CRA vs. ISO 27001: Die Compliance-Lücken, die Ihr ISMS nicht abdeckt

Wenn Ihr Unternehmen ISO 27001 zertifiziert ist, könnten Sie annehmen, dass Sie für den Cyberresilienz-Verordnung (CRA) gut aufgestellt sind. Das sind Sie nicht. Zumindest nicht ohne erhebliche zusätzliche Arbeit.

ISO 27001 schützt die Informationswerte Ihrer Organisation. Der Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847) verlangt, dass jedes Produkt mit digitalen Elementen, das Sie auf dem EU-Markt in Verkehr bringen, von Grund auf sicher ist, mit einem Software Bill of Materials (SBOM) ausgeliefert wird und für seine erwartete Lebensdauer mit Sicherheitsupdates versorgt wird. Das sind produktbezogene Pflichten, keine organisatorischen. Bei Nichteinhaltung drohen Bußgelder von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes (Art. 64). Siehe den Leitfaden zu CRA-Strafen und Durchsetzung.

Die Meldepflichten nach Art. 14 beginnen am 11. September 2026. Die vollständige Compliance ist bis zum 11. Dezember 2027 erforderlich. Siehe den vollständigen CRA-Implementierungszeitplan.

Dieser Leitfaden zu ISO 27001 vs. CRA zeigt genau, wo Ihr ISMS hilft, wo es nicht ausreicht, und was Sie ergänzen müssen.

Was deckt ISO 27001 ab und was verlangt der CRA?

Der CRA klassifiziert Produkte in Kategorien: Standard, Wichtige Klasse I, Wichtige Klasse II und Kritisch (Anhang III und IV). Jede Kategorie hat unterschiedliche Anforderungen an die Konformitätsbewertung. Ein Produkt der Wichtigen Klasse II erfordert eine obligatorische Drittparteiprüfung durch eine notifizierte Stelle, unabhängig von Ihrem ISO 27001-Zertifizierungsstatus. Siehe den Leitfaden zur CRA-Produktklassifizierung.

Der grundlegende Unterschied

ISO 27001 vs. CRA GELTUNGSBEREICH

ISO 27001:
"Wie verwaltet Ihre ORGANISATION die Sicherheit?"
+---------------------------------------------+
| Ihr Unternehmen                             |
| +---------+ +---------+ +---------+         |
| | Systeme | |  Daten  | | Personal|         |
| \---------+ \---------+ \---------+         |
| +---------+ +---------+ +---------+         |
| |Prozesse | | Netzwerk| | Gebäude |         |
| \---------+ \---------+ \---------+         |
\---------------------------------------------+

CRA:
"Wie sicher sind die PRODUKTE, die Sie verkaufen?"
+---------------------------------------------+
| Ihre Produkte (an Kunden verkauft)          |
| +---------+ +---------+ +---------+         |
| |Produkt A| |Produkt B| |Produkt C|         |
| \---------+ \---------+ \---------+         |
|                                             |
| Jedes Produkt muss die CRA-Anforderungen    |
| erfüllen                                    |
\---------------------------------------------+

Wo ISO 27001 beim CRA hilft und wo es nicht ausreicht

Wo ISO 27001 beim CRA hilft

Wo ISO 27001 nicht ausreicht

Zusammenfassung der Lückenanalyse

Starke Grundlage (ISO 27001 hilft erheblich):

• Sicherheitskultur und Sicherheitsbewusstsein
• Risikomanagementsystematik
• Vorfallsreaktionsfähigkeit
• Lieferantensicherheitsmanagement
• Richtlinien für den sicheren Entwicklungszyklus
• Zugangskontrollrahmen
• Dokumentationspraktiken

Teilweise Abdeckung (ISO 27001 hilft, reicht aber nicht aus):

• Schwachstellenmanagement (Organisationsbereich vs. Produktbereich)
• Kryptografie (Richtlinie vs. Produktimplementierung)
• Sicherheitstests (Unternehmenssysteme vs. Produkttests)
• Änderungsmanagement (IT-Änderung vs. Produktmodifikation)
• SBOM (Komponentenbewusstsein in A.8.26/A.8.28 vs. maschinenlesbares SBOM-Format)

Lücken (CRA-spezifisch, nicht durch ISO 27001 abgedeckt):

• SBOM-Generierung und SBOM-Pflege in einem standardisierten Format
• Produktkonformitätsbewertung
• CE-Kennzeichnungsprozess
• Schwachstellenmeldung an nationales CSIRT über Single Reporting Platform (Art. 14)
• Produktspezifische technische Unterlagen (Anhang VII)
• Supportzeitraum-Zusage (Art. 13(8))
• Überprüfung der sicheren Standardkonfiguration
• Anforderungen an den Produktaktualisierungsmechanismus
• Richtlinie zur koordinierten Offenlegung von Schwachstellen (Anhang I, Teil II(5))
• Öffentlicher Kontakt für Schwachstellenmeldungen (Anhang I, Teil II(6))

Wie Sie ISO 27001 für den CRA nutzen

Ihr ISMS als Grundlage verwenden

Wenn Sie ISO 27001 zertifiziert sind, haben Sie eine starke Basis, auf der Sie aufbauen können. Der Schlüssel liegt darin, bestehende Prozesse auf Produktpflichten auszuweiten, statt von vorne anzufangen.

Bestehende Prozesse erweitern:

Neue Prozesse hinzufügen:

Praktische Integrationsschritte

Schritt 1: Bereichserweiterung

• Produktsicherheit zum ISMS-Geltungsbereich hinzufügen
• Produktentwicklung in die Risikobewertung einbeziehen
• Asset-Inventar auf Produktkomponenten ausweiten

Schritt 2: Prozessaktualisierungen

• Schwachstellenverfahren für die Produktmeldung an das nationale CSIRT über die Single Reporting Platform aktualisieren
• SBOM in das Änderungsmanagement aufnehmen
• Den Rhythmus aus 24h-Frühwarnung, 72h-Erstmeldung und Abschlussbericht in den Vorfallsreaktionsprozess einbinden

Schritt 3: Dokumentationsergänzungen

• Produkttechnische Unterlagen
• SBOM-Nachweise
• Konformitätsbewertungsnachweise
• Dokumentation zum Supportzeitraum

Schritt 4: Rollen und Verantwortlichkeiten

• Produktsicherheitsverantwortung zuweisen
• CSIRT-Meldeverantwortung definieren
• SBOM-Pflegeverantwortung festlegen
• CVD-Richtlinienverantwortung zuweisen

ISO 27001 Anhang A-Kontrollen und CRA

Relevanteste Kontrollen

Kontrollimplementierung für CRA

ERWEITERUNG DER ISO 27001-KONTROLLEN FÜR CRA

A.8.8 ERWEITERUNG DES SCHWACHSTELLENMANAGEMENTS:

ISO 27001-Anforderung:
"Informationen über technische Schwachstellen der
verwendeten Informationssysteme sollen eingeholt werden..."

CRA-Erweiterung (Art. 14):
- Schwachstellen in IHREN PRODUKTEN überwachen
- Prozess für Kundenbenachrichtigung pflegen
- An nationales CSIRT über Single Reporting Platform melden:
  24h Frühwarnung, 72h Erstmeldung,
  14-tägiger Abschlussbericht (aktiver Exploit) oder
  1-monatiger Abschlussbericht (schwerwiegender Vorfall)
- Schwachstellenstatus pro Produkt verfolgen
- Optional: VEX-Dokument oder gleichwertigen Anwendbarkeitsnachweis erstellen

A.8.25-28 ERWEITERUNG DER SICHEREN ENTWICKLUNG:

ISO 27001-Anforderung:
"Regeln für die Entwicklung von Software und Systemen
sollen festgelegt und angewendet werden..."

CRA-Erweiterung:
- SBOM-Generierung in den Build-Prozess einbinden (Anhang I, Teil II(1))
- "Secure by Default"-Konfiguration überprüfen
- Produktsicherheitsanforderungen testen
- Für technische Unterlagen dokumentieren (Anhang VII)
- Nachweise für die Konformitätsbewertung pflegen

Gilt die ISO 27001-Zertifizierung als CRA-Konformitätsbewertung?

Deckt die ISO 27001-Zertifizierung die CRA-Compliance ab?

Wichtiges Verständnis:

• ISO 27001-Zertifizierung zeigt organisatorische Sicherheitsreife
• CRA-Compliance ist eine produktbezogene regulatorische Anforderung
• Eine ISO 27001-Zertifizierung befreit nicht vom CRA
• ISO 27001-Auditoren beurteilen keine CRA-Compliance

Die Meldepflichten nach Art. 14 beginnen am 11. September 2026. Die vollständige Compliance ist bis zum 11. Dezember 2027 erforderlich. Bei Nichteinhaltung drohen Bußgelder von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes (Art. 64).

ISO 27001 im CRA-Kontext verwenden

WIE MAN ISO 27001 IN DER CRA-DOKUMENTATION REFERENZIERT

IN TECHNISCHEN UNTERLAGEN:
"[Unternehmen] unterhält ein nach ISO/IEC 27001:2022
zertifiziertes Informationssicherheits-Managementsystem
(Zertifikat Nr. XXX, ausgestellt von [Zertifizierungsstelle]).

Das ISMS bildet die organisatorische Grundlage für
die Produktsicherheit, einschließlich:
- Sicherer Entwicklungszyklus (A.8.25-28)
- Schwachstellenmanagementprozess (A.8.8)
- Lieferantensicherheitsanforderungen (A.5.19-22)

Die produktspezifische CRA-Compliance ist in diesen
technischen Unterlagen dokumentiert und baut auf
diesen ISMS-Kontrollen auf."

WAS DAS ZEIGT:
- Reife des Sicherheitsmanagements
- Prozessgrundlage vorhanden
- Kein Ersatz für Produktnachweise

Audit-Synergien

ISO 27001-Überwachungsaudit:

• Jährliche Bewertung des ISMS
• Kann den Produktsicherheitsbereich einschließen
• Nachweise für CRA wiederverwendbar

CRA-Konformitätsbewertung:

• Produktspezifische Bewertung
• Verweist auf ISMS für Prozessnachweise
• Benötigt zusätzliche Produktnachweise

Synergiemöglichkeiten:

• Audit-Zeitpläne abstimmen
• Nachweise wo möglich wiederverwenden
• Integrierter Managementsystemansatz
• Einziges Dokumentationsrepository

Drei typische ISO 27001 + CRA-Szenarien

So integrieren Sie den CRA in Ihr bestehendes ISMS

Governance-Modell

INTEGRIERTES GOVERNANCE-MODELL

ORGANISATIONSEBENE (ISO 27001):
+---------------------------------------------+
| Informationssicherheits-Managementsystem    |
|                                             |
| - Sicherheitsrichtlinien                    |
| - Risikomanagementrahmen                    |
| - Sicherheitsorganisation                   |
| - Bewusstsein und Schulung                  |
\---------------------------------------------+
            |
            v
PRODUKTEBENE (CRA):
+---------------------------------------------+
| Produktsicherheits-Compliance               |
|                                             |
| +---------+ +---------+ +---------+         |
| |Produkt A| |Produkt B| |Produkt C|         |
| |- Techn. | |- Techn. | |- Techn. |         |
| |  Unter- | |  Unter- | |  Unter- |         |
| |  lagen  | |  lagen  | |  lagen  |         |
| |- SBOM   | |- SBOM   | |- SBOM   |         |
| |- DoC    | |- DoC    | |- DoC    |         |
| \---------+ \---------+ \---------+         |
\---------------------------------------------+

Dokumentationsstruktur

INTEGRIERTE DOKUMENTATION

ISMS-DOKUMENTATION (ISO 27001):
+-- Informationssicherheitsrichtlinie
+-- Risikobewertungsverfahren
+-- Anwendbarkeitserklärung
+-- Richtlinie für sichere Entwicklung
+-- Schwachstellenmanagementverfahren
+-- Vorfallsreaktionsverfahren
\-- Lieferantensicherheitsrichtlinie

CRA-DOKUMENTATION (Pro Produkt):
+-- Produkttechnische Unterlagen (Anhang VII)
|   +-- Produktbeschreibung
|   +-- Risikobewertung
|   +-- Sicherheitsarchitektur
|   +-- Testberichte
|   \-- SBOM
+-- EU-Konformitätserklärung
+-- Benutzerdokumentation
\-- Supportzeitraum-Erklärung

QUERVERWEISE:
- Technische Unterlagen verweisen auf ISMS-Verfahren
- ISMS-Verfahren beinhalten CRA-Anforderungen
- Aufzeichnungen werden 10 Jahre oder den Supportzeitraum
  aufbewahrt, je nachdem was länger ist (Art. 23(2))

ISO 27001 zu CRA Integrations-Workstreams