CRA-Betroffenheits- prüfung
Der ideale Start auf Ihrem Weg zur Compliance mit dem Cyber Resilience Act. Rechtssicher, pragmatisch und zielführend.
Zufriedene Kunden der activeMind AG
Welche Unternehmen sollten eine CRA-Betroffenheitsprüfung durchführen?
Der Cyber Resilience Act (CRA) gilt für nahezu jedes vernetzte Softwareprodukt und Gerät, das auf dem EU-Markt bereitgestellt wird. Doch der Teufel steckt wie so oft im Detail. Unternehmen müssen vor allem drei Fragen klären:
- Welche Produkte enthalten digitale Elemente im Sinne des CRA?
- Welche Rolle hat das Unternehmen im Sinne des CRA?
- Wie sind die Produkte nach CRA zu klassifizieren?
Nur wer diese Aspekte in einer Betroffenheitsprüfung rechtssicher klärt, kann den richtigen Pfad zur CRA-Compliance einschlagen.
Wie profitieren Unternehmen von der CRA-Betroffenheitsprüfung?
Die korrekte Bestimmung, welche Produkte vom CRA betroffen und wie diese Produkte zu kategorisieren sind, ist der Ausgangspunkt für alle weiteren Überlegungen zur CRA-Compliance.
Zum einen gilt es für Unternehmen, die CRA-Maßnahmen für wirklich alle betroffenen Produkte umzusetzen, um Sanktionen zu vermeiden und den Marktzuggang (CE-Kennzeichnung zu sichern. Die Betroffenheitsprüfung durch Anwälte schafft hier Rechtssicherheit.
Zum anderen sollten Sie möglichst keine unnötigen Compliance-Ressourcen verschwenden, etwa durch eine falsche CRA-Klassifizierung oder die Umsetzung von Maßnahmen für Produkte, die nicht in den Anwendungsbereich des CRA fallen. Die Betroffenheitsprüfung durch Experten sorgt hier für den optimalen Compliance-Pfad.
Was umfasst die CRA-Betroffenheitsprüfung?
Die CRA-Betroffenheitsprüfung kann als Rechtsberatung durch unsere Partnerkanzlei activeMind.legal Rechtsanwälte erfolgen. Sie profitieren von rechtssicheren Einschätzungen erfahrener Anwälte im Cybersicherheits- und IT-Recht.
Die juristischen Experten klären zunächst, welche Ihrer Produkte nach bestimmungsgemäßem Zweck oder vorhersehbarer Verwendung eine Verbindung mit einem Gerät oder Netz einschließt. Hierbei gilt es Ausnahmen zu beachten und Grenzfälle angemessen einzuschätzen. Alle Entscheidungspfade werden entsprechend dokumentiert.
Liegt eine Betroffenheit vor, wird geprüft, welche Rolle Ihr Unternehmen bezüglich aller betroffenen Produkte einnimmt. Je nachdem, ob Sie Hersteller, Importeur oder Händler sind, obliegen Ihnen unterschiedliche Pflichten.
Weiterhin klassifizieren die Anwälte Ihre Produkte (Standardprodukte, Wichtige Produkte Klasse 1 und 2, Kritische Produkte) und leiten die konkret anwendbaren Pflichten ab.
Als Ergebnis des CRA-Produkt-Scopings erhalten Sie ein rechtssicheres Fundament, auf das Sie die weitere Projektplanung für Ihre CRA-Compliance zuverlässig stützen können.
Drei gute Gründe für die CRA-Betroffenheitsprüfung von activeMind
Erfahrung mit Standards
Durch unsere langjährige Erfahrung mit vergleichbaren Normen wie ISO 27001, NIS2 oder DORA kennen unsere Experten den kürzesten Weg zur Compliance.
Rechtssicherheit
Die anwaltliche Beratung sorgt für Rechtssicherheit bei der Planung von CRA-Maßnahmen.
Alles aus einer Hand
Durch die enge Zusammenarbeit mit unserer Partnerkanzlei können wir die Ergebnisse Ihrer Betroffenheitsprüfung auf Wunsch gleich weiter verarbeiten.
Kostenfreies Erstgespräch
Im kostenfreien Vorabgespräch klären Sie mit einem Berater den Umfang Ihrer Betroffenheitsprüfung und erhalten anschließend ein individuelles Angebot.
Die CRA-Betroffenheitsprüfung erfolgt durch unsere Partnerkanzlei activeMind.legal Rechtsanwälte. Ihre Anfrage leiten wir direkt dorthin. Sie erhalten innerhalb von zwei Werktagen einen Terminvorschlag!
Unsere Zertifizierungen und Mitgliedschaften
Unsere Services für Ihre CRA-Compliance
Der CRA-Workshop ist nur ein Teil unserer umfassenden Beratung für Ihre CRA-Compliance:
CRA-Compliance-Kickoff
CRA-Managementsystem
CRA-Produkt-Konformitätsbewertung
CRA-Bevollmächtigter
Häufig gestellte Fragen zur CRA-Betroffenheitsprüfung
Was ist die CRA-Betroffenheitsprüfung?
Die CRA-Betroffenheitsprüfung klärt verbindlich, ob und wie stark Ihre Produkte unter den Cyber Resilience Act (CRA – Verordnung (EU) 2024/2847) fallen. Die Prüfung zeigt, ob Ihre Produkte als Produkte mit digitalen Elementen gelten, welche Rolle Ihr Unternehmen dabei hat (Hersteller, Einführer oder Händler) und welcher Risikoklasse die Produkte angehören. Damit wissen Sie, welche Pflichten auf Sie zukommen und wo Sie mit der Umsetzung anfangen sollten.
Warum führt activeMind.legal die Prüfung durch und nicht die activeMind AG?
Ob ein Produkt unter den CRA fällt, ist eine rechtliche Einordnung. Solche Rechtsberatung dürfen nur Rechtsanwälte leisten. Deshalb übernimmt die Kanzlei activeMind.legal Rechtsanwälte die Prüfung.
Die activeMind AG kommt (auf Wunsch) dazu, wenn es um die technische und organisatorische Umsetzung geht, etwa um Prozesse für die Schwachstellenbehandlung oder um die Meldepflichten. Sie bekommen also die rechtliche Bewertung und die Umsetzung in Zusammenarbeit, aber mit klar getrennten Zuständigkeiten.
Für welche Unternehmen ist die Prüfung sinnvoll?
Die Prüfung lohnt sich für jedes Unternehmen, das Hardware oder Software mit Datenverbindung in der EU auf den Markt bringt, einführt oder vertreibt. Dazu gehören zum Beispiel Maschinen mit Steuerungssoftware, vernetzte Geräte, Industriekomponenten oder eigenständige Softwareprodukte. Besonders wichtig ist die Betroffenheitsprüfung, wenn Sie nicht sicher sind, ob eine Ausnahme greift (etwa für Medizinprodukte oder Fahrzeuge) oder ob Ihre Produkte als wichtig oder kritisch eingestuft werden. Dann gelten strengere Anforderungen an die Konformitätsbewertung.
Welche Produktklassen unterscheidet der CRA und was hat die Klassifizierung für Folgen?
Der CRA teilt Produkte mit digitalen Elementen nach ihrem Risiko in vier Klassen ein. Von der Klasse hängt ab, wie Sie die Konformität nachweisen müssen:
- Standardprodukte: Dazu gehört die große Mehrheit der Produkte. Hersteller dürfen die Konformität selbst bewerten.
- Wichtige Produkte der Klasse I (zum Beispiel Passwortmanager, Router, Betriebssysteme): Eine Selbstbewertung reicht nur, wenn Sie harmonisierte Normen oder gleichwertige Vorgaben vollständig anwenden. Sonst muss eine externe Stelle prüfen.
- Wichtige Produkte der Klasse II (zum Beispiel Firewalls, Intrusion-Detection-Systeme, Hypervisoren): Eine unabhängige Prüfstelle muss immer beteiligt sein.
- Kritische Produkte (zum Beispiel Smart-Meter-Gateways, Smartcards): Hier kann eine europäische Cybersicherheitszertifizierung vorgeschrieben werden.
Welche Klasse für ein Produkt gilt, hängt von seiner Kernfunktion ab, nicht davon, was es nebenbei auch kann. Genau diese Einordnung ist oft nicht eindeutig. Deshalb ist sie ein zentraler Teil der Betroffenheitsprüfung.
Was kostet die CRA-Betroffenheitsprüfung?
Die Kosten der CRA-Betroffenheitsprüfung hängen davon ab, wie viele Produkte geprüft werden und wie komplex sie sind. Ein einzelnes Softwareprodukt lässt sich schneller einordnen als ein Portfolio mit vielen Produktvarianten, zugekauften Komponenten, Cloud-Funktionen oder unterschiedlichen Vertriebswegen.
In einem kurzen Erstgespräch klären wir deshalb zuerst den Umfang. Danach erhalten Sie ein verbindliches Angebot, bevor Kosten entstehen.
Wie läuft die Prüfung ab und was erhalten wir als Ergebnis?
Nach dem Erstgespräch stellen Sie Informationen zu Ihren Produkten bereit, zum Beispiel Produktbeschreibungen, Angaben zu Datenverbindungen und zu den Vertriebsmärkten. Was genau geprüft wird, erfahren Sie von den zuständigen Anwälten.
activeMind.legal Rechtsanwälte ordnet jedes Produkt rechtlich ein und fasst das Ergebnis in einem schriftlichen Bericht zusammen. Der Bericht nennt die Betroffenheit, die Risikoklasse, Ihre Rolle und die Pflichten, die sich daraus ergeben. Auf dieser Grundlage können Sie Budget und nächste Schritte intern begründen.