Digitale Produkte beruhen auf komplexen, globalen Software-Lieferketten mit hohem Anteil an Open-Source-Komponenten. Der CRA verpflichtet Hersteller, Risiken entlang der Lieferkette systematisch zu identifizieren, zu bewerten und über den Produktlebenszyklus hinweg zu beherrschen. Gerade im Embedded-Umfeld sind Produkte häufig durch lange Lebenszyklen, komplexe Abhängigkeiten und eingeschränkte Update-Mechanismen geprägt. Für KMU treffen hier wachsende regulatorische Anforderungen auf begrenzte Ressourcen. Der Vortrag zeigt praxisnah, wie CRA-Anforderungen in Entwicklungs- und Build-Prozesse integriert werden können und wie technische und rechtliche Aspekte zusammenwirken. Vorgestellt wird das EU-geförderte Projekt OCCTET mit einer offenen, modularen Werkzeugkette für Scope, SBOM, Schwachstellenanalyse, CI/CD und Lifecycle-Monitoring.