Regulatorik und Compliance
Wissen, welche Regeln für Ihre Produkte und Standorte gelten und was zuerst zu tun ist.
Für dasselbe Produkt gelten heute mehrere EU-Regeln. Wir machen daraus einen Plan.
Eine vernetzte Maschine, die in der EU verkauft wird, kann unter den Cyber Resilience Act, die Maschinenverordnung, die Funkanlagenrichtlinie und, für ihren Betreiber, unter NIS2 fallen, jeweils mit eigenen Fristen, Nachweisen und Konformitätsverfahren. Wer sie einzeln liest, macht doppelte Arbeit und übersieht Lücken.
Wir beginnen bei Ihren Produkten, nicht bei den Gesetzestexten. Für jedes Produkt klären wir, welche Regeln gelten, welche Klasse und welches Verfahren folgen und welche Nachweise schon vorhanden sind. Das Ergebnis ist ein priorisierter Plan mit Verantwortlichen und Terminen, und wir setzen ihn mit Ihnen um, bis die Konformitätserklärung unterschrieben ist.
Für wen
- Hersteller, die vernetzte Produkte auf den EU-Markt bringen
- Produkt- und Compliance-Verantwortliche, die die Konformitätserklärung unterschreiben
- Unternehmen, die unter NIS2 fallen
- Zulieferer, deren Kunden Nachweise zu CRA oder NIS2 verlangen
Die regulatorische Landschaft
Die Regeln, die bei unseren Kunden am häufigsten zusammen für Produkte und Standorte gelten. In den Überschneidungen lässt sich am meisten Aufwand sparen.
Produkte
Cyber Resilience Act
Grundlegende Anforderungen für jedes Produkt mit digitalen Elementen. Meldepflichten seit dem 11. September 2026, volle Anwendung ab dem 11. Dezember 2027.
Maschinen
Maschinenverordnung
Ab dem 20. Januar 2027 werden der Schutz gegen Korrumpierung und sichere Steuerungen zu grundlegenden Sicherheits- und Gesundheitsschutzanforderungen.
Funk
Cybersicherheit nach RED
Seit dem 1. August 2025 müssen Funkanlagen Netze und personenbezogene Daten schützen und vor Betrug sichern, bewertet nach EN 18031.
Betreiber
NIS2
Pflichten zu Risikomanagement, Meldung und Lieferkette für wesentliche und wichtige Einrichtungen, mit persönlicher Verantwortung der Geschäftsleitung.
KI
EU-KI-Verordnung
Anforderungen an Cybersicherheit und Robustheit für Hochrisiko-KI-Systeme, über Artikel 12 mit dem CRA verbunden.
Fahrzeuge
UN R155 und R156
Managementsysteme für Cybersicherheit und Software-Updates als Voraussetzung für die Typgenehmigung von Fahrzeugen.
Gesundheit
MDR und FDA
Cybersicherheit als Teil der Sicherheit von Medizinprodukten und der Zulassung in den USA.
Normen
Harmonisierte Normen
Harmonisierte Normen wie EN 18031 für Funkanlagen und die CRA-Normen, die gerade entstehen, begründen die Konformitätsvermutung. IEC 62443 ist für viele davon die technische Grundlage.
So wird Compliance beherrschbar
Regulierung ist eine Vorgabe für die Entwicklung, kein Papierkram am Ende. Diese Grundsätze halten den Aufwand angemessen.
1
Produkt zuerst
Wir ordnen die Regeln den Produkten und Varianten zu, nicht umgekehrt.
2
Eine Nachweisbasis
Eine Risikobewertung und ein Satz Dokumente dienen mehreren Regeln.
3
Normen als Abkürzung
Harmonisierte Normen begründen die Konformitätsvermutung und geben eine klare Prüfgrundlage.
4
Nach Fristen geordnet
Die Arbeit folgt dem, was zuerst gilt, beginnend mit der CRA-Meldepflicht.
5
Den ganzen Lebenszyklus im Blick
Support-Zeiträume, Updates und Umgang mit Schwachstellen werden vom ersten Tag an geplant.
6
Gebaut für das Audit
Jede Entscheidung wird dokumentiert, damit eine benannte Stelle oder Behörde sie nachvollziehen kann.
So helfen wir
Von der ersten Entscheidung zum Anwendungsbereich bis zur CE-Kennzeichnung. Jede Leistung hat einen klaren Umfang und ein festes Ergebnis.
CRA-Readiness-Check
Wo Ihre Produkte beim CRA stehen.
Was wir tun
- Produkte, Software und Datenfernverarbeitung erfassen
- Anwendungsbereich, Ausnahmen und Produktklasse festlegen
- Abgleich mit Anhang I und den Meldepflichten
Sie erhalten
Entscheidung zu Anwendungsbereich und Klasse pro Produkt, Lückenliste, priorisierter Plan
Anwendbarkeitsanalyse über mehrere Regelwerke
Welche Regeln gelten und wo sie sich überschneiden.
Was wir tun
- CRA, Maschinenverordnung, RED, NIS2 und KI-Verordnung pro Produkt und Standort
- Übersicht der Überschneidungen, um doppelte Arbeit zu vermeiden
- Rollen als Hersteller, Importeur, Händler oder Betreiber
Sie erhalten
Anwendbarkeitsmatrix, Übersicht der Überschneidungen
NIS2: Gap-Analyse und Umsetzung
Von der Betroffenheit bis zu wirksamen Maßnahmen.
Was wir tun
- Prüfen, ob Sie eine wesentliche oder wichtige Einrichtung sind
- Gap-Analyse gegen die Risikomanagementmaßnahmen
- Maßnahmen, Meldeprozess und Kontrollen für die Lieferkette umsetzen
Sie erhalten
Entscheidung zur Betroffenheit, Lückenliste, umgesetzte Maßnahmen
Maschinenverordnung und RED
Cybersicherheit für Maschinen und Funkprodukte.
Was wir tun
- Schutz gegen Korrumpierung und sichere Steuerungen
- RED-Anforderungen mit EN 18031
- Test- und Dokumentationsplan
Sie erhalten
Lückenliste pro Produkt, Test- und Dokumentationsplan
Konformitätsverfahren und technische Dokumentation
Der Weg zur CE-Kennzeichnung.
Was wir tun
- Modul A, B+C, H oder Zertifizierung wählen
- Technische Dokumentation, SBOM und Support-Zeitraum erstellen
- Die EU-Konformitätserklärung vorbereiten
Sie erhalten
Dokumentationspaket, Zeitplan bis zur CE-Kennzeichnung
Vorbereitung auf benannte Stelle und Behörde
Bereit für den Blick von außen.
Was wir tun
- Vorab-Bewertung nach dem gewählten Verfahren
- Prüfung der Nachweise und Probefragen
- Begleitung während der Bewertung
Sie erhalten
Bericht zur Vorab-Bewertung, geschlossene Lücken
So arbeiten wir
Schritt 1
Umfang
Produkte, Märkte und Ihre Rollen.
Schritt 2
Bewerten
Gap-Analyse gegen jede geltende Regel.
Schritt 3
Planen
Eine priorisierte Roadmap mit Verantwortlichen und Terminen.
Schritt 4
Umsetzen
Begleitung, bis Dokumentation und Konformitätserklärung fertig sind.
Normen und Vorschriften
Cyber Resilience Act (EU) 2024/2847
Produkte mit digitalen Elementen. Meldepflicht seit dem 11. September 2026, alle anderen Anforderungen ab dem 11. Dezember 2027.
Maschinenverordnung (EU) 2023/1230
Gilt ab dem 20. Januar 2027, einschließlich Schutz gegen Korrumpierung.
Delegierte Verordnung (EU) 2022/30 zur RED und EN 18031
Cybersicherheit von Funkanlagen, anzuwenden seit dem 1. August 2025.
NIS2-Richtlinie (EU) 2022/2555
Wesentliche und wichtige Einrichtungen. Die deutsche Umsetzung ist seit dem 6. Dezember 2025 in Kraft.
EU-KI-Verordnung
Cybersicherheit und Robustheit für Hochrisiko-KI-Systeme.
Normenreihe IEC 62443
Normen für industrielle Sicherheit, die für viele dieser Regeln die technische Grundlage bilden.
Branchen
Maschinen, Automatisierungskomponenten, Fahrzeuge, Medizinprodukte und Energiesysteme: Jede Branche hat ihre eigene Mischung aus Regeln.
Warum Nord CS
Unser Team hat Qualifikationen als IEC 62443 Expert sowie TISAX und NIS2 Implementer, und unser Gründer ist Mitglied im ENISA Advisory Board. AITIGRITY stuft Produkte nach dem CRA ein und hält Risikobewertung und Nachweise an einem Ort, so bleibt der Plan aktuell.
Mit einem Berater sprechenHäufige Fragen
Gilt der CRA für mein Produkt?
Wenn Ihr Produkt Hardware oder Software enthält und sich mit einem Gerät oder Netzwerk verbindet, fällt es wahrscheinlich darunter. Produkte mit eigenen Branchenregeln, etwa Medizinprodukte nach der MDR oder typgenehmigte Fahrzeuge, sind ausgenommen. Wir prüfen den Anwendungsbereich Produkt für Produkt.
Was gilt heute schon?
Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gilt seit dem 11. September 2026. Alle anderen CRA-Anforderungen, auch die CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.
Wir arbeiten schon nach IEC 62443. Sind wir fertig?
Das ist eine starke Grundlage, aber keine vollständige Antwort. Der CRA ergänzt Pflichten wie die Meldung, einen festgelegten Support-Zeitraum und eine SBOM. Wir gleichen ab, was vorhanden ist und was noch fehlt.
Zertifizieren Sie Produkte?
Nein. Zertifizierungen und Bewertungen durch benannte Stellen führen akkreditierte Stellen durch. Wir bereiten Sie so vor, dass dieser Schritt reibungslos läuft.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.