Eine Norm sagt, was Sie nachweisen müssen. Sie sagt nicht, wie Sie diesen Nachweis aktuell, vollständig und prüfbar halten.
Compliance dokumentiert
- ✓ Bedrohungsanalyse als Excel-Tabelle
- ✓ Anforderungen aus 62443 / CRA als Word-Liste
- ✓ Risikobewertung über mehrere Dateien verteilt
- ✓ Freigaben per E-Mail dokumentiert
- ✓ Report für jedes Audit neu zusammenkopiert
Compliance belegt
- ? Welche Version der Analyse gilt eigentlich?
- ? Ist jede Anforderung nachweislich abgedeckt — oder nur „sollte passen"?
- ? Wurde nach der Freigabe noch etwas geändert?
- ? Lässt sich die Risikoentscheidung lückenlos herleiten?
- ? Bei jeder Produktvariante alles von vorn?
Diese Lücke zwischen „haben wir dokumentiert" und „können wir belegen" ist das eigentliche Risiko — und der Ansatzpunkt des TRA-Workshops, durchgeführt in TRA Studio.
Normen ändern sich. Ihr Nachweis muss mitwachsen.
Was immer als Nächstes verbindlich wird — der Nachweis muss aktuell, versioniert und prüfbar bleiben. Genau dafür ist TRA Studio gebaut.
IEC 62443
Heute etablierter Standard für industrielle Cybersicherheit. 4-1 (Prozess) + 4-2 (technische Controls).
Cyber Resilience Act
Meldepflichten: 11.09.2026 · Hauptpflichten: 11.12.2027.
Einordnung: Harmonisierte CRA-Normen in Entwicklung (CEN/CENELEC), voraussichtlich auf Basis IEC 62443.
Harmonisierte Normen
Einordnung: In Entwicklung. Was auch immer folgt — der Kern bleibt: ein Nachweis, der aktuell und lückenlos belegbar ist.
„Wer seine Nachweise heute prüfbar führt, ist normfest — egal welche Norm als Nächstes verbindlich wird."
Wie belastbar ist Ihre Bedrohungs- & Risikoanalyse?
Der TRA-Reifecheck in zwei Teilen: wie systematisch Sie Bedrohungen und Risiken analysieren (TRA-Methodenreife) — und wie aktuell, nachvollziehbar und prüfbar dieser Nachweis heute wirklich ist (Nachweis-Belastbarkeit).
Der TRA-Workshop
Ein moderierter Workshop, in dem wir die TRA-Methodik an Ihrem echten Produkt erarbeiten — live in TRA Studio, gemeinsam mit Ihrem Team. Sie lernen das Vorgehen nicht am Lehrbeispiel, sondern an Ihrem Leitprodukt, und nehmen einen belastbaren Einstieg mit: abgegrenzter Scope, erste bewertete Bedrohungen und ein Verfahren, das Ihr Team selbst fortführt. Für Entwicklungsleitung, Produktsicherheitsverantwortliche und Embedded-/Firmware-Architektur.
Methodik an Ihrem Produkt
Wir grenzen Scope, Betriebsumgebung, Schutzziele und Komponenten Ihres Leitprodukts ab und gehen die Bedrohungsidentifikation an den relevanten Schnittstellen gemeinsam durch (Interfaces, Schwachstellen, Kataloge wie MITRE ATT&CK for ICS). Die Bewertung nach Exposure × Exploitability × Impact kalibrieren wir an Ihren Beispielen, bis sie im Team reproduzierbar sitzt.
Behandeln, priorisiert & belegt
An den bewerteten Risiken üben wir die Behandlungsentscheidung — mindern, vermeiden, akzeptieren — samt Residualrisiko und Begründung. Daraus entsteht ein priorisierter Maßnahmenplan zu den identifizierten Punkten und ein realistisches Bild davon, welcher Aufwand für die vollständige Analyse noch vor Ihnen liegt.
Das nehmen Sie konkret mit:
Bewertete Bedrohungen als Startpunkt
Erste reale Bedrohungen Ihres Leitprodukts, bewertet nach einem Verfahren, das Ihr Team danach selbst anwendet.
Maßnahmen- & Behandlungsplan
Priorisierte Maßnahmen zu den im Workshop identifizierten Risiken — mit Residualrisiko, Verantwortlichkeiten und Aufwand.
Methodik & Arbeitsstand
Das dokumentierte Vorgehen und Ihr Arbeitsstand in TRA Studio — die Grundlage, auf der die vollständige Analyse entsteht. Den Stand behalten Sie.
Was der Workshop nicht ist
Keine fertige, vollständige Bedrohungs- und Risikoanalyse. Eine vollständige TRA über ein reales Produkt ist deutlich arbeitsintensiver und in 2–3 Tage nicht zu leisten. Der Workshop vermittelt die Methodik am eigenen Produkt und schafft den belastbaren Einstieg — die vollständige Analyse entsteht danach, im Team oder gemeinsam mit uns.
Ausbaupfad
Je nach Ergebnis gehen wir nahtlos in die Umsetzung — technisch am Produkt und organisatorisch im Nachweis, laufend prüfbar mit TRA Studio:
Häufige Fragen
Wir dokumentieren doch alles — wo ist das Problem? +
Dokumentation ist nicht dasselbe wie ein belastbarer Nachweis. Bedrohungsanalyse in Excel, Anforderungen in Word, Risikobewertung über mehrere Dateien, Freigaben per E-Mail: Beim Audit lässt sich damit oft nicht zweifelsfrei zeigen, welche Version gilt, ob jede Anforderung wirklich abgedeckt ist und ob nach der Freigabe noch etwas geändert wurde. Diese Lücke zwischen „haben wir" und „können wir belegen" ist das eigentliche Risiko.
Was passiert im TRA-Workshop genau? +
Wir erarbeiten die TRA-Methodik an Ihrem Leitprodukt, gemeinsam mit Ihrem Team: Scope und Betriebsumgebung abgrenzen, Schutzziele und Komponenten erfassen, Bedrohungen an den relevanten Schnittstellen identifizieren (Interfaces, Schwachstellen, Kataloge wie MITRE ATT&CK for ICS) und die Risikobewertung an konkreten Beispielen kalibrieren, bis sie im Team reproduzierbar ist. Sie gehen mit ersten bewerteten Risiken, einem priorisierten Maßnahmenplan zu diesen Punkten und einem Verfahren heraus, das Sie selbst fortführen.
Habe ich nach dem Workshop eine fertige TRA? +
Nein — und das wäre unseriös zu versprechen. Eine vollständige Bedrohungs- und Risikoanalyse für ein reales Produkt ist deutlich arbeitsintensiver, als sich in zwei bis drei Tagen leisten lässt. Der Workshop vermittelt die Methodik am eigenen Produkt, liefert einen abgegrenzten Scope, erste bewertete Bedrohungen und einen realistischen Aufwandsblick für den Rest. Die vollständige Analyse entsteht danach — entweder in Ihrem Team oder gemeinsam mit uns.
Brauche ich die Software, um am Workshop teilzunehmen? +
Nein. Wir bringen die Software TRA Studio zum Workshop mit und arbeiten Ihre Analyse gemeinsam darin aus — Sie müssen nichts installieren oder lizenzieren. Den erarbeiteten Stand behalten Sie. Wenn Sie die Analyse danach selbst aktuell und prüfbar weiterführen möchten, lässt sich TRA Studio als Desktop-, On-Premises- oder Cloud-Variante nahtlos übernehmen.
Warum reicht ein dokumentierter Prozess nicht? +
IEC 62443 und der Cyber Resilience Act verlangen einen aktuellen, nachvollziehbaren Nachweis — nicht nur eine Ablage. Auditoren und Zertifizierungsstellen prüfen, ob sich Anforderungsabdeckung und Risikoentscheidungen lückenlos herleiten lassen und ob der freigegebene Stand unverändert ist. Der Bruch zwischen Dokument und belegbarem Stand ist der häufigste Befund in unseren Assessments.
Was kostet der TRA-Workshop und wie lange dauert er? +
Richtwert: ca. 2–3 Tage. Preis: ab 1.200 € / Tag. Der genaue Umfang hängt von der Komplexität Ihres Produkts ab — sprechen Sie uns an für ein konkretes Angebot.
Bringt mich das Richtung CRA-Konformität oder Zertifizierung? +
Eine aktuelle, prüfbare Bedrohungs- und Risikoanalyse ist das Fundament — sie erfüllt die im CRA (Annex I) geforderte Risikobewertung und deckt die Secure-by-Design- und Schwachstellenmanagement-Anforderungen nachvollziehbar ab. Das gilt ebenso für IEC 62443 und kommende harmonisierte Normen. Zertifizierung und Zulassung sind separate Schritte, auf die wir im Ausbaupfad vorbereiten können.
TRA-Workshop anfragen
Bereit, aus verstreuten Nachweisen eine belastbare, prüfbare Bedrohungs- und Risikoanalyse zu machen? Sprechen Sie uns an.