Was ist eine Compliance-Plattform für den Cyber Resilience Act (CRA)?
Eine Compliance-Plattform für den Cyber Resilience Act (CRA) deckt jede Pflicht aus der Verordnung (EU) 2024/2847 ab, von der Produktklassifizierung über Anhang I und die EU-Konformitätserklärung bis zur Meldung nach Artikel 14.
Der Markt verkauft meist eine einzelne Scheibe dieser Pflichten. Beratungshäuser verkaufen Stunden, Punktlösungen verkaufen einen Meldeeingang. Diese Seite beschreibt, was eine Plattform abdecken muss, damit ein Hersteller ohne eigenes Compliance-Team den gesamten Weg gehen kann.
Wichtigste Punkte
- Der Cyber Resilience Act (CRA) verlangt sieben zusammenhängende Ergebnisse und nicht ein einzelnes Dokument.
- Ab dem 11. September 2026 gelten die Meldefristen nach Artikel 14 von 24 Stunden, 72 Stunden und 14 Tagen oder einem Monat.
- Ab dem 11. Dezember 2027 gilt das vollständige Konformitätsregime einschließlich CE-Kennzeichnung.
- Standardprodukte können die Selbstbewertung nach Modul A nutzen. Wichtige und kritische Produkte brauchen eine benannte Stelle oder ein europäisches Cybersicherheitszertifizierungsschema.
- Verstöße können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.
Der CRA in einem Absatz
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist am 10. Dezember 2024 in Kraft getreten. Ab dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an ENISA und das zuständige nationale CSIRT, liefern innerhalb von 72 Stunden einen ausführlichen Bericht nach und reichen je nach Auslöser innerhalb von 14 Tagen oder einem Monat einen Abschlussbericht ein. Zusätzlich betreiben sie einen Prozess zur koordinierten Offenlegung von Schwachstellen und veröffentlichen eine Richtlinie nach Artikel 13. Ab dem 11. Dezember 2027 gilt das vollständige Konformitätsregime mit dokumentierter Risikobewertung, den grundlegenden Anforderungen aus Anhang I, technischer Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
Die meisten Produkte qualifizieren sich für die Selbstbewertung nach Modul A (englisch).
CRA-Konformität beginnt mit der SBOM
Die Software-Stückliste (SBOM) ist die Grundlage. Anhang I verlangt, dass ein Hersteller die Komponenten seines Produkts kennt und Schwachstellen darin behandelt. Ohne eine aktuelle SBOM lässt sich weder die Risikobewertung noch die Schwachstellenbehandlung belegen.
SBOM kostenlos auf bekannte CVE prüfenWas eine Plattform ersetzt
Eine Compliance-Plattform für den Cyber Resilience Act ersetzt sechs manuelle Artefakte, nämlich die selbst gebaute Richtlinienseite, das gemeinsame Postfach, die Tabelle zur Bestätigungsverfolgung, manuelle Fristerinnerungen, einzeln geschriebene Sicherheitshinweise und den Ordnerbaum, der die technische Dokumentation ersetzen soll. CVD Portal erzeugt die Artefakte aus einem einzigen erfassten Zustand über 88 CRA-Klauselartefakte und 33 Sicherheitsziele.
| CRA-Pflicht | Ohne Plattform | Mit Compliance-Plattform |
|---|---|---|
| Richtlinie nach Artikel 13 | Selbst gebaute Richtlinienseite und gemeinsames Postfach | Portal in eigener Marke, gehostete Richtlinie, strukturierter Eingang mit PGP |
| Meldung nach Artikel 14 | Manuelle Fristverfolgung in einer Tabelle | Feste Zeitgeber für 24 Stunden, 72 Stunden und Abschlussbericht, SRP-fertiges Paket |
| Risikobewertung nach Artikel 13 | Einzeldokument je Produkt | STRIDE-Bewertung, abgebildet auf die Anforderungen aus Anhang I |
| Technische Dokumentation | Ordnerbaum anstelle der Dokumentation | Index nach Anhang VII und Konformitätserklärung nach Anhang V aus dem erfassten Zustand |
| Sicherheitshinweise | Einzeln geschriebene Dokumente | Maschinenlesbarer CSAF 2.0 Hinweis bei Behebung |
Die Berichte, die sie erzeugen muss
Ein Compliance-Bericht ist unter dem CRA nicht ein Dokument. Es sind sechs Ergebnisse auf unterschiedlichen Uhren. Der Wert einer Plattform liegt darin, alle sechs aus einem Datensatz abzuleiten und nicht aus sechs Tabellen, die sich widersprechen.
| Bericht | Erzeugt wann | Was es ist |
|---|---|---|
| Meldepaket nach Artikel 14 | Aktiv ausgenutzte Schwachstelle oder schwerwiegender Vorfall | Frühwarnung, Meldung nach 72 Stunden und Abschlussbericht, jeweils aus dem Fall zusammengestellt und gegen die eigene Frist gestellt. ENISA bietet keine Schnittstelle zur Einreichung, daher bleibt die Einreichung ein manueller Schritt. |
| CSAF 2.0 Sicherheitshinweis | Behebung wird ausgeliefert | Maschinenlesbarer Sicherheitshinweis in dem Format, das nachgelagerte Abnehmer und Schwachstellendatenbanken ohne Abtippen einlesen. |
| Technische Dokumentation nach Anhang VII | Je Produkt, je Release | Index der technischen Dokumentation, versioniert je Release, mit Momentaufnahmen für die zehnjährige Aufbewahrungspflicht. |
| EU-Konformitätserklärung nach Anhang V | Je Produkt, je Release | Feld für Feld aus der erfassten Klassifizierung, der Risikobewertung und dem Zustand von Anhang I entworfen und nicht abgetippt. |
| Benutzerinformationen nach Anhang II | Je Produkt | Das veröffentlichte Informationsblatt mit der Kontaktstelle für Schwachstellenmeldungen und dem Ende des Unterstützungszeitraums. |
| Export des Auditpfads | Auf Anfrage | Jeder Eingang, jede Bestätigung, jede Statusänderung und jede Einreichung, mit Zeitstempel und Hash-Kette, exportierbar für die Marktüberwachungsbehörde. |
Acht Kriterien für eine echte CRA-Compliance-Plattform
Produktklassifizierung und Konformitätsweg
Die Plattform bestimmt, wo jedes Produkt nach Anhang III und Anhang IV steht, also Standardprodukt, wichtiges Produkt oder kritisches Produkt, und leitet daraus den Konformitätsbewertungsweg nach Artikel 32 ab. Die Entscheidung und ihre Begründung gehören in den Nachweis, weil jedes weitere Artefakt darauf aufbaut.
Risikobewertung der Cybersicherheit
Artikel 13 verlangt je Produkt eine dokumentierte Risikobewertung, die aktuell gehalten und in die technische Dokumentation aufgenommen wird. Eine echte Plattform unterstützt strukturierte Bedrohungsmodellierung mit Bewertung von Eintrittswahrscheinlichkeit und Auswirkung und bildet das Ergebnis auf die Anforderungen aus Anhang I ab.
Nachverfolgung der Anforderungen aus Anhang I und Lückenanalyse
Die grundlegenden Anforderungen aus Anhang I sind der Kern der Konformität. Die Plattform verfolgt den Status jeder Anforderung je Produkt, zeigt die offenen Punkte und verbindet jede Lücke mit einer Handlungsempfehlung und den gesammelten Nachweisen.
Technische Dokumentation und EU-Konformitätserklärung
Die technische Dokumentation nach Anhang VII und die EU-Konformitätserklärung nach Anhang V sind Ergebnisse der Bewertungsarbeit. Eine Plattform entwirft beide aus dem erfassten Zustand, versioniert sie je Release und bewahrt Momentaufnahmen für die zehnjährige Aufbewahrungspflicht auf.
Benutzerinformationen nach Anhang II
Die Informationen und Anleitungen für Benutzer, einschließlich der Kontaktstelle für Schwachstellenmeldungen und des Endes des Unterstützungszeitraums, entstehen aus demselben Datensatz wie die technische Dokumentation. So weicht das veröffentlichte Blatt nie von der dokumentierten Position ab.
Veröffentlichung nach Artikel 13 und zentrale Kontaktstelle
Eine veröffentlichte Richtlinie zur koordinierten Offenlegung unter eigener Marke und ein Kanal, den Sicherheitsforscher wirklich nutzen können. Die Plattform stellt eine Adresse in eigener Marke, eine gehostete Richtlinienseite, ein strukturiertes Meldeformular, PGP-Unterstützung und eine Zusicherung zum Schutz der Meldenden bereit.
Meldekaskade nach Artikel 14
Dreistufige Meldung an ENISA und das zuständige nationale CSIRT, also Frühwarnung nach 24 Stunden, ausführliche Meldung nach 72 Stunden und Abschlussbericht. Die Plattform verfolgt diese Fristen mit festen Zeitgebern, führt den Ablauf vom Eingang bis zur Behördenmeldung und erzeugt ein SRP-fertiges Paket. ENISA bietet derzeit keine Schnittstelle zur Einreichung, daher bleibt ein manueller Schritt.
Auditfähige Aufzeichnungen, CSAF 2.0 und EU-Datenhaltung
Jeder Eingang, jede Bestätigung, jede Statusänderung und jede Meldung trägt einen Zeitstempel und ist exportierbar. Bei einer ausgelieferten Behebung erzeugt die Plattform einen maschinenlesbaren CSAF 2.0 Hinweis. Daten über ausgenutzte Schwachstellen in EU-Produkten bleiben standardmäßig in der EU.
Häufige Fragen
Was ist eine CRA-Compliance-Plattform?
Eine CRA-Compliance-Plattform hilft Herstellern, die Anforderungen der Verordnung (EU) 2024/2847 zu erfüllen. Sie verwaltet Produktklassifizierung, Risikobewertungen, die Sicherheitsanforderungen aus Anhang I, die technische Dokumentation nach Anhang VII und die EU-Konformitätserklärungen. Sie setzt außerdem die Offenlegungsrichtlinie nach Artikel 13, die Behördenmeldung nach Artikel 14 und maschinenlesbare CSAF 2.0 Hinweise in Betrieb.
Ab wann gilt der Cyber Resilience Act?
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026. Die vollständige Verordnung gilt ab dem 11. Dezember 2027. Hersteller sollten ihre Offenlegungsrichtlinie und ihren Meldeeingang vor September 2026 einrichten.
Für wen gilt der CRA?
Jeder Hersteller, Importeur oder Händler, der Produkte mit digitalen Elementen in der EU auf den Markt bringt, fällt in den Anwendungsbereich. Dazu gehören vernetzte Hardware, eigenständige Software und Komponenten zur Fernverarbeitung von Daten, die für den Betrieb des Produkts erforderlich sind.
Brauche ich eine bezahlte Plattform für ein einfaches Produkt?
Nicht zwingend. Der CRA schreibt einen konformen Prozess vor und keinen bestimmten Anbieter. Eine Plattform senkt den Verwaltungsaufwand und führt den Auditpfad. Für ein kleines Unternehmen mit einer Produktlinie deckt die kostenlose Stufe die Grundlage nach Artikel 13 ab.
Was passiert ohne Richtlinie zur koordinierten Offenlegung?
Verstöße können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Nationale Marktüberwachungsbehörden können zusätzlich den Verkauf eines Produkts in der EU untersagen.
Ist CVD Portal eine CRA-Compliance-Plattform?
Ja. CVD Portal deckt Klassifizierung, STRIDE-Risikobewertung, Prüflisten zu Anhang I, den Entwurf der technischen Dokumentation und die EU-Konformitätserklärung ab. Der Empfang von Schwachstellenmeldungen ist dauerhaft kostenlos.
Automatisiert eine CRA-Compliance-Plattform die Schwachstellenmeldung?
Ja. Eine CRA-Compliance-Plattform erfasst Meldungen am Eingang, verfolgt die gesetzlichen Fristen nach Artikel 14 automatisch und erzeugt Meldepakete für ENISA und die nationalen CSIRT. CVD Portal verfolgt die Marken bei 24 Stunden, 72 Stunden und Abschlussbericht automatisch.
Welche Berichte erzeugt eine CRA-Compliance-Plattform?
Das Meldepaket nach Artikel 14, den maschinenlesbaren CSAF 2.0 Hinweis, die technische Dokumentation nach Anhang VII, die EU-Konformitätserklärung nach Anhang V, die Benutzerinformationen nach Anhang II und den Export des Auditpfads.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex CELEX:32024R2847
- Was ist der Cyber Resilience Act (CRA)?
- This page in English
Zuletzt aktualisiert am 26. August 2026
Jede CRA-Pflicht in einem Arbeitsbereich
CVD Portal deckt den Weg von der Produktklassifizierung über Anhang I und die EU-Konformitätserklärung bis zur Meldung nach Artikel 14 ab. Der Meldeeingang für Schwachstellen ist dauerhaft kostenlos.
Kostenlos starten