Compliance-Lexikon · CRA
CRA Anwendungsbereich – Praxis
CRA Anwendungsbereich wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde geprüft, ob die eigenen Produkte als „Produkte mit digitalen Elementen“ in den Anwendungsbereich des Cyber Resilience Act fallen?
Häufige Fehler in der Praxis
- CRA wird fälschlich nur auf klassische Software-Hersteller bezogen, IoT-Geräte bleiben unberücksichtigt
- Risikoklasse eines Produkts wird nicht dokumentiert, obwohl sie die Konformitätsbewertung bestimmt
- Ausgenommene Produktkategorien (z.B. bereits sektorspezifisch regulierte Medizinprodukte) werden nicht sauber abgegrenzt
Praxis-Tipp
Der CRA erfasst nahezu jedes Produkt mit Software oder Netzwerkanbindung, von der Smart-Home-Steckdose bis zur Unternehmenssoftware. Eine frühe, dokumentierte Einstufung erspart späte Überraschungen.
Drei Risikoklassen des CRA
Der CRA unterscheidet Standardprodukte, wichtige Produkte (Klasse I und II) und kritische Produkte. Die Klasse bestimmt, ob eine Selbstbewertung genügt oder eine externe Konformitätsbewertung durch eine notifizierte Stelle erforderlich ist.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Anwendungsbereichsprüfung je Produktlinie, Risikoklassen-Zuordnung, Datum der Bewertung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum CRA Anwendungsbereich über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.