Der Cyber Resilience Act (CRA) stellt das Produkt in den Mittelpunkt und spricht trotzdem von Assets. Banken und Versicherer, die Produkte mit digitalen Elementen herstellen oder einsetzen, brauchen dafür eine eigene Ordnung. Ein Vorschlag vom 27. Oktober 2026 übernimmt die Einteilung der ISO 27005 in primäre und unterstützende Assets und ergänzt eine dritte Klasse. Primäre Assets sind die Daten- und Funktionswerte des Produkts. Sie entsprechen den Informationen und Geschäftsprozessen eines Unternehmens. Unterstützende IKT-Assets bleiben, was man kennt: Software, Hardware, Schnittstellen, Netzwerkkomponenten, physische Infrastruktur und IKT-Dienste. Neu hinzu kommen die schutzwürdigen Interessen von Nutzern und Dritten. Anknüpfungspunkt ist Art. 13 Abs. 2 CRA, der die Folgen von Sicherheitsvorfällen auch für Gesundheit und Sicherheit der Nutzer gering halten will. Erste Ansätze enthalten die Technische Richtlinie TR-03183-1 des BSI und der Normentwurf prEN 40000-1-2. Für die Praxis bedeutet das: CISO und Compliance erweitern das vorhandene Asset-Verzeichnis um die Klasse der Nutzerinteressen und halten je Produkt die Daten- und Funktionswerte fest. Erst danach folgt die Risikobeurteilung. Die Taxonomie ist der erste Baustein einer Methode zur Risikobeurteilung nach dem CRA. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, bestehende Verzeichnisse zu erweitern, statt sie neu aufzubauen.