Sicherheit ab Werk
Auslieferung ohne bekannte ausnutzbare Schwachstellen, sichere Standardkonfiguration, Zugriffsschutz und Verschlüsselung ruhender und übertragener Daten.
Anhang I Teil I CRA
Services / CRA
CRA · Produkt- & Lieferanten-Compliance
Produkte mit digitalen Elementen: Meldepflichten seit 11.09.2026, Produktregister mit Lieferanten verknüpft.
Die Anforderung
Was das Regelwerk verlangt
Adressiert sind Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, branchenunabhängig. Die Verordnung (EU) 2024/2847 ist seit dem 10.12.2024 in Kraft; die Meldepflichten gelten ab dem 11.09.2026, alle übrigen Pflichten ab dem 11.12.2027.
Schwachstellenbehandlung über den Support-Zeitraum
Schwachstellen dokumentieren und beheben, Sicherheitsupdates kostenlos und getrennt ausliefern, eine Kontaktstelle betreiben — mindestens fünf Jahre lang.
Anhang I Teil II CRAMeldepflichten ab 11.09.2026
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle: 24 Stunden Frühwarnung, 72 Stunden Meldung, Abschlussbericht binnen 14 Tagen bzw. einem Monat — an CSIRT und ENISA.
Art. 14 CRASBOM und technische Dokumentation
Eine maschinenlesbare Software-Stückliste mindestens der obersten Abhängigkeitsebene und eine technische Dokumentation — zehn Jahre bzw. für den Support-Zeitraum aufzubewahren.
Anhang VII CRAKonformitätsbewertung und CE-Kennzeichnung
Interne Kontrolle im Regelfall; wichtige und kritische Produkte verlangen strengere Verfahren, teils unter Einbindung einer notifizierten Stelle.
Anhang III, IV CRA
Unsere Lösung
Unsere Antwort: ein Produktregister, das Meldeuhr, Schwachstellen und Lieferanten aus einer Datenbasis bedient.
Der Cyber Resilience Act (VO (EU) 2024/2847) gilt für praktisch jedes Produkt mit digitalen Elementen, das in der EU in Verkehr gebracht wird, von IoT-Geräten über Industriesteuerungen bis zu eigenständiger Software. Die Meldepflichten aus Art. 14 gelten ab dem 11.09.2026, deutlich vor den übrigen Pflichten (CE-Konformität, technische Dokumentation, SBOM) ab dem 11.12.2027. Wer erst 2027 anfängt, verpasst die erste Frist.
Zwei Uhren laufen parallel: eine aktiv ausgenutzte Schwachstelle ist binnen 24 Stunden als Frühwarnung und binnen 72 Stunden als vollständige Meldung an das koordinierende CSIRT und die ENISA zu melden (Art. 14 Abs. 1–4); ein schwerwiegender Vorfall mit Auswirkung auf die Produktsicherheit folgt demselben Rhythmus, aber eigenen inhaltlichen Anforderungen (Art. 14 Abs. 5–8). Vollständigkeit und Fristwahrung müssen belegbar sein.
Dazu die Lieferkette: Wer Komponenten Dritter integriert, auch Open Source, muss deren Sicherheitsanforderungen nachhalten (Art. 13 Abs. 5–6) und je Produkt eine maschinenlesbare Software-Stückliste (SBOM) führen. Gefragt ist ein Register, das Klassifizierung, Meldeuhr, Schwachstellenmanagement und Lieferantenbezug aus einer Datenbasis bedient.
Was Sie bekommen
Die Bausteine für Meldepflicht heute und CE-Konformität ab 2027.
8
Pflichten aus dem Cyber Resilience Act
24 h
bis zur Frühwarnung an CSIRT und ENISA
11.09.2026
ab diesem Tag gelten die Meldepflichten
Kern dieses Service
Produktregister mit CRA-Klassifizierung (Anhang III/IV)
Jedes Produkt mit digitalen Elementen wird erfasst und nach Anhang III (wichtige Produkte Klasse I/II) oder Anhang IV (kritische Produkte) eingestuft mit nachvollziehbarer Begründung.
Meldeuhr 24 h / 72 h an CSIRT/ENISA
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle laufen ab Erkennung mit sichtbarem Countdown für Frühwarnung, Meldung und Abschlussbericht, getrennt nach Meldegrund, mit den jeweils geforderten Feldern.
Schwachstellenmanagement & koordinierte Offenlegung
Eine Coordinated-Disclosure-Policy mit fester Kontaktstelle und ein Protokoll aller behandelten Schwachstellen über den gesamten Supportzeitraum.
SBOM je Produkt (CycloneDX/SPDX)
Eine maschinenlesbare Software-Stückliste je Produkt, mindestens die obersten Abhängigkeitsebenen importierbar und mit dem Produktregister verknüpft.
Lieferanten-Flow-down zum Lieferantenregister
Sicherheitsanforderungen an Zulieferer — auch für integrierte Open-Source-Komponenten — werden aus demselben Lieferantenregister nachgehalten, das auch für DORA und NIS2 zählt.
Technische Dokumentation & Supportzeitraum-Tracking
Der Supportzeitraum je Produkt (mind. 5 Jahre, sofern die Nutzungsdauer nicht kürzer ist) und die technische Dokumentation nach Anhang VII werden mitgeführt, als Grundlage für die CE-Konformitätsbewertung ab 11.12.2027.
Außerdem in diesem Service enthalten
Asset Management
Das Asset-Register ist die gemeinsame Grundlage für Risikobewertung, Schwachstellenmanagement und ISO-27001-Inventarisierung.
Frameworks & Policies
Jede regulatorische Pflicht ist ein eigenes Service, gruppiert nach Framework: NIS2, DORA, ISO 27001, EU AI Act, GDPR und SOC 2 laufen auf demselben Bewertungs-Kern. Eine Kontrolle zählt automatisch über alle gebuchten Services an.
Kontrollen
Alle Controls Ihrer aktivierten Frameworks an einem Ort. Die KI füllt vor, Sie bestätigen und versiegeln; jede Bestätigung wird signiert und WORM-protokolliert.
Plattform & Import
CSV-Massenimport mit Duplikaterkennung, Anbindung bestehender Systeme, kontinuierliches Monitoring, Automatisierungsregeln und Richtlinienmanagement: die operative Basis für alle Framework-Packs.
KI-gestützte Automatisierung
KI schlägt vor, klassifiziert und entwirft. Versiegelt wird ausschließlich nach Ihrer Bestätigung; die KI ersetzt nie die Entscheidung.
Nachweiskette
Jeder Nachweis wird gehasht, mit dem vorherigen Eintrag verkettet, signiert und unabhängig zeitgestempelt. Nachträgliche Veränderung ist erkennbar.
Trust Center
Eine öffentliche, konfigurierbare Seite mit Dokumenten, Ressourcen und datierten Status-Updates. Ihr Compliance-Stand, jederzeit einsehbar, ohne Nachfragen.
Lieferketten-Monitoring
Wissen, welcher Lieferant Sie gefährdet, laufend und nicht nur beim Jahres-Audit. Ab dem ersten aktiven Lieferanten inklusive, ohne separate Buchung.
Lieferanten-Fragebögen
Sicherheitsfragebögen je Lieferant versenden; die Antworten kommen über ein Portal ohne Login zurück. Dieselben Antworten beantworten auch die Fragebögen Ihrer eigenen Kunden.
Reporting & Visualisierung
Readiness, offene Lücken und laufende Fristen, je Framework einzeln: Sichtbar bleibt, welches Regime zurückliegt. Für den internen Blick, ergänzend zum kundenseitigen Trust Center.
Vertiefen
Mehr zum CRA und zur Engine dahinter.
Drittanbieter- & Konzentrationsrisiko
Wie Lieferanten-Flow-down und Konzentrationsrisiko-Analyse auf demselben Register aufsetzen.
Funktion im Detail →
Vendor Intelligence & Risikoregister
Wie Lieferantenregister, Security Ratings und Risikobewertung zusammenspielen.
Funktion im Detail →
Nächster Schritt
Ihr erstes versiegeltes CRA-Produktregister — noch heute.
- Produktregister mit CRA-Klassifizierung (Anhang III/IV)
- Meldeuhr 24 h / 72 h an CSIRT/ENISA
- Schwachstellenmanagement & koordinierte Offenlegung
Ohne Kreditkarte · in wenigen Minuten startklar