Seminar Cyber Resilience Act – Konformitätsbewertung und technische Dokumentation

Konformitätsdokumentation ist keine nachträgliche Sammlung beliebiger Sicherheitsunterlagen. Sie muss zeigen, welches Produkt bewertet wurde, welche Risiken bestehen, welche Anforderungen gelten, wie Maßnahmen umgesetzt und geprüft wurden und wie Schwachstellen während des Supportzeitraums behandelt werden.

Das Seminar entwickelt eine strukturierte Evidence Architecture. Bestehende Artefakte aus Architektur, Secure SDLC, CI/CD, Test, SBOM, PSIRT und Release Management werden zu einer eindeutigen Nachweiskette verbunden. Lücken, Widersprüche und veraltete Belege werden dadurch früh sichtbar.

Seminarziel

Ziel ist ein pflegbares technisches Dossier mit klarer Ownership, Versionierung und Traceability. Die Dokumentation soll den Konformitätsweg unterstützen und zugleich als Arbeitsmittel für Engineering und Produktpflege dienen.

Lernziele

• Umfang und Struktur CRA-relevanter technischer Dokumentation festlegen
• Produktbeschreibung, vorgesehene Verwendung und Varianten eindeutig versionieren
• Risiken, Anforderungen, Controls, Tests und Evidenzen lückenlos verknüpfen
• SBOM, Vulnerability Handling, Updateprozess und Supportzeitraum integrieren
• Konformitätsweg für Standardprodukte, wichtige Produkte der Klassen I und II sowie kritische Produkte bestimmen
• Dokumentation bei Releases und erheblichen Änderungen kontrolliert aktualisieren

Inhalte

Dossierstruktur

• Produktidentifikation, Versionen, Varianten, Architektur und Schnittstellen
• Vorgesehener Zweck, Einsatzumgebung, Nutzerinformationen und sichere Konfiguration
• Cybersecurity-Risikoanalyse, Annahmen, Maßnahmen und Restrisiken
• Entwicklungs-, Build-, Test-, Freigabe- und Updateprozesse

Nachweiskette

• Requirement-to-Evidence-Matrix und eindeutige Evidenzkennungen
• Architekturentscheidungen, Code- und Pipelinekontrollen, Testergebnisse und Ausnahmen
• SBOM, VEX, Schwachstellenfälle, Advisories, Patches und Meldenachweise
• Integrität, Zugriffsschutz und Aufbewahrung mindestens zehn Jahre nach Marktbereitstellung oder für den längeren Supportzeitraum

Konformitäts- und Änderungssteuerung

• Interne Kontrolle für Standardprodukte sowie die Bedingungen für Selbstbewertung oder Drittprüfung bei wichtigen und kritischen Produkten
• Interne Review-Gates, Unabhängigkeit und Freigabeverantwortung
• Vierfaktorprüfung neuer Angriffsvektoren, Szenarien, Wahrscheinlichkeiten und Auswirkungen bei Produktänderungen
• CE-Readiness, Abweichungsmanagement und Auditvorbereitung

Praktische Übungen

• Dossierstruktur und Verantwortungsmatrix für ein Beispielprodukt entwerfen
• Anforderungs- und Nachweismatrix aus Risiko-, Entwicklungs- und Testdaten aufbauen
• Inkonsistente oder fehlende Evidenz in einem Beispielrelease identifizieren
• Änderungsfall bewerten und erforderliche Aktualisierungen des Dossiers planen

Zielgruppe

Geeignet ist das Seminar für Rollen, die technische Nachweise erstellen, konsolidieren, prüfen oder für Konformitäts- und Freigabeentscheidungen bereitstellen.