EU-Cyberresilienz-Verordnung (CRA)
CRA-Risikobewertung und technische Unterlagen
Technische Unterlagen zur CRA müssen die Cybersicherheitsrisiken des Produkts und den Umgang des Herstellers damit erläutern. Mit Sytance pflegen Sie Architektur, Risikobewertung, SBOM und Verifikationsnachweise und erstellen daraus Unterlagen auf Grundlage der von Ihrem Team geprüften Produktinformationen.
Die Arbeitsschritte zur Vorbereitung auf die CRA
Produktbeschreibung
Legen Sie Zweckbestimmung, Betriebsumgebung, Schnittstellen und Produktgrenze fest. Diese Angaben bestimmen den Umfang der Sicherheitsanalyse.
Risikobewertung
Bewerten Sie Bedrohungen anhand der Produktarchitektur. Dokumentieren Sie die relevanten Risiken, die gewählten Maßnahmen und die Gründe für jede Entscheidung.
Verifikationsnachweise
Verknüpfen Sie Testergebnisse und andere Nachweise mit den Anforderungen und Maßnahmen, die damit geprüft werden. Halten Sie geplante Aktivitäten getrennt von abgeschlossenen Tests.
Technische Unterlagen
Erstellen Sie Unterlagen aus den gesammelten Aufzeichnungen und prüfen Sie anschließend Verweise, Abdeckung und noch fehlende Angaben.
Produktbeschreibung
Zweckbestimmung, Schnittstellen und Architektur
Risikobewertung
Bedrohungen, Folgen und ausgewählte Maßnahmen
Softwarekomponenten
SBOM- und Schwachstellenaufzeichnungen
Technische Unterlagen
Analysen, Verweise und Prüfungsnachweise
Begründen Sie jede Sicherheitsanforderung
Bei einem Softwareupdate kann die Risikobewertung ein manipuliertes Paket als Angriffsszenario erkennen. Der Entwurf sieht eine Signaturprüfung vor; der Test prüft, ob das Produkt ein verändertes Paket zurückweist. Sytance verknüpft diese Aufzeichnungen, sodass Prüfende der Analyse folgen können.
Was leistet Sytance bei der Vorbereitung auf die CRA?
Die Plattform verwaltet Produktinformationen, Bedrohungen, Risiken, Komponenten und zugehörige Nachweise. Außerdem erstellt sie technische Unterlagen aus diesen Aufzeichnungen. Ihr Team bestätigt die Anwendbarkeit, schließt Lücken und genehmigt die Inhalte für die Konformitätsbewertung.
Welche Informationen sollten wir vorbereiten?
Stellen Sie Produktbeschreibung, Zweckbestimmung, Architektur und externe Schnittstellen bereit. Angaben zum Updateprozess, ein Komponentenverzeichnis, vorhandene Risikobewertungen und Prüfberichte zeigen, was bereits analysiert wurde und was noch geprüft werden muss.
Ist die Vorbereitung auf die CRA mit dem Erstellen der technischen Unterlagen abgeschlossen?
Nein. Schwachstellen, Softwareänderungen und neue Betriebsbedingungen können frühere Schlussfolgerungen beeinflussen. Halten Sie die relevanten Produktaufzeichnungen und technischen Unterlagen aktuell und richten Sie die für das Produkt geltenden Verfahren zur Behandlung und Meldung von Schwachstellen ein.
