--- title: Seminar Cyber Resilience Act (CRA) in der Produktentwicklung url: "https://www.tae.de/weiterbildung/it-ki/it-infrastruktur/cyber-resilience-act-cra-in-der-produktentwicklung/" description: Security-Anforderungen mit Risikoanalyse, Threat Modeling und Secure by Design umsetzen ▷ Der Cyber Resilience Act stellt konkrete Anforderungen an die Sicherheit von Produkten mit digitalen Elementen. In dieser Weiterbildung erarbeiten Sie anhand eines durchgängigen Praxisbeispiels, wie... image: "https://www.tae.de/_assets/cf7b9e929dc16279bbae7f6de48311fe/Assets/Images/OgImageTaeFocus-2026.png" date: 2027-04-15 course_identifier: 36517 course_type: OS course_state: buchbar course_delivery_type: Standard course_duration: 2 Tage course_price_eur: 1650.00 course_departments: - "IT & KI" course_categories: - IT Infrastruktur next_event_end: 2027-04-16 next_event_location: Technische Akademie Esslingen upcoming_dates: - 2027-04-15 bis 2027-04-16, Technische Akademie Esslingen course_speakers: - Dr. Thomas Liedtke --- # Seminar Cyber Resilience Act (CRA) in der Produktentwicklung Cyber Resilience Act (CRA) in der Produktentwicklung ====================================================== Security-Anforderungen mit Risikoanalyse, Threat Modeling und Secure by Design umsetzen ----------------------------------------------------------------------------------------- Beginn: 15.04.2027 - 09:00 Uhr Ende: 16.04.2027 - 16:30 Uhr Dauer: 2,0 Tage Ostfildern [ ](https://www.tae.de/lernsettings/) Veranstaltungsnr.: 36517.00.001 Leitung [ Dr. Thomas Liedtke ](#speaker57) Präsenz EUR 1.650,00 (MwSt.-frei) Mitgliederpreis EUR 1.485,00 (MwSt.-frei) [ Zuschüsse nutzen ](#gebuehren-foerderung) Beschreibung Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen, Cybersecurity bereits bei der Entwicklung und über den gesamten Produktlebenszyklus zu berücksichtigen. Für Entwicklungsabteilungen bedeutet das: Sicherheitsrisiken systematisch bewerten, technische Schutzmaßnahmen in Architektur und Software integrieren und deren Umsetzung nachvollziehbar dokumentieren. Entscheidend ist, wie sich diese regulatorischen Pflichten in bestehende Engineering-Prozesse überführen lassen – von der ersten Risikoanalyse bis zum Schwachstellenmanagement nach der Markteinführung. **Ziel der Weiterbildung** Der Cyber Resilience Act stellt konkrete Anforderungen an die Sicherheit von Produkten mit digitalen Elementen. In dieser Weiterbildung erarbeiten Sie anhand eines durchgängigen Praxisbeispiels, wie Sie diese Anforderungen in der Produktentwicklung berücksichtigen. Dabei verbinden Sie regulatorische Vorgaben mit etablierten Methoden des Security Engineering und leiten daraus technische Maßnahmen sowie erforderliche Nachweise ab. Nach der Weiterbildung können Sie: - CRA-Anforderungen für eigene Produkte identifizieren und den jeweiligen Entwicklungsaufgaben zuordnen. - Cybersecurity-Risiken mithilfe von Risk Assessment und Threat Modeling systematisch bewerten. - Security Requirements und technische Schutzmaßnahmen für Embedded-Systeme ableiten. - Geeignete Security-Testing-Verfahren zur Überprüfung der Sicherheitsanforderungen auswählen. - Schwachstellenmanagement, Drittkomponenten und technische Nachweise in bestehende Entwicklungsprozesse integrieren. **Nutzen der Weiterbildung** Die Weiterbildung erhöht die Sicherheit bei technischen Entscheidungen zur CRA-Umsetzung. Ein strukturiertes Vorgehen erleichtert die frühzeitige Berücksichtigung von Sicherheitsanforderungen und reduziert das Risiko kostspieliger Nacharbeiten. Das durchgängige Praxisbeispiel unterstützt den Transfer in eigene Entwicklungsprojekte und verbessert die Nachvollziehbarkeit getroffener Sicherheitsentscheidungen. Programm **Hinweis: Die Seminarunterlagen und Präsentationsfolien sind in englischer Sprache.** **Donnerstag, 15. und Freitag, 16. April 2027** **jeweils von 9:00 bis 16:30 Uhr, inkl. Pausen** **TAG 1** **1. Cyber Resilience Act – kurz und bündig** - Geltungsbereich und regulatorische Einordnung (z. B. New Legislative Framework, NLF) - Betroffene Produkte: Produkte mit digitalen Komponenten - Zeitachse und Herstellerpflichten - Lebenszyklusperspektive für Entwickler - Rollen im Unternehmen aus Engineering-Sicht - Verbindung und Gemeinsamkeiten mit Functional Safety - Wichtige Definitionen: - Intended Purpose / Reasonably Foreseeable Use / Reasonably Foreseeable Misuse - Supportperiode - Einführung des Asset-Begriffs: Was muss geschützt werden? - Definition der Risikobewertung - Risikobehandlung identifizierter Risiken - Übungsbeispiel Teil 1: Beschreibung eines Beispielprodukts mit digitalen Elementen (PDE) als Grundlage für die folgenden Übungen **2. CRA-spezifische Anforderungen für Hersteller** - Was bedeutet der CRA für die konkrete Entwicklungsarbeit? - Umsetzungsbeispiele der Herstellerpflichten (Artikel 13) - Berichtspflichten (Artikel 14) - Praktische Umsetzung der wesentlichen Security-Anforderungen (Anhang I, Teil I) - Notwendige Prozesse zur Behandlung von Sicherheitslücken (Anhang I, Teil II) - Übungsbeispiel Teil 2: Umsetzung der Pflichten aus Artikel 13 und 14 am Beispiel-PDE **3. Durchführung eines beispielhaften Risk Assessments** - Definition von Trust Boundaries und Schnittstellen - Vollständige Betrachtung eines Assets entlang der definierten Vorgehensweise - Dynamische Architekturansichten - Bedrohungsmodellierung mit Microsoft STRIDE - Funktionsbeschreibung - Ableitung technischer Security Requirements - Übungsbeispiel Teil 3: Durchführung eines Risk Assessments zur Bestimmung von Security Goals für das Beispiel-PDE - Ableitung geeigneter Maßnahmen unter Berücksichtigung der wesentlichen Security-Anforderungen - Diskussion typischer Herausforderungen in der Embedded-Entwicklung - Abgleich mit dem zweistufigen Risk Assessment nach IEC 62443-3-2 für MVO, Transportation und weitere Bereiche - Essenzielle Funktionen und Safety-Funktionen: Was passiert bei einem Versagen? - Übungsbeispiel Teil 4: Auswahl von Cybersecurity Controls und Zuordnung der grundlegenden Security-Anforderungen zum Beispiel-PDE **TAG 2** **4. Secure by Design & Default – Architektur** - Wie wird aus Security Principles eine CRA-Anforderung? - Anwendung von Security-Prinzipien in frühen Architekturphasen - Bedeutung zentraler CRA-Begriffe, z. B. Secure by Design und Secure by Default - Architekturentscheidungen: Prinzip ? Architekturentscheidung ? technische Umsetzung - ENISA Secure by Design and Default Playbook als Umsetzungshilfe für KMU - Überführung allgemeiner Security-Prinzipien in CRA-Anforderungen und konkrete Engineering Controls: - Mapping der Security Principles auf die wesentlichen Anforderungen des Cyber Resilience Act - Mapping der Security Principles auf Sicherheitsprinzipien und Controls der NIST-SP-800-Standards - Übungsbeispiel Teil 5: Bewertung und Einordnung des Mappings von Security Principles auf grundlegende Security-Anforderungen - Security-Prinzipien weiterer Standards - Architekturmuster für resiliente Embedded-Systeme - Update-Fähigkeit und sichere Standardeinstellungen - Schnittstellenhärtung und Isolation **5. Security Verification & Testing** - Wie lässt sich die Umsetzung von Security Requirements nachweisen? - Verifikation von Security Requirements - Code Review - Static Analysis - Dependency Scanning - Vulnerability Scanning - Fuzzing - Penetration Testing - Security Testing in CI/CD-Prozessen - Regression Testing nach Security Fixes - Übungsbeispiel Teil 6: Erstellung eines ersten Verifikations- und Validierungsplans für das Beispiel-PDE **6. Prozesse zur Behandlung von Sicherheitslücken und Vorfällen** - Umgang mit neu veröffentlichten CVEs in verwendeten Softwarebibliotheken - Schwachstellenmanagement über den gesamten Produktlebenszyklus - Interne Prozesse und Verantwortlichkeiten - Meldemechanismen und Dokumentationspflichten - Verzahnung mit Entwicklungs- und Release-Prozessen - Verbindung zu Unternehmensprozessen und Managementsystemen **7. Integration von Drittkomponenten und Verwendung von Open Source** - Transparenz über tatsächlich verwendete Produktkomponenten - Umgang mit Third-Party Components - Sorgfaltspflichten bei der Verwendung von Drittkomponenten und Open-Source-Software - SBOM-Grundlagen und Komponenten-Inventarisierung - Integration in CI/CD und Build-Governance - Übungsbeispiel Teil 7: Erstellung eines Aktionsplans für eine eingekaufte Komponente des Beispiel-PDE **8. Evidences und Nachweise** - Wie lässt sich die Berücksichtigung von Security nachweisen? - Konkrete Beispiele der erforderlichen Dokumentation: - Benutzerdokumentation - Technische Dokumentation - Aufbau eines effizienten internen und externen Monitorings - Typische Hindernisse und praxisnahe Umsetzungstipps für die eigene Organisation - Übungsbeispiel Teil 8: Skizze der Benutzerhinweise und technischen Dokumentation für das Beispiel-PDE Teilnehmer:innenkreis Die Weiterbildung richtet sich an Fachkräfte aus Embedded- und Softwareentwicklung, Hardwareentwicklung, System- und Softwarearchitektur, Product Security, Requirements Engineering sowie Test und Verifikation. Sie ist auch interessant für Fachkräfte aus Functional Safety, Systems Engineering, Qualitätsmanagement, Product Compliance und technischer Dokumentation. **Voraussetzungen:** Grundkenntnisse in der Produktentwicklung und Cybersecurity sind hilfreich, aber nicht zwingend erforderlich. Referent:innen Dr. Thomas LiedtkeDr. Thomas Liedtke ist \- seit vielen Jahren beratend tätig für funktionale Sicherheit, Informations- und Produktsecurity. Er ist Mitglied der deutschen DIN-AK-Spiegelgruppe, welche für die Definition ISO/SAE 21434, ISO/PAS 5112 und weitere Cybersecuritystandards verantwortlich ist \- Mitglied des intacs Advisory Boards und Leiter der SPICE Cybersecurity Arbeitsgruppe Leiter der ZVEI Arbeitsgruppe Datensicherheit im Automobil \- Leadauditor für CSMS; ISMS; TISAX \- Berater für die Implementierung der Cybersecurity in Unternehmen Publikationen \- Informationssicherheit: Möglichkeiten und Grenzen; SpringerLink publisher: [link.springer.com/book/10.1007/978-3-662-63917-7](https://link.springer.com/book/10.1007/978-3-662-63917-7) \- The New Cybersecurity Challenges and Demands for Automotive Organisations and Projects – an Insight View [link.springer.com/chapter/10.1007/978-3-031-42307-9\_21](https://link.springer.com/chapter/10.1007/978-3-031-42307-9_21) Weitere Veranstaltungen [Sicherheitsgerichtete Systeme entwickeln](https://www.tae.de/weiterbildung/konstruktion-entwicklung/systems-engineering/sicherheitsgerichtete-systeme-entwickeln/) [Cyber Resilience Act (CRA) erfolgreich umsetzen](https://www.tae.de/weiterbildung/it-ki/it-infrastruktur/cyber-resilience-act-cra-erfolgreich-umsetzen/) [NIS-2-Richtlinie im Gesundheitswesen rechtskonform umsetzen](https://www.tae.de/weiterbildung/gesundheitswesen-versorgung/management-recht-oekonomie/nis-2-richtlinie-im-gesundheitswesen-rechtskonform-umsetzen/) Veranstaltungsort und Hotel Technische Akademie Esslingen An der Akademie 5 73760 Ostfildern [Anfahrt](https://www.google.de/maps/dir//48.7157380000000000,9.2905800000000000/@48.7157380000000000,9.2905800000000000,12z)Die TAE befindet sich im Südwesten Deutschlands im Bundesland Baden-Württemberg – in unmittelbarer Nähe zur Landeshauptstadt Stuttgart. Unser Schulungszentrum verfügt über eine hervorragende Anbindung und ist mit allen Verkehrsmitteln gut und schnell zu erreichen. ![Anfahrt und Parken: TAE - Technische Akademie Esslingen](https://www.tae.de/fileadmin/_processed_/7/9/csm_Header_Anreise_2c44327494.jpg "Anfahrt und Parken: TAE - Technische Akademie Esslingen") Gebühren und Fördermöglichkeiten Die Teilnahme beinhaltet [Verpflegung](https://www.tae.de/service/verpflegung/) sowie ausführliche Unterlagen. **Preis:** Die Teilnahmegebühr beträgt: 1.650,00 € (MwSt.-frei) **Fördermöglichkeiten:** Bei einem Großteil unserer Veranstaltungen profitieren Sie von 45 % Zuschuss aus der [ESF-Fachkursförderung](https://www.tae.de/foerdermoeglichkeiten/esf/). Bisher sind diese Mittel für den vorliegenden Kurs nicht bewilligt. Dies kann verschiedene Gründe haben. Wir empfehlen Ihnen daher, Kontakt mit unserer [Anmeldung](https://www.tae.de/service/kontakt/) aufzunehmen. Diese gibt Ihnen gerne Auskunft über die Förderfähigkeit der Veranstaltung. Weitere Bundesland-spezifische Fördermöglichkeiten finden Sie [hier](https://www.tae.de/foerdermoeglichkeiten/sonstige-bund-laender-eu/). Bewertungen unserer Teilnehmer Noch keine Bewertung für diesen Kurs vorhanden. Hier finden Sie eine [Übersicht aller Rezensionen](https://www.tae.de/bewertungen/) .