Secure-by-Design, Schwachstellenbehandlung und technische Dokumentation werden zu einem belastbaren Produktmodell.
CRA für KMU.Umsetzbar mit dem Team, das bereits da ist.
Der Cyber Resilience Act ist kein kleines Thema. Trotzdem braucht ein KMU weder eine Konzernorganisation noch eine neue Compliance-Plattform. Das STOP.LI-Paket macht aus den Pflichten sechs wiederholbare Produktentscheidungen – beginnend mit einem einzigen Pilotprodukt.
Klein heisst nicht unvorbereitet.
Der CRA verlangt belastbare Produktsicherheit, aber keine bestimmte Unternehmensgrösse. Entscheidend ist, dass Produkt, Risiko, Komponenten, Release, Schwachstellen und Support zusammengeführt werden und ein verantwortlicher Entscheid erkennbar bleibt.
Rollen bündeln.
Product Owner, Entwicklung, Security und Geschäftsleitung können mehrere Aufgaben übernehmen. Verantwortung, Freigabe und Vertretung müssen trotzdem eindeutig bleiben.
Vorhandenes weiterverwenden.
Das Modell verlangt keine neue Plattform. Produktdaten bleiben in den Systemen, in denen das Unternehmen bereits arbeitet. Die Verbindung der Nachweise zählt – nicht der Produktname des Werkzeugs.
Mit einem Produkt beginnen.
Ein repräsentatives Pilotprodukt macht Product ID, Risiko, SBOM, Release Gate und Schwachstellenprozess erstmals gemeinsam ausführbar. Erst stabilisieren, dann skalieren.
Funktion statt Abteilung.
Ein KMU braucht kein eigenes 24/7-SOC. Ein erreichbarer Eingang, Fallverantwortung, technische Triage, Eskalation und ein kontrollierter Updateweg schaffen einen belastbaren Start.
Sechs Entscheidungen statt hundert loser Aufgaben.
Das Paket führt nicht durch abstrakte Gesetzeskapitel. Es ordnet die Arbeit entlang des Produkts und macht sichtbar, wer entscheidet, worauf sich der Entscheid stützt und welcher Nachweis zurückbleibt.
Produkt bestimmen
Produktgrenze, Version, Marktweg und Supportzeitraum eindeutig festhalten.
Verantwortung zuordnen
Owner, Freigabe, Eskalation und Vertretung für das Pilotprodukt klären.
Risiken und Komponenten erfassen
Risikobeurteilung und produktbezogene SBOM an derselben Product ID ausrichten.
Release freigeben
Offene Pflichtfragen, Tests, Nutzerinformation und Restrisiko vor Auslieferung entscheiden.
Schwachstellen behandeln
Eingang, Triage, Fallverantwortung, Meldereife und Updateweg ausführbar machen.
Support steuern
Sicherheitsupdates, Kommunikation und Supportende nachvollziehbar zusammenführen.
Ein Produktmodell, das Nachweise zusammenführt.
Eine Version. Ein Entscheid. Eine Bereitschaft.
Eine Version. Eine Spur.
Risiko, SBOM, Testnachweise, technische Dokumentation, PSIRT-Fälle und Releaseentscheid verweisen auf dieselbe Produktversion. Nachweise werden verbunden, nicht kopiert.
Ein sichtbarer Entscheid.
Offene Pflichtfragen stoppen die Freigabe. Nicht akzeptierbare Risiken stoppen die Marktbereitstellung. Das Gate schafft Klarheit vor der Auslieferung.
Bereitschaft statt Abteilung.
Ein erreichbarer Eingang, Fallverantwortung, technische Triage, Meldereife und ein kontrollierter Updateweg bilden die minimale belastbare Funktion.
Alles, was ein kleines Team für den Einstieg braucht.
Die vier Arbeitsmittel bauen aufeinander auf: Das Manual erklärt das Betriebsmodell, das Toolkit führt zum ersten Pilotprodukt, das Workbook macht die Entscheidungen bearbeitbar und der Feldkatalog unterstützt die spätere Skalierung in bestehende Systeme.
CRA SME Operating Manual
Der vollständige Umsetzungsweg vom Produktentscheid bis zur Schwachstellenbehandlung und zum Supportende.
CRA SME Starter Toolkit
Der kompakte Einstieg in Rollen, Pilotprodukt, Product ID, Risikobeurteilung und erstes Release Gate.
CRA SME Starter Workbook
Die bearbeitbare Grundlage für Produktregister, Risikobeurteilung, Release Gate, PSIRT und Supportsteuerung.
CRA SME Field Catalog
162 definierte Felder für die Übertragung in Jira, Git, CI/CD, DMS oder Service Desk.
Eine belastbare Arbeitsgrundlage – kein automatischer Konformitätsnachweis.
Das Paket leistet
- einen strukturierten CRA-Einstieg für kleine Hersteller
- eine gemeinsame Produkt- und Nachweiskette
- konkrete Rollen, Entscheide und Arbeitsobjekte
- eine Grundlage für vorhandene Werkzeuge
- einen skalierbaren Start mit einem Pilotprodukt
Es ersetzt nicht
- die Prüfung der konkreten CRA-Anwendbarkeit
- notwendige technische Produkttests
- erforderliche Konformitätsbewertungen
- individuelle Rechtsberatung
- die Verantwortung des Herstellers
Originaltext und von 4T2 erstellte Grafiken stehen unter CC BY 4.0; Rechte Dritter sowie Namen, Logos und Marken bleiben ausgenommen.
Vom öffentlichen Modell zur eigenen Umsetzung.
4T2 Solutions unterstützt Finanzinstitute und Hersteller bei Einordnung, Anpassung und operativer Einführung. Ausgangspunkt ist eine konkrete Entscheidung oder ein kontrollierter Pilot, nicht ein neues Grossprogramm.