Engineering-Blog
Technische Einblicke in die koordinierte Offenlegung von Schwachstellen, CRA-Konformität und Produktsicherheitstechnik.
Die CVD Portal Academy bietet jetzt zwei Tabletop-Übungen zum Cyber Resilience Act. Eine kostenlose Browser-Übung mit acht zeitgesteuerten Injects und eine Enterprise-Version mit einer KI-Spielleitung, die das Szenario aus den eigenen Produkten des Herstellers aufbaut.
Eine CRA-Risikobeurteilung muss die eigene Festlegung des Herstellers sein, und das ist das stärkste Argument für das leere Dokument. Das Problem liegt darin, wofür ein leeres Dokument selektiert. Teams schreiben die Bedrohungen auf, über die sie ohnehin sprechen, und übersehen die Schnittstelle ohne Zuständigen, den Außerbetriebnahmepfad und den Fehler, der erst in der Fläche auftritt. Wozu ein Entwurf dient und welche eine Eigenschaft er braucht.
Die meisten Hersteller behandeln die technische Dokumentation als Schreibprojekt. Sie ist zuerst ein Zuordnungsprojekt. Anhang VII verlangt den Nachweis, dass bestimmte Belege bestimmte grundlegende Anforderungen erfüllen, und die Architekturdiagramme, Prüfberichte und Benutzerdokumente, die diesen Nachweis führen, existieren meist längst. Warum die Zuordnung der schwierige Teil ist und warum eine Lückenliste vor der Zuordnung das Falsche misst.
Der CRA macht die technische Dokumentation, die Risikobewertung und die EU-Konformitätserklärung zu lebenden Dokumenten. Artikel 31(2) verlangt kontinuierliche Aktualisierung, Artikel 13(3) verlangt Aktualisierung während des Unterstützungszeitraums, und die Marktüberwachung kann die Unterlagen noch ein Jahrzehnt später anfordern. Hier sind die Aktualisierungspflichten, die auslösenden Ereignisse und ein Rhythmus, der eine Prüfung übersteht.
Artikel 13 verlangt eine dokumentierte Cybersicherheits-Risikobewertung, und der europäische Normentwurf prEN 40000-1-2 beschreibt den Prozess, mit dem ein Hersteller sie erstellen sollte. Dieser Beitrag zeigt Schritt für Schritt, wie dieser Prozess im Produkt-Workspace von CVD Portal abläuft, vom Produktkontext und den Risikoakzeptanzkriterien bis zur Anwendbarkeitstabelle für Anhang I, und ordnet jeden Schritt der Verordnung und den Abschnitten des Normentwurfs zu.
Bug Bountys bezahlen Forscher für valide Meldungen. Der CRA verlangt sie nicht, wohl aber eine Richtlinie zur koordinierten Offenlegung von Schwachstellen. Hier ist, wie die beiden Ansätze zusammenhängen, was CVD Portal als Offenlegungsebene bereitstellt und wie KI-Triage mit wachsendem Meldevolumen Schritt hält.
Die Niederlande haben die NIS2-Umsetzungsfrist um fast zwei Jahre verpasst. Nun hat die Cyberbeveiligingswet das Abgeordnetenhaus passiert, und die Regierung strebt das Inkrafttreten zum 1. Juli 2026 an. Vier durchsetzungsrelevante Pflichten, einschließlich persönlicher Haftung der Geschäftsleitung, verändern gerade die Arbeit niederländischer Vorstände.
Ein einziges Sicherheitsereignis kann drei Rechtsuhren zugleich starten. CRA, NIS2 und DSGVO verlangen jeweils eine Meldung mit eigener Frist, an eigene Behörde, in eigenem Format. Hier steht, wie sich die Pflichten überschneiden und warum ein Hersteller einen einzigen Ort braucht, um sie zu verfolgen.
Die Meldepflichten des CRA treten nicht zusammen mit dem Rest der Verordnung in Kraft. Artikel 14 gilt ab dem 11. September 2026, vor der vollständigen Konformität im Dezember 2027, und er bindet Hersteller in dem Moment, in dem ein Produkt aktiv ausgenutzt wird. Hier steht genau, wann die Pflicht beginnt und wen sie bindet.
Die meisten Schwachstellen, die ein Hersteller bearbeitet, lösen nie eine Meldung an Behörden aus. Die Pflicht aus Artikel 14 des CRA ist eng gefasst: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Produktsicherheit beeinträchtigen. Hier steht, wie man erkennt, was in den Anwendungsbereich fällt, mit durchgearbeiteten Beispielen und einem Entscheidungsrahmen.
Artikel 14 ist eine dreistufige Kaskade: eine Frühwarnung nach 24 Stunden, eine detaillierte Meldung nach 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen oder einem Monat. Hier steht, was jede Stufe enthalten muss, wann die Uhr beginnt und welche Folgepflichten nach dem Abschlussbericht weiterbestehen.
Tritt ein Artikel-14-Ereignis ein, meldet ein Hersteller nicht an eine einzige Behörde. Der CRA leitet Meldungen über eine zentrale Plattform zugleich an ENISA und das zuständige nationale CSIRT. Hier steht, wie diese Architektur funktioniert, wer was erhält und wie die Weiterleitung fließt.
Open Bug Bounty und CVD Portal befassen sich beide mit der Offenlegung von Schwachstellen, dienen aber völlig unterschiedlichen Zwecken. Das eine ist ein von der Community getragenes Meldenetzwerk, das andere ein Werkzeug zur Einhaltung von Vorschriften, gebaut für den europäischen Markt.
Die 24-Stunden-Uhr des CRA wird in Ihrer eigenen Organisation gewonnen oder verloren, lange bevor eine Meldung ENISA erreicht. Dies ist ein praktischer Leitfaden zu den Erkennungsquellen, Eskalationswegen und Entscheidungsbefugnissen, die aus einem vagen Signal um 2 Uhr nachts eine rechtzeitig eingereichte Frühwarnung machen.
Die Meldung nach Artikel 14 sollte das sichtbare Ergebnis eines gesunden Produktsicherheitsprogramms sein, kein Anhängsel. Dieser abschließende Beitrag zeigt, wie die Meldung mit der Schwachstellenbehandlung, dem SBOM, der sicheren Entwicklung und der Marktüberwachung zusammenhängt, sodass die Einreichung einer Meldung ein Nebenprodukt davon ist, den Rest gut zu machen.
NIS2 teilt die koordinierte Offenlegung von Schwachstellen zwischen einer nationalen CSIRT-Ebene und einer organisatorischen Ebene auf. Hier steht, was eine konforme CVD-Richtlinie enthalten soll, wie der Prozess im Tagesgeschäft laufen sollte und wie er die Grundlage für das schafft, was der CRA verlangen wird.
Eine Mitteilung des Teams von Porta Regulus BV dazu, warum CVD Portal existiert, warum die Artikel-14-Stufe für September 2026 dauerhaft kostenlos ist und wie wir die Fristen September 2026 und Dezember 2027 im Produktmodell getrennt haben.
Eine belastbare Drei-Punkt-PERT-Schätzung dafür, was es einen EU-KMU-Hersteller tatsächlich kostet, die CRA-Meldefrist nach Artikel 14 am 11. September 2026 einzuhalten. Erwartete Kosten: rund 39.700 Euro mit einem 90-%-Intervall von 33.900 bis 45.500 Euro.
Der CRA trennt die Schwachstellenmeldung von der Vorfallmeldung, setzt für jede eigene Fristen und leitet Meldungen über die zentrale Meldeplattform an ENISA und nationale Behörden. Hier steht, was für Ihre Produkte gilt, wann es beginnt und welche internen Prozesse Sie vor September 2026 brauchen.
Der CRA verlangt, dass Sicherheit von den frühesten Phasen der Produktentwicklung an integriert und nicht am Ende hinzugefügt wird. Risikoanalyse, Bedrohungsmodellierung, statische und dynamische Tests und die Übersetzung technischer Erkenntnisse in Compliance-Nachweise sind nun Entwicklungspflichten, keine optionalen Praktiken.
Für Hersteller mit mehreren Produkten oder PDE-Versionen ist die CRA-Konformität kein einmaliges Projekt, sondern ein fortlaufender Prozess. Bewertungen nach Produktlinie zu strukturieren, mit Reifegradbewertung den Fortschritt zu verfolgen und eine konsistente, prüffähige Beweissammlung zu pflegen, unterscheidet wiederholbare Compliance von einmaligen Häkchen-Übungen.
LLMs haben die Entdeckung von Schwachstellen und die Entwicklung von Exploits auf nahezu null verdichtet. Von gleichzeitiger Fehlerentdeckung bis zu 30-minütigen Pipelines vom Patch zum Exploit halten die Annahmen hinter klassischen CVD-Sperrfristen nicht mehr stand.
Anhang VII des CRA legt fest, welche technische Dokumentation ein Hersteller erstellen und pflegen muss. Zu verstehen, welche Dokumente für Ihre Produktklasse erforderlich sind, wie sie mit Risikobewertungen und Lebenszyklusentscheidungen zusammenhängen und wann sie erstellt oder aktualisiert werden müssen, ist vor der Konformitätsfrist im Dezember 2027 unerlässlich.
Die meisten Produkte mit digitalen Elementen kommen unter dem CRA für die Selbsterklärung in Frage, doch der Beweisstandard ist nicht trivial. Die Produktklassifizierung bestimmt den Weg, Risikobewertungen müssen mit den grundlegenden Anforderungen verknüpft sein, und Prozesse zur Schwachstellenbehandlung müssen dokumentiert sein, bevor eine Konformitätserklärung unterzeichnet werden kann.
Ein Herstellerleitfaden zu den vier CRA-Wegen der Konformitätsbewertung: von der Selbstbewertung nach Modul A über die EU-Baumusterprüfung durch eine notifizierte Stelle und die umfassende Qualitätssicherung nach Modul H bis zur EUCC-Zertifizierung für kritische Produkte. Die Produktklassifizierung bestimmt, welcher Weg gilt.
ENISAs Leiter der Schwachstellendienste darüber, warum das CVE-Programm eine verteilte Governance braucht, wie die zentrale CRA-Meldeplattform die Pflichten der Hersteller verändert und warum die richtige Handhabung der Schwachstellenoffenlegung nun ein Wettbewerbsvorteil ist.
Die Durchsetzung von Artikel 14 beginnt am 11. September 2026, für Produkte, die bereits auf dem Markt sind. Hier steht genau, welche Infrastruktur Hersteller, Einführer und Händler vor der Frist bereithalten müssen: VDP, Triage-Befugnis, Meldekaskade und Prüfpfad.
Der CRA zieht eine scharfe rechtliche Grenze zwischen „ausnutzbaren“ und „aktiv ausgenutzten“ Schwachstellen, mit sehr unterschiedlichen Folgen für jede. Wir schlüsseln den dreistufigen Pflichtenrahmen auf, was die EUVD abdeckt und was nicht, und die Meldefristen ab dem 11. September 2026, die auch bereits auf dem Markt befindliche Produkte erfassen.
Der EU Cyber Resilience Act schafft den ersten verpflichtenden Rahmen zur Schwachstellenbehandlung für Produkte mit digitalen Elementen. Wir schlüsseln die 26 Artikel auf, die wichtigsten Fristen und die praktischen Schritte, die Hersteller heute zur Vorbereitung gehen sollten.
Eine Schritt-für-Schritt-Begehung des gesamten CVD-Lebenszyklus: Entgegennahme einer Forschermeldung, Triage mit CVSS, Abstimmung mit Upstream-Maintainern, Entwicklung einer Korrektur und Veröffentlichung einer CSAF-Sicherheitsmeldung. Mit Erwartungen an den Zeitplan und häufigen Fallstricken.
Der CRA schreibt Software-Stücklisten für alle Produkte mit digitalen Elementen vor. Aber ein SBOM ist nicht nur ein Compliance-Häkchen, es ist die Grundlage für Schwachstellenkorrelation, Lieferkettenrisikomanagement und Reaktion auf Vorfälle. Hier steht, wie man es richtig macht.
Entdeckt ein Hersteller eine aktiv ausgenutzte Schwachstelle, verlangt der CRA eine Frühwarnung an das zuständige CSIRT innerhalb von 24 Stunden. Wir untersuchen, wie diese Pflicht funktioniert, was sie auslöst und wie man einen internen Prozess aufbaut, der die Frist jedes Mal einhält.
Den meisten KMU, die in den EU-Markt verkaufen, fehlt ein dediziertes PSIRT. Da die CRA-Durchsetzungsfrist näher rückt, finden Sie hier einen praktischen Leitfaden zum Aufbau von Fähigkeiten zur Schwachstellenbehandlung: Rollen, Werkzeuge, Prozesse und das minimal tragfähige PSIRT.
Das OASIS Common Security Advisory Framework (CSAF) 2.0 wird zum Standard für maschinenlesbare Schwachstellenmeldungen. Wir erklären das Format, seine Beziehung zum CRA und wie CVD Portal CSAF-Meldungen automatisch erzeugt.
Eine kurze E-Mail zu den Meldepflichten des Cyber Resilience Act und dem Countdown bis zum 11. September 2026.
Wir verwenden Ihre E-Mail nur für das Briefing. Jederzeit mit einem Klick abbestellbar.