FAQ · Auslagerung und Dienstleistersteuerung
Wie prüfen wir Lieferanten auf CRA-Konformität?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Der Bundestag hat am 15. Oktober 2026 das Durchführungsgesetz zum Cyber Resilience Act verabschiedet. Das CE-Kennzeichen wird ab Dezember 2027 um den Aspekt Cybersicherheit erweitert und auf Produkte mit digitalen Elementen angewendet. Das BSI wird zuständige Behörde, kann Produkte stichprobenartig oder gezielt prüfen, Nachbesserungen einfordern, Bußgelder verhängen und Produkte vom Markt nehmen.
Banken und Versicherer setzen solche Produkte von Dritten ein, von Mobile Apps bis zu Sicherheitschips. Für CISO, Leiter Compliance und COO ist die Zeit bis Dezember 2027 der Spielraum für eine Lieferantenabfrage. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank gelingt sie, wenn sie Teil der Dienstleistersteuerung wird. Markus Junge empfiehlt, sie als eigenen Punkt in die Prüfungsplanung aufzunehmen.
In der Praxis
Listen Sie bis Dezember 2027 alle eingesetzten Produkte mit digitalen Elementen von Dritten und fragen Sie die Lieferanten nach dem Stand ihrer CRA-Konformität.
- Compliance und CISO klären, welche dieser Produkte im IKT-Register und im Informationsregister geführt werden.
- Jede Lieferantenantwort wird mit Datum und Ansprechpartner abgelegt.
- Offene Antworten gehen mit Frist an das Vertragsmanagement zur Nachfassung.
Nachweis: Als Nachweis dienen die Lieferantenliste mit Antwortstand und der eigene Punkt in der Prüfungsplanung.