Leistung
Cyber Resilience Beratung
Der Cyber Resilience Act verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen zu neuen Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus. Die SL PROJECTS & COMPLIANCE GmbH berät Unternehmen dazu, ob und in welchem Umfang sie betroffen sind, und begleitet die Umsetzung der Melde- und Konformitätspflichten.
Markus Sittig begleitet Sie dabei als Geschäftsführer und persönlicher Ansprechpartner.
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Bundesweite Betreuung
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Zertifizierte Datenschutzbeauftragte im Unternehmen
- Hauptsitz in Hamburg
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Zertifizierte Datenschutzbeauftragte im Unternehmen
- Hauptsitz in Hamburg
Warum der Cyber Resilience Act jetzt relevant wird
Der Cyber Resilience Act, offiziell Verordnung (EU) 2024/2847, ist seit Ende 2024 in Kraft und schafft erstmals EU-weit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Erfasst werden Hardware- und Softwareprodukte mit direkter oder indirekter Datenverbindung zu einem Gerät oder Netzwerk – von Industrie-PCs und IoT-Geräten über Firmware und Betriebssysteme bis zu Standard-Software.
Ab dem 11. September 2026 gelten die ersten verbindlichen Pflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden erstmelden. Vollständig anwendbar wird der Cyber Resilience Act ab dem 11. Dezember 2027 – ab diesem Datum dürfen nur noch konforme Produkte neu auf den EU-Markt gebracht werden.
Klarheit darüber, ob Ihre Produkte vom Cyber Resilience Act erfasst werden
Vorbereitung auf die Meldepflichten ab September 2026
Einordnung Ihrer Produkte in die richtige Risikoklasse
Aufbau von Schwachstellenmanagement und SBOM-Prozessen
Vorbereitung auf Konformitätsbewertung und CE-Kennzeichnung
Verzahnung mit bestehender Informationssicherheit
- Klarheit darüber, ob Ihre Produkte vom Cyber Resilience Act erfasst werden
- Vorbereitung auf die Meldepflichten ab September 2026
- Einordnung Ihrer Produkte in die richtige Risikoklasse
- Aufbau von Schwachstellenmanagement und SBOM-Prozessen
- Vorbereitung auf Konformitätsbewertung und CE-Kennzeichnung
- Verzahnung mit bestehender Informationssicherheit
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht
Welche Pflichten gelten wann?
Der Cyber Resilience Act verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, diese über den gesamten Lebenszyklus sicher zu gestalten und zu betreiben. Grundlage sind unter anderem Security-by-Design-Anforderungen, ein durchgängiges Schwachstellenmanagement, eine Software Bill of Materials (SBOM) sowie Update-Pflichten für den festgelegten Support-Zeitraum. Produkte werden dabei in Standard-, wichtige (Klasse I oder II) und kritische Produkte eingeteilt. Je nach Klasse gelten unterschiedliche Konformitätsbewertungsverfahren.
Stufenweise Anwendbarkeit
- Ab 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, mit einer Erstmeldung innerhalb von 24 Stunden.
- Ab 11. Dezember 2027: Der Cyber Resilience Act gilt vollständig. Neu in Verkehr gebrachte Produkte müssen die grundlegenden Cybersicherheitsanforderungen erfüllen und das erforderliche Konformitätsbewertungsverfahren durchlaufen.
Bereits vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte müssen grundsätzlich nicht rückwirkend bewertet werden. Eine wesentliche Änderung des Produkts nach diesem Datum kann jedoch eine neue Bewertung erforderlich machen.
Info
Normungslücke bedeutet zusätzlichen Planungsaufwand
Für zentrale Anforderungen des Cyber Resilience Act liegen bislang noch keine harmonisierten europäischen Normen vor. Solange diese fehlen, können sich insbesondere Hersteller von Produkten der niedrigsten Risikoklasse nicht ohne Weiteres auf eine Selbstbewertung verlassen und sollten die Möglichkeit einer Drittbewertung frühzeitig einplanen.
Wir prüfen Ihr Produktportfolio und ordnen es den relevanten Risikoklassen zu.
Datenschutzbeauftragten für Ihr Unternehmen finden
Sie möchten klären, ob Ihr Unternehmen einen Datenschutzbeauftragten benötigt und welcher Betreuungsumfang sinnvoll ist? Sprechen Sie mit Markus Sittig.
Markus Sittig
+49 40 808 125 550
info@datacompliance.solutions
Martinistraße 11 · 20251 Hamburg
Leistungen im Bereich Cyber Resilience
01
Wir klären, ob und welche Ihrer Produkte als „Produkte mit digitalen Elementen“ unter den Cyber Resilience Act fallen.
02
Wir ordnen Ihre Produkte den Kategorien Standard, wichtig oder kritisch zu und klären das erforderliche Konformitätsbewertungsverfahren.
03
Wir unterstützen beim Aufbau von Prozessen zur Erkennung, Bewertung und Behebung von Sicherheitslücken.
04
Wir beraten zum Aufbau und zur Pflege einer Software-Bill-of-Materials für Ihre Produkte.
05
Wir unterstützen beim Aufbau interner Prozesse für die fristgerechte Meldung von Schwachstellen und Sicherheitsvorfällen.
06
Wir beraten zur Integration von Cybersicherheitsanforderungen bereits in der Produktentwicklung.
07
Wir beraten zur Gestaltung von Update-Prozessen über den festgelegten Support-Zeitraum.
08
Wir beraten dazu, welche Anforderungen bestehende Managementsysteme bereits abdecken.
09
Wir prüfen Verträge mit Zulieferern zugekaufter Komponenten und Softwarebibliotheken.
10
11
12
13
14
15
So läuft die Cyber Resilience Beratung ab
Schritt 01
Erstgespräch & Produktinventur
Wir erfassen gemeinsam, welche Produkte Sie herstellen, importieren oder vertreiben, und klären deren Einordnung. Markus Sittig begleitet diesen Prozess als Ihr persönlicher Ansprechpartner.
Schritt 02
Klassifizierung & Gap-Analyse
Wir ordnen Ihre Produkte den Risikoklassen zu und gleichen den Ist-Zustand mit den Anforderungen des Cyber Resilience Act ab.
Schritt 03
Umsetzung & laufende Begleitung
Wir begleiten die Umsetzung der erforderlichen Maßnahmen und behalten künftige Fristen sowie neue Normen für Sie im Blick.
Vorteile einer spezialisierten Cyber Resilience Beratung
Frühzeitige Vorbereitung
Sie erfahren rechtzeitig vor den Meldepflichten ab September 2026, welcher Anpassungsbedarf besteht.
Technisches Verständnis
Wir betrachten nicht nur die vertragliche und rechtliche, sondern auch die technische Seite der Produktsicherheit.
Ganzheitliche Betrachtung
Wir beraten zum Cyber Resilience Act im Zusammenspiel mit NIS2/BSIG, ISO 27001 und Datenschutzrecht.
Planbarer Aufwand
Der Beratungsumfang orientiert sich am Umfang Ihres Produktportfolios.
Persönlicher Ansprechpartner
Mit Markus Sittig haben Sie einen klar benannten persönlichen Ansprechpartner.
Datenschutz im Gesundheitswesen ist Dauerarbeit – wir übernehmen sie
Erstgespräch mit Markus Sittig: Ausgangssituation, Benennungspflicht und Betreuungsumfang in einem Termin geklärt.
Was kostet eine Cyber Resilience Beratung?
Die Kosten hängen von der Anzahl und Komplexität Ihrer Produkte sowie deren Risikoklassifizierung ab. Die Beratung zu einem einzelnen Standardprodukt unterscheidet sich deutlich von der Begleitung eines Herstellers mit mehreren kritischen Produktlinien.
Für die Kalkulation spielen insbesondere folgende Faktoren eine Rolle:
Nach einer ersten Bestandsaufnahme Ihres Produktportfolios erstellen wir Ihnen ein transparentes Angebot für die weitere Begleitung.
Faktoren
Wie der Cyber Resilience Act mit bestehenden Anforderungen zusammenwirkt
Im Detail
Cyber Resilience Act und bestehende Sicherheitsanforderungen
Der Cyber Resilience Act ergänzt bestehende Anforderungen wie NIS2/BSIG und ISO 27001, richtet sich aber an den Hersteller eines Produkts, nicht an den Betrieb einer Einrichtung. Wer bereits ein Informationssicherheits-Managementsystem betreibt, kann viele Strukturen für die CRA-Umsetzung mitnutzen, insbesondere im Bereich Schwachstellenmanagement.
Cyber Resilience Act und bestehende Sicherheitsanforderungen
Der Cyber Resilience Act ergänzt bestehende Anforderungen wie NIS2/BSIG und ISO 27001, richtet sich aber an den Hersteller eines Produkts, nicht an den Betrieb einer Einrichtung. Wer bereits ein Informationssicherheits-Managementsystem betreibt, kann viele Strukturen für die CRA-Umsetzung mitnutzen, insbesondere im Bereich Schwachstellenmanagement.
Weiterlesen
Cyber Resilience Beratung in Hamburg – bundesweit erreichbar
Die SL PROJECTS & COMPLIANCE GmbH hat ihren Hauptsitz in Hamburg und berät Unternehmen aus Hamburg und der Region auch persönlich vor Ort. Gleichzeitig lässt sich Cyber-Resilience-Beratung in vielen Fällen effizient online organisieren, sodass wir Unternehmen bundesweit unterstützen können.
Warum SL Projects & Compliance?
Rechtliche Expertise trifft zertifizierte Datenschutzpraxis
Persönliche Betreuung durch Markus Sittig
Markus Sittig begleitet Sie als Geschäftsführer und persönlicher Ansprechpartner der SL PROJECTS & COMPLIANCE GmbH.
Fachanwaltliche Expertise im IT-Recht
Markus Sittig ist seit 2012 Fachanwalt für IT-Recht. Datenschutzrechtliche Fragestellungen können dadurch auch im Zusammenhang mit Software, digitalen Geschäftsmodellen, IT-Verträgen und weiteren technologiebezogenen Anforderungen betrachtet werden.
Zertifizierte Datenschutzexpertise
Die fachliche Umsetzung der Datenschutzleistungen erfolgt durch eine zertifizierte Datenschutzbeauftragte im Unternehmen.
Recht und Technik zusammendenken
Wir betrachten nicht ausschließlich Datenschutzdokumente, sondern auch die Systeme, Prozesse und Datenflüsse, in denen personenbezogene Daten tatsächlich verarbeitet werden.
Laufende statt isolierte Betreuung
Datenschutz verändert sich mit Ihrem Unternehmen. Neue Systeme, Dienstleister und Projekte können deshalb unmittelbar in die bestehende Datenschutzorganisation eingeordnet werden.
Klare persönliche Zuständigkeit
Sie kommunizieren mit einem festen persönlichen Ansprechpartner statt mit einer anonymen Beratungsstruktur.
Ihre Frage ist nicht dabei?
Häufige Fragen zum Cyber Resilience Act
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, offiziell Verordnung (EU) 2024/2847, schafft EU-weit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, von der Entwicklung bis zum Ende des Support-Zeitraums.
Welche Produkte sind betroffen?
Erfasst werden Hardware- und Softwareprodukte, deren bestimmungsgemäße Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst, etwa Industrie-PCs, IoT-Geräte, Firmware, Betriebssysteme oder Standard-Software.
Ab wann gelten die ersten Pflichten?
Ab dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Vollständig anwendbar wird der Cyber Resilience Act ab dem 11. Dezember 2027.
Was bedeutet die Meldepflicht ab September 2026 konkret?
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle den zuständigen Behörden melden, mit einer Erstmeldung innerhalb von 24 Stunden.
Was ist eine SBOM?
Eine Software Bill of Materials ist ein Verzeichnis der in einem Produkt verwendeten Softwarekomponenten. Sie erleichtert das Schwachstellenmanagement und ist ein zentraler Baustein der CRA-Anforderungen.
Reicht eine bestehende ISO-27001-Zertifizierung aus?
Eine ISO-27001-Zertifizierung deckt organisatorische Aspekte der Informationssicherheit ab und kann Strukturen für die CRA-Umsetzung liefern, ersetzt aber nicht die produktbezogenen Anforderungen des Cyber Resilience Act.
Was passiert mit Produkten, die bereits im Markt sind?
Vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte müssen grundsätzlich nicht rückwirkend bewertet werden. Eine wesentliche Änderung des Produkts nach diesem Datum kann jedoch eine neue Bewertung erforderlich machen.
Was kostet eine Cyber Resilience Beratung?
Das hängt von Anzahl, Art und Risikoklassifizierung Ihrer Produkte ab. Nach einer ersten Produktinventur erstellen wir ein individuelles Angebot.