CRA-Check
Wir prüfen, welche Ihrer Produkte betroffen sind, in welche Kategorie sie fallen und wo Sie heute stehen. Ergebnis ist ein priorisierter Maßnahmenplan.
Cyber Resilience Act
Ihre Maschinen und Geräte fit für den Cyber Resilience Act
Mit dem Cyber Resilience Act (CRA) wird Cybersecurity zur Voraussetzung für das CE-Kennzeichen. Wir zeigen Ihnen, was der CRA für Ihre Produkte bedeutet, und setzen die Anforderungen mit Ihnen um: in Software, Firmware und Prozessen.
Was der CRA verlangt
Cybersecurity über den gesamten Produktlebenszyklus
Der CRA gilt für fast alle Produkte mit digitalen Elementen und Daten- oder Netzwerkverbindung, die in der EU verkauft werden: Steuerungen, Gateways, HMIs, vernetzte Maschinen und Software. Die Pflichten treffen vor allem den Hersteller.
Security by Design
Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, mit sicherer Standardkonfiguration, Zugriffsschutz und begrenzter Angriffsfläche.
Schwachstellen im Griff
Hersteller brauchen eine Software-Stückliste (SBOM), einen Prozess zur Behandlung von Schwachstellen und eine öffentliche Meldeadresse.
Updates über Jahre
Sicherheitsupdates müssen über den gesamten Supportzeitraum bereitstehen, in der Regel mindestens fünf Jahre.
Frühwarnung in 24 Stunden
Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle sind meldepflichtig: Frühwarnung innerhalb von 24 Stunden, Meldung nach 72 Stunden, danach ein Abschlussbericht.
Fristen
Die ersten Pflichten gelten bereits
Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Wer jetzt beginnt, hat genug Zeit, Produkte und Prozesse in Ruhe anzupassen.
- 10. Dezember 2024: Der CRA (Verordnung (EU) 2024/2847) tritt in Kraft.
- 11. September 2026: Die Meldepflichten gelten, auch für Produkte, die bereits auf dem Markt sind.
- 20. Januar 2027: Die neue Maschinenverordnung gilt, mit eigenen Anforderungen an den Schutz vor Manipulation.
- 11. Dezember 2027: Alle Pflichten gelten. Neue Produkte erhalten das CE-Kennzeichen nur noch mit CRA-Konformität.
Leistungsumfang
Wir unterstützen Sie dort, wo Sie Hilfe brauchen
Vom ersten Überblick bis zur Umsetzung in Ihrem Produkt. Sie entscheiden, welche Bausteine Sie selbst übernehmen und wo Sie uns dazuholen.
Risikobewertung
Strukturierte Bedrohungs- und Risikoanalyse Ihres Produkts als Grundlage für Anforderungen und technische Dokumentation.
Security by Design
Wir setzen Anforderungen in Software und Firmware um: Härtung, Authentifizierung, Verschlüsselung und sichere Standardeinstellungen.
SBOM & Open Source
Software-Stücklisten, Lizenz- und Schwachstellenprüfung der eingesetzten Komponenten, nach unseren eigenen OpenChain-Prozessen.
Penetrationstests
Wir prüfen Geräte, Schnittstellen und Software auf Schwachstellen, bevor es Angreifer tun, und unterstützen bei der Behebung.
Updates & Meldeprozess
Sichere Update-Mechanismen, Schwachstellenmanagement und ein Meldeprozess, der die 24-Stunden-Frist auch wirklich einhält.
Vorgehen
In vier Schritten zur CRA-Konformität
- 01
Bestandsaufnahme
Wir erfassen Ihre Produkte, deren Software und die bestehenden Prozesse und ordnen sie den Anforderungen des CRA zu.
- 02
Maßnahmenplan
Sie erhalten einen priorisierten Plan mit Aufwand und Reihenfolge, abgestimmt auf Ihre Fristen und Ressourcen.
- 03
Umsetzung
Wir setzen die technischen Maßnahmen mit Ihrem Team um und prüfen das Ergebnis mit Penetrationstests.
- 04
Betrieb
Schwachstellenmanagement, Updates und Meldeprozess laufen weiter. Wir bleiben an Ihrer Seite.
Warum UpTux
Security aus der Praxis, nicht vom Papier
Den CRA erfüllen Sie nicht mit Dokumenten allein. Die Anforderungen müssen in Ihrer Software ankommen, und genau das ist unser Handwerk.
- Erfahrung mit kritischen Systemen: Über 15 Jahre Softwareentwicklung für sicherheitskritische Systeme unter anderem in Automatisierung und automatisiertem Fahren.
- Wir kennen die Angriffswege: Als Penetrationstester wissen wir, wo vernetzte Maschinen verwundbar sind.
- Open Source im Griff: UpTux ist nach OpenChain ISO/IEC 5230 und ISO/IEC 18974 selbstzertifiziert. Diese Prozesse bringen wir in Ihr Projekt ein.
- Passend für den Mittelstand: Pragmatische Lösungen in einem Umfang, den Ihr Team langfristig tragen kann.
Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Wie wir selbst mit Open-Source-Software umgehen, lesen Sie unter Open Source Compliance.
Wissen Sie, was der CRA für Ihre Produkte bedeutet?
Erzählen Sie uns, welche Maschinen oder Geräte Sie herstellen. Wir melden uns mit einer ehrlichen Einschätzung, was auf Sie zukommt und wo Sie anfangen sollten.