CRA Beratung

Zuerst klären wir gemeinsam, welche Ihrer Produkte unter den CRA fallen und in welche Risikoklasse sie gehören. Wir bewerten den Ist-Zustand von Firmware, Update-Fähigkeit und Lieferkette und zeigen konkret, wo Handlungsbedarf besteht. So erhalten Sie eine belastbare Grundlage, statt im Ungefähren zu planen.

CRA-Betroffenheit in 2 Minuten klären

Ob Sie als Hersteller von Hardware, Software oder vernetzten Produkten unter den Cyber Resilience Act fallen und wie dringend Handlungsbedarf besteht, hängt von Ihrer Ausgangslage ab. Unser kostenloses Online-Assessment zeigt Ihnen in rund zwei Minuten, wo Sie stehen und was als Nächstes ansteht.

In einer strukturierten Sicherheitsbewertung analysieren wir Ihre Produktarchitektur auf Schwachstellen und gleichen sie mit den CRA-Anforderungen ab. Wir priorisieren Befunde nach Risiko und Umsetzbarkeit, damit Sie Ihr Budget dort einsetzen, wo es den größten Sicherheits- und Compliance-Effekt hat.

Wir verankern Sicherheit dort, wo sie hingehört: in der Architektur. Von Secure Boot über gehärtete Kommunikation bis zu einer crypto-agilen Update-Signierung (Stichwort Post-Quantum-Readiness) gestalten wir die technischen Grundlagen, die der CRA über den gesamten Lebenszyklus fordert.

Warum das zählt, zeigt die Krypto-Agilität konkret: Das BSI hat die Migration auf quantensichere Verfahren auf 2030 für Betreiber kritischer Infrastrukturen und 2032 für alle anderen terminiert. Ein Gerät, das 2027 in den Markt geht und zehn Jahre laufen soll, muss beides können — aktualisiert werden und dabei das Signaturverfahren wechseln. Die neuen Verfahren arbeiten mit deutlich größeren Schlüsseln. Wer Speicher und Update-Bandbreite ohne Reserve dimensioniert, kann diesen Wechsel später nicht mehr vollziehen — ein Argument, das ein reiner Zertifizierer nicht liefert.

Wir integrieren die Erstellung einer maschinenlesbaren Software Bill of Materials in Ihren Build-Prozess und etablieren ein kontinuierliches Schwachstellen-Management inklusive CVE-Tracking. Zusätzlich helfen wir, die ab September 2026 geltende Meldepflicht prozessual sauber abzubilden.

Dabei ist die Meldepflicht weniger ein Compliance- als ein Engineering-Thema: Sie ist dreistufig — eine Frühwarnung binnen 24 Stunden, eine ausführliche Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen nach Verfügbarkeit einer Lösung. Die 24-Stunden-Frist läuft in Kalenderzeit, nicht in Arbeitstagen. Wer freitagabends von einer aktiv ausgenutzten Schwachstelle erfährt, muss am Samstag melden.

Damit das gelingt, müssen drei Dinge vorab geklärt sein: eine benannte, auch außerhalb der Geschäftszeiten erreichbare Rolle mit Mandat zur Meldung; ein Meldekanal für Sicherheitsforscher, Kunden und den eigenen Support samt laufender Beobachtung der eingesetzten Komponenten; und ein Device Management, das jederzeit beantwortet, welche Geräte in welchem Softwarestand im Feld sind. Am letzten Punkt hängen die meisten Hersteller — und genau diese Fähigkeit baut MaibornWolff mit auf.

Der CRA verlangt Security-Updates über Jahre. Wir bauen die dafür nötige Over-the-Air-Update-Infrastruktur mit Staging, Rollback und Fleet-Analytics — bewährt in Produktflotten mit über einer Million Geräten. So schließen Sie Schwachstellen zuverlässig, statt Techniker ins Feld schicken zu müssen.

Ob sich eine Update-Strecke überhaupt nachrüsten lässt, hängt an drei Dingen: freiem Flash-Speicher für ein zweites Firmware-Abbild, einem Bootloader, der den Rückfall auf den alten Stand erlaubt, und einem Weg, auf dem das Update das Gerät auch dann erreicht, wenn es selten online ist. Das erklärt zugleich, warum Sicherheitsupdates in der Praxis oft nicht eingespielt werden: Ohne Rückfallpfad kann ein fehlgeschlagenes Update das Wartungsfenster sprengen und die Anlage stoppen. Genau deshalb denkt MaibornWolff den Rückfallpfad von Beginn an in der Architektur mit.