ziel: Einen strukturierten Fahrplan entwickeln, wie CRA-Anforderungen in Entwicklungs- und Produktzyklen integriert werden.
Security-by-Default
Leistung: Unterstützung bei der Umsetzung der CRA-Vorgaben in konkrete Maßnahmen.
- Produkte müssen ohne bekannte Schwachstellen ausgeliefert werden,
- Die Integrität der Software muss geschützt sein
- Schutzmaßnahmen müssen im Standardzustand aktiv sein.
Ergebnis: Praxisnahe Begleitung bis zur regelkonformen, einsatzbereiten Lösung.
SBOM & Update-Management
- Leistung: Erstellung und Pflege einer Software Bill of Materials (SBOM). Definition von Support- und Update-Prozessen.
- Ergebnis: Transparente SBOM, dokumentierte Update-Strategie, Nachweisfähigkeit für Auditoren.
Vulnerability Management
- Leistung: Aufbau eines Prozesses zur Schwachstellenmeldung. Einrichtung und Training eines Product Security Incident Response Teams (PSIRT).
- Ergebnis: Vulnerability Management Process, definierter Workflow, Templates für Security Advisories.
- Ziel: Zentrale Pflichten praktisch im Produktdesign und in Prozessen umsetzen.
Training & SDLC-Integration
- Leistung: Durchführung praxisnaher Schulungen für Entwickler, PMs und Security-Rollen. Integration von Security-by-Design in den Entwicklungsprozess (SDLC).
- Ergebnis: Geschultes Team, dokumentierte Prozessanpassung, nachhaltige Verankerung von Security im Lifecycle.
- Ziel: Teams fit machen, Audits bestehen und Security-by-Design nachhaltig im Unternehmen verankern.
CE-Konformitätsbewertung
- Leistung: Unterstützung beim gesamten CE-Prozess nach CRA. Vorbereitung der technischen Dokumentation, Schnittstelle zu benannten Stellen.
- Ergebnis: Vollständige Unterlagen für die CE-Kennzeichnung
Dokumentation
- Leistung: Beratung und Erstellung einer nach CRA geforderten Dokumentation – von Produktbeschreibung und Entwicklungsprozessen über Risikobewertung bis hin zu Testberichten und EU-Konformitätserklärung.
- Ergebnis: Strukturiertes, prüfsicheres Dossier, das alle Pflichtinhalte gemäß Art. 31 abdeckt.
Kontinuierliches Monitoring
- Leistung: Unterstützung oder Übernahme des Vulnerability Management Prozess und der kontinuierlichen Risikoanalyse zur Identifikation & Bewertung von ausnutzbaren Schwachstellen.
- Ergebnis: SECIRA als Tools zur kontinuierlichen Überwachung und Schwachstellenbehebung, managed oder als self service.
Product Registration & Regulatory Controls
- Leistung: Beratung und Durchführung bei Meldepflichten. Einrichtung interner Compliance-Kontrollmechanismen.
- Ergebnis: Registrierte Produkte, zentrale Übersicht über regulatorische Verpflichtungen.
- Ziel: Auch nach Markteinführung gesetzeskonform bleiben, Schwachstellen melden und Updates dokumentieren.
