Zum Inhalt springen
ReadinessNavigator
EnglishDeutsch

Leistungen · Demnächst verfügbar

Due Diligence für Produkt- und OT-Sicherheit

Geplant: ein unabhängiger Blick auf Produktsicherheit, Entwicklungsprozess und OT-Umgebung eines Herstellers im Rahmen einer Transaktion, mit den CRA-Lücken, die ein Käufer übernehmen würde, und dem voraussichtlichen Aufwand, sie zu schließen.

Wer einen Hersteller kauft, kauft seine CRA-Pflichten mit

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die ihre Produkte betreffen, auch bei Produkten, die bereits auf dem Markt sind. Ab dem 11. Dezember 2027 gilt der Cyber Resilience Act vollständig. Wechselt ein Unternehmen den Eigentümer, bleiben diese Pflichten bei seinen Produkten. Eine Lücke in der Produktsicherheit, die erst nach dem Closing auffällt, wird zu Integrationskosten; vor dem Signing gefunden, lässt sie sich einpreisen, offenlegen oder zur Bedingung machen.

Zwei Varianten

Für Käufer

Red-Flag-Prüfung während der Transaktion

Eine fokussierte Prüfung im Zeitrahmen der Transaktion, auf Grundlage von Datenraum, Gesprächen mit dem Management und Stichproben aus den Nachweisen.

  • Befunde nach ihrer Bedeutung für die Transaktion bewertet, jeweils mit den zugrunde liegenden Nachweisen und dem, was nicht einsehbar war
  • Aufwands- und Kostenspannen für das Schließen der Lücken, vor und nach Dezember 2027
  • Hinweise für Ihre Anwälte zu Garantien, Offenlegungen und Bedingungen
  • Optional nach dem Closing: eine bestätigende Prüfung mit vollem Zugang und ein 100-Tage-Plan
Für Verkäufer

Vorbereitung vor dem Verkauf

Idealerweise sechs bis zwölf Monate vor Beginn des Verkaufsprozesses, mit vollem Zugang und ohne Termindruck.

  • Was das Due-Diligence-Team eines Käufers voraussichtlich findet, zuerst gefunden
  • Ein Plan: was vor dem Verkauf behoben, was offengelegt wird und was warten kann
  • Unterstützung, während die Lücken geschlossen werden
  • Die Nachweise so aufbereitet, wie Due-Diligence-Teams sie anfordern

Was wir prüfen

  • Produkte und CRA-Position

    Produktübersicht, CRA-Einstufung, Supportzeiträume, Konformitätsweg, technische Dokumentation und ältere Produkte, die noch verkauft werden.

  • Sicherer Entwicklungsprozess

    Wie Produkte entworfen, gebaut, getestet und freigegeben werden, gemessen an IEC 62443-4-1, einschließlich Umfang und Gültigkeit vorhandener Zertifikate.

  • Umgang mit Schwachstellen und Meldungen

    SBOMs je Release, Überwachung, Triage-Aufzeichnungen, Offenlegungsrichtlinie und Sicherheitskontakt sowie die Bereitschaft für die CRA-Meldefristen.

  • OT-Umgebung

    Produktionsnetze, Segmentierung, Fernzugriff für den Service, Altsysteme, Datensicherung und Wiederherstellung, anhand der Konzepte von IEC 62443; NIS2-Status, wo zutreffend.

  • IT, soweit relevant

    Identitäten und Zugriffe, Wiederherstellung und Reaktion auf Vorfälle sowie die Cloud-Dienste, von denen die Produkte abhängen. Eine vollständige IT-Due-Diligence bleibt bei einem IT-Due-Diligence-Anbieter.

Nachweise statt Eindrücke

Jeder Befund nennt die Dokumente, Gespräche oder Stichproben, auf denen er beruht, und jeder Bericht hält fest, was nicht einsehbar war. Vor dem Signing prüfen wir Dokumente und sprechen mit den Verantwortlichen; ohne schriftliche Zustimmung des Zielunternehmens scannen oder testen wir dessen Systeme nicht.

Unabhängig von Anfang an

Wir arbeiten in einer Transaktion nur für eine Seite und nie für zwei konkurrierende Bieter. Unser Honorar hängt nie davon ab, ob oder zu welchem Preis die Transaktion zustande kommt, und Vertraulichkeit wird vereinbart, bevor Informationen ausgetauscht werden.

Was es nicht ist

  • Es ist keine Rechtsberatung: Ihre Anwälte bewerten die Risiken und formulieren die Vertragsklauseln.
  • Es ist kein Penetrationstest, kein Audit und keine Zertifizierung.
  • Es ist keine vollständige IT-Due-Diligence und keine Unternehmensbewertung.
  • Es stellt keine CRA-Konformität fest.

Kontakt

Sie planen eine Transaktion?

Schreiben Sie uns, ob Sie kaufen oder verkaufen, was das Unternehmen herstellt und wie Ihr Zeitplan aussieht. Wir melden uns damit, wie wir vorgehen würden und ob die geplante Leistung passt.

Wir antworten innerhalb von zwei Werktagen.

Vollständige Kontaktdaten
consulting@readinessnavigator.com
Schreiben Sie uns
Ein 30-minütiges Gespräch buchen

Öffnet unsere Terminseite in einem neuen Tab — wählen Sie einen passenden Zeitpunkt.

Nützlich in einer ersten Nachricht

  • Ob Sie kaufen, verkaufen oder einen Verkauf vorbereiten, und ungefähr wann.
  • Was das Unternehmen herstellt: Produkte mit Software, Maschinen, Komponenten oder eine Mischung.
  • Welche Bereiche Ihnen am wichtigsten sind: Produkte, Entwicklung, OT oder alle.
  • Bitte nennen Sie in einer ersten Nachricht keine Firmennamen und keine Details zur Transaktion; Vertraulichkeit vereinbaren wir, bevor Sensibles ausgetauscht wird.

Bitte verzichten Sie in einer ersten Nachricht auf vertrauliche technische Details und Geschäftsgeheimnisse. Nach unserer Antwort vereinbaren wir für Sensibles einen verschlüsselten Kanal.