Cyber Resilience Act für Produkt- und Entwicklungsteams

• Tag 1: 1. Der CRA im Überblick: Ziel, Geltung und Rollen
  
  • Produktsicherheit als Bedingung für den EU-Marktzugang
  • Was ein Produkt mit digitalen Elementen ist
  • Rollen und Pflichten: Hersteller, Importeur, Händler und Open-Source-Steward
  • Zusammenspiel mit NIS-2 und anderen Vorgaben
  • Praxis-Übung: Das eigene Produktportfolio gegen die CRA-Definition prüfen und die betroffenen Produkte benennen.
  
  
• 2. Fristen und der Stichtag September 2026
  
  • Der Zeitplan: Inkrafttreten, Meldepflicht und volle Anwendung
  • Warum die Meldepflicht ab September 2026 auch Altprodukte trifft
  • Die Abhängigkeit von SBOM und Schwachstellenüberblick
  • Was bis wann vorliegen muss
  • Praxis-Übung: Aus den Fristen einen groben Zeitplan für ein eigenes Produkt ableiten.
  
  
• 3. Risikoklassen und Konformitätsweg
  
  • Standardprodukte, wichtige Klasse I und II sowie kritische Produkte
  • Selbstbewertung gegenüber Drittbewertung über eine benannte Stelle
  • Die Rolle harmonisierter Normen und die Konformitätsvermutung
  • Die richtige Einstufung begründen
  • Praxis-Übung: Ein Beispielprodukt einer Risikoklasse zuordnen und den passenden Konformitätsweg festlegen.
  
  
• 4. Wesentliche Anforderungen: Secure-by-Design und Secure-by-Default
  
  • Die Sicherheitsanforderungen aus Annex I verstehen
  • Sichere Voreinstellungen und reduzierte Angriffsfläche
  • Schutz von Vertraulichkeit und Integrität sowie sichere Updates
  • Informations- und Anleitungspflichten gegenüber Nutzern aus Annex II
  • Praxis-Übung: Für das Beispielprodukt die wichtigsten Annex-I-Anforderungen in konkrete Maßnahmen übersetzen.
  
  
• Tag 2: 5. Software Bill of Materials erstellen und pflegen
  
  • Wozu der SBOM dient und welche Tiefe der CRA verlangt
  • Maschinenlesbare Formate wie SPDX und CycloneDX
  • Erst- und Drittkomponenten einschließlich Open Source erfassen
  • SBOM-Erzeugung im Entwicklungsprozess verankern
  • Praxis-Übung: Für eine Beispielanwendung einen SBOM erzeugen und die enthaltenen Komponenten und Abhängigkeiten prüfen.
  
  
• 6. Schwachstellenbehandlung und koordinierte Offenlegung
  
  • Schwachstellen über den Lebenszyklus erkennen, bewerten und beheben
  • Eine Policy zur koordinierten Offenlegung aufsetzen
  • Kontaktstelle und Sicherheitsupdates ohne Verzug
  • Triage in den Entwicklungsprozess einbinden
  • Praxis-Übung: Eine schlanke CVD-Policy und einen Triage-Ablauf für das Beispielprodukt entwerfen.
  
  
• 7. Meldeprozess für aktiv ausgenutzte Schwachstellen
  
  • Was gemeldet werden muss: aktiv ausgenutzte Schwachstellen und schwere Vorfälle
  • Die Kaskade aus Erstmeldung, Zwischenmeldung und Abschlussbericht
  • Die zentrale Meldeplattform und die zuständigen Stellen
  • Den Prozess im Team belastbar aufstellen
  • Praxis-Übung: Einen Meldeprozess mit klaren Rollen und Fristen für das Beispielprodukt durchspielen.
  
  
• 8. Konformität nachweisen und Peer-Review
  
  • Technische Dokumentation und ihre Aufbewahrung
  • Konformitätsbewertung je nach Risikoklasse
  • EU-Konformitätserklärung, CE-Kennzeichnung und der Supportzeitraum
  • Den Umsetzungsfahrplan zusammenführen
  • Praxis-Übung (Peer-Review): Den CRA-Umsetzungsfahrplan einer anderen teilnehmenden Person gegen Risikoklasse, Prozesse, Meldewesen und Nachweisführung prüfen und die Rückmeldungen einarbeiten.
    
    
    
    
  
  

• Entwicklungs- und Produktteams von Herstellern vernetzter Produkte und Software
• Security-Engineers und technische Verantwortliche für Produktsicherheit
• Produktmanagement mit Verantwortung für Marktzugang und Konformität
• Qualitäts- und Compliance-Verantwortliche in der Produktentstehung

Voraussetzungen: Die Teilnehmenden bringen ein Grundverständnis von Softwareentwicklung oder Produktentstehung mit. Security-Vorwissen ist hilfreich, aber nicht zwingend. Juristisches Vorwissen ist nicht erforderlich.