CRA-Übung beauftragen: Abgrenzung, Prüfziel und Nachweise
Die Meldepflicht des Cyber Resilience Act gilt seit dem 11. September 2026. Viele Hersteller möchten ihren Meldeprozess deshalb in einer Übung testen – und holen dafür Angebote ein. Spätestens beim Vergleich zeigt sich ein bekanntes Problem: Das eine Angebot beschreibt einen Workshop, das nächste eine Simulation über zwei Tage, das dritte ein Audit mit Übungsanteil. Preise und Leistungen lassen sich kaum nebeneinanderlegen.
Die Ursache liegt meist nicht bei den Anbietern, sondern in der Anfrage. Wer Umfang, Prüfziel und erwartete Ergebnisse nicht festlegt, bekommt unterschiedliche Interpretationen. Die folgenden drei Festlegungen helfen Ihnen als CISO, eine CRA-Übung so zu beauftragen, dass die Angebote vergleichbar werden und das Ergebnis im Unternehmen verwertbar ist.
1. Abgrenzung: Was genau wird geübt?
Der CRA-Meldeprozess reicht vom ersten Hinweis bis zum Abschlussbericht. Eine Übung muss nicht alles abdecken. Legen Sie fest:
- Welche Produkte oder Produktlinien dienen als Szenariogrundlage? Ein reales Produkt macht die Übung konkreter als ein fiktives.
- Welcher Ereignistyp wird gespielt: eine aktiv ausgenutzte Schwachstelle, ein schwerwiegender Sicherheitsvorfall oder beides nacheinander?
- Welche Prozessabschnitte stehen im Fokus: die Meldeentscheidung innerhalb von 24 Stunden, die 72-Stunden-Meldung, die Nutzerinformation oder die Eskalation in den Krisenstab?
- Welche Schnittstellen werden einbezogen: Zulieferer von Softwarekomponenten, Vertriebspartner in anderen EU-Mitgliedstaaten, parallele Meldewege etwa nach NIS2?
- Wer nimmt teil – und wer ausdrücklich nicht?
Ebenso wichtig ist, was nicht zum Auftrag gehört. Eine Krisenübung ist keine Rechtsberatung zur Auslegung des CRA und keine technische Prüfung Ihrer Produkte. Wenn Sie diese Leistungen benötigen, beauftragen Sie sie gesondert.
2. Prüfziel: Was soll am Ende feststehen?
Eine Übung ohne Prüfziel endet häufig mit dem Eindruck „war lehrreich“ – und ohne Konsequenzen. Formulieren Sie zwei bis vier Prüfziele als überprüfbare Aussagen, zum Beispiel:
- Die meldeverantwortliche Person oder ihre Stellvertretung trifft innerhalb der Übungszeit eine dokumentierte Meldeentscheidung.
- Der Zeitpunkt der Kenntnisnahme ist nachvollziehbar festgehalten.
- Die für die Frühwarnung erforderlichen Angaben liegen vor oder die Lücken sind benannt.
- Die Geschäftsleitung ist nach den festgelegten Kriterien informiert.
Prüfziele sind kein Bestehen oder Durchfallen. Sie machen sichtbar, wo der Prozess trägt und wo nicht. Genau diese Klarheit ist das Ergebnis, für das Sie bezahlen.
3. Nachweise: Welche Ergebnisse erhalten Sie?
Klären Sie vor der Beauftragung, welche Unterlagen nach der Übung vorliegen. Sinnvoll sind:
- Zeitstrahl der Übung mit den tatsächlichen Entscheidungszeitpunkten
- Beobachtungen je Prüfziel – sachlich, ohne Bewertung einzelner Personen
- Maßnahmenliste mit Vorschlägen für Verantwortliche und Prioritäten
- Szenario-Unterlagen, damit Sie die Übung später intern wiederholen können
Diese Dokumentation hilft auch intern: Sie zeigt der Geschäftsleitung, dass der Meldeprozess nicht nur beschrieben, sondern erprobt wurde. Welche formale Nachweiswirkung eine Übung gegenüber Behörden oder Kunden hat, sollten Sie gesondert mit Ihrer Rechtsabteilung klären.
Fragen, die Sie Anbietern stellen sollten
- Wie wird das Szenario auf unsere Produkte und Organisation zugeschnitten – und wie viel Vorbereitungszeit benötigen Sie von unserem Team?
- Wer moderiert, und welche Erfahrung besteht mit Krisenstäben und Entscheidungen unter Zeitdruck?
- Wie gehen Sie mit vertraulichen Produktinformationen im Szenario um?
- Welche Unterlagen erhalten wir nach der Übung, und in welcher Form?
- Wie unterscheiden Sie zwischen organisatorischen Beobachtungen und rechtlicher Bewertung?
Anfrage in einem Satz
Wenn Sie die drei Festlegungen getroffen haben, lässt sich Ihre Anfrage knapp formulieren: „Wir möchten die Meldeentscheidung im CRA-Prozess für eine konkrete Produktlinie mit PSIRT, Rechtsabteilung und Geschäftsleitung in einer halbtägigen Tabletop-Übung testen und erwarten einen Zeitstrahl, Beobachtungen je Prüfziel und eine Maßnahmenliste.“ Auf eine solche Anfrage erhalten Sie vergleichbare Angebote.
Welche Übergabe sich für den Einstieg eignet, lesen Sie in unserem Beitrag CRA-Tabletop: Welche Übergabe Sie zuerst testen sollten. Allgemeine Hinweise zur Planung finden Sie im Beitrag Krisenplan testen.
Sie möchten eine CRA-Übung für Ihr Team konkret besprechen? Im Inhouse-Krisentraining legen wir Abgrenzung, Prüfziele und Ergebnisse gemeinsam mit Ihnen fest, bevor das Szenario entsteht.
Häufige Fragen
Ist eine Übung zum CRA-Meldeprozess gesetzlich vorgeschrieben?
Der CRA verpflichtet Hersteller zur fristgerechten Meldung, schreibt aber keine bestimmte Übungsform vor. Eine Übung ist ein organisatorisches Mittel, um die Einhaltung der Fristen realistisch zu prüfen.
Sollten Rechtsabteilung und Geschäftsleitung an der Übung teilnehmen?
Ja, zumindest in den Abschnitten, in denen sie im Ernstfall entscheiden. Ohne sie bleibt die wichtigste Übergabe – die Meldeentscheidung – ungetestet.
Hinweis: Dieser Beitrag bietet eine organisatorische Einordnung und ersetzt keine Rechtsberatung.
