Banking-Apps, TAN-Apps und Zahlungskarten können unter den CRA fallen

Damit wird die Verordnung auch für Finanzunternehmen relevant. Und sie dürfte bald auf eurem Schreibtisch landen, wenn sie dort nicht längst liegt. 😅

Deshalb gibt es heute gute Nachrichten: Der CRA Deep Dive ist da!

⏳ Vollständig gilt der CRA ab dem 11.12.2027. Die ersten Pflichten greifen allerdings schon: Seit dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das gilt auch für Produkte, die bereits auf dem Markt sind.

Beim Vergleich mit DORA fällt ein Unterschied besonders auf: DORA richtet den Blick auf die Resilienz des Finanzunternehmens. Der CRA richtet ihn auf die Cybersicherheit des Produkts.

Strategie, Governance und Leitungsorgan stehen deshalb beim CRA nicht im Mittelpunkt.

🔎 Dafür kommen Aufgaben hinzu, die vielen Fachleuten aus IT-Compliance, Informationssicherheit oder IKT-Risikomanagement weniger vertraut sein dürften: Betroffenheitsprüfung, Produkteinstufung, Konformitätsbewertung, CE-Kennzeichnung und Produktrückrufe.

Daneben gibt es viel Vertrautes. Die grundlegenden Cybersicherheitsanforderungen umfassen unter anderem Schwachstellen- und Patch-Management, Zugriffsschutz, Kryptografie und Protokollierung.

Der CRA bringt damit zwei Bereiche zusammen, die in vielen Finanzunternehmen bisher getrennt betrachtet werden: Cybersicherheit und Produkt-Compliance.

🎯 Der CRA Deep Dive zeigt in kompakter Form, welche Pflichten und Handlungsfelder zu beachten sind. Er bietet eine erste Orientierung für alle, die jetzt mit der CRA-Umsetzung beginnen oder sie vorbereiten.