CRA · Produkt- & Lieferanten-Compliance
Produkte mit digitalen Elementen: Meldepflichten ab 11.09.2026 im Griff, Produktregister mit Lieferanten verknüpft.
Der Cyber Resilience Act betrifft nicht nur Hersteller reiner Software.
Der Cyber Resilience Act (VO (EU) 2024/2847) gilt für praktisch jedes Produkt mit digitalen Elementen, das in der EU in Verkehr gebracht wird — von IoT-Geräten über Industriesteuerungen bis zu eigenständiger Software. Die Meldepflichten aus Art. 14 gelten bereits ab dem 11.09.2026, deutlich vor der vollen Geltung der übrigen Pflichten (CE-Konformität, technische Dokumentation, SBOM) ab dem 11.12.2027 — wer erst 2027 anfängt, verpasst die erste Frist.
Zwei Uhren laufen parallel und lassen sich unter Zeitdruck leicht verwechseln: eine aktiv ausgenutzte Schwachstelle ist binnen 24 Stunden als Frühwarnung und binnen 72 Stunden als vollständige Meldung an das koordinierende CSIRT und die ENISA zu melden (Art. 14 Abs. 1–4); ein schwerwiegender Vorfall mit Auswirkung auf die Produktsicherheit folgt demselben Rhythmus, aber eigenen inhaltlichen Anforderungen (Art. 14 Abs. 5–8). Ohne dediziertes Tooling läuft das über E-Mails und improvisierte Vorlagen — genau dort, wo unter Zeitdruck am meisten übersehen wird.
Dazu kommt die Lieferkette: Wer Komponenten Dritter integriert — auch Open Source —, muss deren Sicherheitsanforderungen nachhalten (Art. 13 Abs. 5–6) und je Produkt eine maschinenlesbare Software-Stückliste (SBOM) führen. Was zählt, ist ein Register, das Klassifizierung, Meldeuhr, Schwachstellenmanagement und Lieferantenbezug aus einer Datenbasis bedient — statt vier getrennte Tabellen, die vor jedem Audit neu zusammengesucht werden.
Sechs Bausteine für Meldepflicht heute und CE-Konformität ab 2027.
Produktregister mit CRA-Klassifizierung (Anhang III/IV)
Jedes Produkt mit digitalen Elementen wird erfasst und nach Anhang III (wichtige Produkte Klasse I/II) oder Anhang IV (kritische Produkte) eingestuft — mit nachvollziehbarer Begründung statt Bauchentscheidung.
Meldeuhr 24 h / 72 h an CSIRT/ENISA
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle laufen ab Erkennung mit sichtbarem Countdown für Frühwarnung, Meldung und Abschlussbericht — getrennt nach Meldegrund, mit den jeweils geforderten Feldern.
Schwachstellenmanagement & koordinierte Offenlegung
Eine Coordinated-Disclosure-Policy mit fester Kontaktstelle und ein Protokoll aller behandelten Schwachstellen über den gesamten Supportzeitraum — Nachweis statt Ad-hoc-Prozess.
SBOM je Produkt (CycloneDX/SPDX)
Eine maschinenlesbare Software-Stückliste je Produkt, mindestens die obersten Abhängigkeitsebenen — importierbar statt manuell gepflegt, und direkt mit dem Produktregister verknüpft.
Lieferanten-Flow-down zum Lieferantenregister
Sicherheitsanforderungen an Zulieferer — auch für integrierte Open-Source-Komponenten — werden aus demselben Lieferantenregister nachgehalten, das auch für DORA und NIS2 zählt, statt separat gepflegt zu werden.
Technische Dokumentation & Supportzeitraum-Tracking
Der Supportzeitraum je Produkt (mind. 5 Jahre, sofern die Nutzungsdauer nicht kürzer ist) und die technische Dokumentation nach Anhang VII werden mitgeführt — Grundlage für die CE-Konformitätsbewertung ab 11.12.2027.
Mehr zum CRA und zur Engine dahinter.
Wie Lieferanten-Flow-down und Konzentrationsrisiko-Analyse auf demselben Register aufsetzen.
Funktion im Detail →Wie Lieferantenregister, Security Ratings und Risikobewertung zusammenspielen.
Funktion im Detail →