Technische CRA-Anforderungen: Maßnahmen & Nachweise

Die technischen CRA-Anforderungen werden anhand der Cybersicherheitsrisikobewertung in konkrete Produktmaßnahmen übersetzt. Sichere Architektur, sichere Voreinstellungen, Zugriffsschutz, Kryptografie und Sicherheitsprüfungen müssen zur vorgesehenen Nutzung und den vorhersehbaren Risiken passen. Eine Maßnahmenliste allein belegt noch keine wirksame Produktsicherheit.

Stand: 3. Oktober 2026. Diese Themenübersicht führt von der ersten Einordnung zu konkreten Fachartikeln. Den Zusammenhang des Regelwerks erklärt der Überblick zum Cyber Resilience Act.

Wie entsteht aus einer CRA-Anforderung ein überprüfbarer Nachweis?

Verknüpfen Sie jedes relevante Risiko mit einer Sicherheitsanforderung, einer umgesetzten Maßnahme und einem Testergebnis. Legen Sie die betrachtete Produktversion und Betriebsumgebung fest. So lässt sich später nachvollziehen, warum eine Maßnahme erforderlich war und ob sie im ausgelieferten Produkt funktioniert.

Die Fachthemen im Zusammenhang

Risikobewertung als Ausgangspunkt verwenden

Ermitteln Sie Schutzgüter, Bedrohungen, mögliche Auswirkungen und vorhandene Schutzmaßnahmen. Dokumentieren Sie verbleibende Risiken und Entscheidungen. Die Bewertung dient als Grundlage für die konkrete Auswahl technischer Maßnahmen und muss bei relevanten Änderungen überprüft werden.

CRA-Risikobewertung: So erstellen Hersteller eine belastbare Cybersicherheitsrisikoanalyse →

Secure by Design in Architektur und Entwicklung verankern

Sicherheit beginnt bei Produktidee und Systemgrenzen. Entwickeln Sie nachvollziehbare Anforderungen, begrenzen Sie Angriffsflächen und planen Sie Testbarkeit ein. Der Detailartikel beschreibt die Verbindung von Architekturentscheidungen, Entwicklungsprozess und Release-Freigabe.

CRA Secure by Design: Cybersicherheit von der Produktidee bis zum Release →

Secure by Default an der ausgelieferten Konfiguration prüfen

Sicherheitsmaßnahmen müssen im tatsächlichen Ausgangszustand wirksam sein. Prüfen Sie aktivierte Schnittstellen, Berechtigungen, Einrichtung und Rücksetzen. Eine Hardening-Anleitung gleicht problematische Voreinstellungen nicht automatisch aus.

CRA Secure by Default: Sichere Grundeinstellungen richtig umsetzen →

Kryptografie und Schlüsselmanagement zusammen planen

Wählen Sie Verfahren passend zu Vertraulichkeit, Integrität und Lebensdauer des Produkts. Planen Sie auch Erzeugung, Verteilung, Speicherung, Austausch und Sperrung von Schlüsseln. Ohne diesen Lebenszyklus bleibt selbst ein geeigneter Algorithmus nur ein Teil der Lösung.

CRA Kryptografie: Vertraulichkeit, Integrität und Schlüsselmanagement richtig umsetzen →

Zugriffsschutz für Menschen und Maschinen testen

Trennen Sie Identitätsprüfung von Berechtigungsentscheidung. Beziehen Sie APIs, Servicekonten, Reset und Fernwartung ein. Tests sollten prüfen, ob ein Konto oder Token tatsächlich nur die vorgesehenen Aktionen auf den vorgesehenen Daten ausführen kann.

CRA Zugriffsschutz: Authentisierung, Identitäten und Berechtigungen sicher umsetzen →

Logging für erkennbare Sicherheitsereignisse gestalten

Definieren Sie relevante Ereignisse, geschützte Ablage und Auswertungswege. Vermeiden Sie Geheimnisse in Protokollen und unnötige personenbezogene Daten. Ein Alarm hat nur dann praktischen Nutzen, wenn Zuständigkeit und Reaktion geklärt sind.

CRA Logging & Monitoring: Welche Sicherheitsereignisse Produkte erfassen sollten →

Security Testing mit Risiken und Releases verbinden

Eine geeignete Teststrategie kombiniert unterschiedliche Verfahren und prüft bekannte Angriffswege sowie Änderungen. Halten Sie Prüfbereich, Umgebung, Ergebnisse und offene Befunde fest. Diese Informationen stützen die Freigabe und die technische Dokumentation.

CRA Security Testing: Welche Tests Hersteller regelmäßig durchführen müssen →

Vier Arbeitsschritte für die Praxis

Produktgrenzen, Schutzgüter, Nutzung und Bedrohungsszenarien erfassen.
Sicherheitsanforderungen mit Verantwortlichen und Akzeptanzkriterien festlegen.
Maßnahmen in Architektur, Implementierung und Standardkonfiguration umsetzen.
Wirksamkeit testen, offene Befunde bewerten und Nachweise versionsbezogen ablegen.

Welche Ergebnisse sollten Sie festhalten?

Verwenden Sie einen produktbezogenen Entscheidungsvermerk. Er benennt Produkt und Version, betrachtete Funktionen, verantwortliche Gesellschaft und das Datum der Bewertung. Halten Sie außerdem die verwendeten Quellen und die offenen Fragen fest. Eine Entscheidung ist erst belastbar, wenn erkennbar ist, auf welchen Informationen sie beruht und wer sie freigegeben hat.

Für jedes offene Arbeitspaket sollten Verantwortliche, Vertretung, Zieltermin und Nachweisziel feststehen. Prüfen Sie den Fortschritt anhand von Ergebnissen: eine freigegebene Bewertung, ein getesteter Prozess oder eine eindeutig zugeordnete Dokumentation. Ein Termin im Kalender oder ein begonnenes Dokument zeigt allein noch nicht, dass die Anforderung umgesetzt ist.

Wann ist eine erneute Prüfung sinnvoll?

Überprüfen Sie die Einordnung bei relevanten Produktänderungen, neuen Vertriebsmodellen, geänderten Lieferanten oder aktualisierten rechtlichen Vorgaben. Ordnen Sie die Überprüfung einem konkreten Anlass zu und bewahren Sie frühere Entscheidungen nachvollziehbar auf. So können Entwicklung und Compliance erkennen, welche Annahmen weiterhin gelten und welche neu bewertet werden müssen.

Nächster Schritt: Wählen Sie oben den Fachartikel, der Ihre wichtigste offene Frage beantwortet. Wenn die Betroffenheit noch unklar ist, beginnen Sie mit dem kostenlosen CRA-Schnellcheck und dokumentieren Sie das Ergebnis anschließend anhand Ihres konkreten Produkts.

Häufige Fragen

Reicht ein Penetrationstest für die CRA-Konformität?

Ein einzelner Test deckt nur seinen Prüfbereich und Zeitpunkt ab. Er ersetzt weder die Risikobewertung noch sichere Entwicklung, Schwachstellenbehandlung und die übrigen Nachweise.

Muss jedes Produkt dieselben technischen Maßnahmen erhalten?

Die Umsetzung muss zum Produkt und seinen Risiken passen. Die Anwendbarkeit einzelner Anforderungen wird begründet; pauschales Weglassen ohne Bewertung ist kein belastbarer Ansatz.

Wie bleiben die Nachweise nach Updates gültig?

Durch Änderungsbewertung, gezielte Wiederholungsprüfungen und eine dokumentierte Freigabe. Architektur, Konfiguration, Abhängigkeiten und Testergebnisse müssen zur neuen Version passen.

Fachliche Grundlage und weiterführende Themen

Die Einordnung stützt sich auf die Verordnung (EU) 2024/2847 und die Erläuterungen der Europäischen Kommission.

Redaktioneller Quellenabgleich dieser Übersicht: 3. Oktober 2026. Beispiele und Arbeitsschritte dienen der praktischen Orientierung; die verbindliche Einordnung richtet sich nach dem geltenden Recht und den Eigenschaften des einzelnen Produkts.

Aktuelle Fachbeiträge vertiefen

Die folgenden veröffentlichten Beiträge ergänzen die Themenübersicht mit konkreten Prüfungen und Umsetzungsschritten.

Technische CRA-Anforderungen: Produktsicherheit von Risikobewertung bis Security Testing