Warum CRA und DevSecOps zusammengehören

14.08.2026 | Ab dem 11. Dezember 2027 dürfen in der EU nur noch «Produkte mit digitalen Elementen» mit CE-Kennzeichnung verkauft werden, die den Cyber Resilience Act (CRA) erfüllen. Für Maschinenbauer und Industrieausrüster bedeutet das oft grundlegende Neuprogrammierungen, Hardware-Upgrades oder komplette Neuentwicklungen. Wie sich «Security by Design» dabei nicht als einmaliges Projekt, sondern als kontinuierlicher Prozess umsetzen lässt, zeigt Teil 2 unserer Artikelserie «CRA-Compliance in der Praxis».

Nachdem Teil 1 der Serie die Dringlichkeit einer strukturierten Bedrohungsanalyse nach dem TARA-Standard aufgezeigt hat, geht Teil 2 einen Schritt weiter: Wie können Unternehmen «Security by Design» dauerhaft in ihrem Entwicklungsprozess verankern? Die Antwort der Grossenbacher Systeme AG lautet DevSecOps – die Erweiterung des etablierten DevOps-Ansatzes um Sicherheitsaspekte. Diese ziehen sich durch alle Ebenen eines Systems: vom Hardware-Fundament mit TPM-Modul über ein abgesichertes Updateportal bis zum Secure Boot gemäss UEFI-Spezifikation.

Anschaulich wird DevSecOps als «liegende Acht» mit acht Phasen dargestellt, von Plan über Develop, Build, Test, Release, Deploy, Operate bis Monitor. Jede Phase liefert Ergebnisse, die kontinuierlich in die nächste Entwicklungsiteration einfliessen. Damit wird Sicherheit nicht mehr punktuell am Projektende geprüft, sondern durchgängig mitgedacht – inklusive einer erneuten, dauerhaften Bedrohungsanalyse nach TARA als fester Bestandteil des Kreislaufs.

Die liegende Acht symbolisiert den geschlossenen Kreislauf der DevSecOps-Entwicklung.

Erfahren Sie mehr in unserem vollständigen Fachartikel in der Fachzeitschrift "Computer&Automation": Warum CRA und DevSecOps zusammengehören (PDF)