01
PDE-Katalog
Produkte, Versionen, Märkte und Datum des Inverkehrbringens. Sie sehen, was unter den CRA fällt.
Cyber Resilience Act
Produktkarte
Risiko
SBOM
Dokumentation
On-Premise
Wir helfen Herstellern, die Produktsicherheit nach dem CRA zu führen.
Produktkarte, Risikobewertung, SBOM, Dokumentation und Schwachstellenbehandlung. Ein System, bevor das Produkt auf den Unionsmarkt kommt.
Umfang
CRA ist kein Schwachstellenscanner
Schwachstellen und die Uhr nach Artikel 14 sind ein Modul. Das System führt die Produktkarte, die Risikobewertung, SBOM, die technische Akte und den CE-Pfad.
02
Anhang I
Grundlegende Anforderungen am Produkt, mit Risikobewertung und Lücken.
03
SBOM und Komponenten
Bestandteile, Herkunft, Lizenzen und bekannte Schwachstellen.
04
Schwachstellen
Behandlung über den erklärten Supportzeitraum, mit 24h-/72h-Uhr.
05
Dokumentation
Technische Unterlagen, wenn die Marktüberwachung fragt.
06
CE-Pfad
Konformitätsbewertung, EU-Erklärung und Kennzeichnung, bevor das Produkt das Lager verlässt.
Wie die erste Woche nach der Installation aussieht
- 1
Katalog
Produkte kommen rein: Name, Version, Typ (Gerät / Software / Komponente), Märkte, Datum des Inverkehrbringens, Supportende.
- 2
Geltung
An jedem PDE markieren Sie, ob der CRA gilt, wer Hersteller ist und ob eine wesentliche Änderung vorliegt.
- 3
Risiko und Anhang I
Die Risikobewertung hängt an den grundlegenden Anforderungen. Eine Lücke lebt nicht in einem Extra-Excel.
- 4
SBOM
Komponenten aus CI oder Import, mit CVE verknüpft. Die Sorgfalt zum Lieferanten bleibt an der Komponente.
- 5
Artikel 14 und CE
Schwachstellenwarteschlange mit 24h-/72h-Uhr. Technische Unterlagen, EU-Erklärung, Kennzeichnung - bevor das Produkt das Lager verlässt.
Für wen Crado AI ist
- Ein Hardware- oder Softwarehersteller, der ein Produkt unter eigenem Namen auf den Unionsmarkt bringt.
- Ein Importeur, der ein Produkt von außerhalb der EU in Verkehr bringt und Herstellerpflichten übernimmt.
- Quality / Product Security / ein CTO, der eine technische Akte braucht, keine Folie.
- Ein Unternehmen mit 20–250 Personen, PDE-Katalog, ohne 15-köpfige Conformity-Abteilung.
Was hier nicht ist
- Eine SaaS-Cloud. Die Einführung ist nur on-premise.
- Eine öffentliche Preisliste oder ein Kaufbutton.
- Eine notifizierte Stelle oder ein Rechtsgutachten.
- Ein NIS2-, AI-Act- oder DORA-Modul. Dieses System ist für den CRA.
Nur On-Premise
SBOM, Risikobewertung und technische Unterlagen bleiben in Ihrem Netz. Es gibt keine Produkt-Cloud, und wir bitten nicht um Upload nach außen.
- App und Datenbank auf Ihrer Infrastruktur (VM oder Kubernetes).
- Identität an Ihrem IdP (OIDC / SAML).
- Backups und Netz bleiben in Ihrem Standard.
- Kein Tenant in unserer Cloud und kein SaaS-Tarif.
Branchen
Dieselbe Verordnung, anderes Produkt
Software
In der EU verkaufte Software ist ein PDE.
Sie müssen kein Gerät ausliefern, um unter den CRA zu fallen. Eine Anwendung, eine Bibliothek oder ein eingebettetes System, das separat verkauft wird, ist ein Produkt mit digitalen Elementen, wenn Sie es unter Ihrem Namen in Verkehr bringen.
IoT
Das Gerät verlässt das Werk mit einer Supportpflicht.
Der CRA will keine bekannte ausnutzbare Schwachstelle beim Start, sichere Defaults und Updates über einen erklärten Zeitraum. Das trifft Firmware härter als SaaS.
Industrie
Eine Maschine mit Steuerung ist auch ein Produkt mit digitalen Elementen.
Eine Linie, eine SPS, ein HMI, ein Gateway - wenn Sie das als Produkt auf den Unionsmarkt bringen, fragt der CRA nach Entwurf, Komponenten und Wartung. Industriekäufer wollen diese Akte nicht in einer fremden Cloud.
Elektronik
Ein CE-Zeichen nach dem CRA ist mehr als EMV und Niederspannung.
Cybersicherheit wird zur Produkteigenschaft neben den älteren Richtlinien. Der Hersteller braucht Risikobewertung, Stückliste und Supportzeitraum, bevor das Produkt in Verkehr kommt.
Kalender
Die Termine, die das Tempo setzen
- 01
10. Dezember 2024
Inkrafttreten
Die Verordnung gilt. Die volle Anwendung der grundlegenden Anforderungen kommt später.
- 02
11. Juni 2026
Konformitätsbewertungsstellen
Die Regeln zur Notifizierung von Konformitätsbewertungsstellen gelten.
- 03
11. September 2026
Meldungen nach Artikel 14
Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle: Frühwarnung in 24 Stunden, vollständige Meldung in 72 Stunden, dann Abschlussbericht.
- 04
11. Dezember 2027
Grundlegende Anforderungen und CE
Ein in Verkehr gebrachtes Produkt muss Anhang I erfüllen, die Konformitätsbewertung abschließen sowie EU-Erklärung und CE-Kennzeichnung tragen. Risikobewertung, Dokumentation, SBOM und Supportzeitraum müssen laufen.
Wissensbasis
CRA-Ressourcen
Kurzwege zu den wichtigsten Teilen der Verordnung und Werkzeuge, die wir ergänzen.
CRA-Blog
Produktkarte, Risiko, Dokumentation und Termine aus der Verordnung.
CRA-Termine
10.2024 Inkrafttreten, 09.2026 Art. 14, 12.2027 CE-Kennzeichnung.
Anhang I in Kürze
Grundlegende Anforderungen: Produkteigenschaften und Schwachstellenbehandlung.
Rollen in der Kette
Hersteller, Importeur, Händler, Bevollmächtigter.
Die Uhr nach Artikel 14
Frühwarnung 24h, vollständige Meldung 72h, Abschlussbericht.
Checkliste Anhang I
DemnächstCheckliste der grundlegenden Anforderungen für die technischen Unterlagen.
Rechner für den Supportzeitraum
DemnächstSupportende und EOL-Datum für ein Produkt rechnen.
Fragen, die sowieso kommen
Ist Crado AI ein Schwachstellenscanner?
Nein. Schwachstellen und die Uhr nach Artikel 14 sind ein Modul. Das System führt die Produktkarte (PDE), die Risikobewertung und Anhang I, SBOM, die technische Akte und den CE-Pfad.
Fällt eigenständige Software unter den CRA?
Ja, wenn Sie sie unter eigenem Namen oder Zeichen auf den Unionsmarkt bringen. Ein PDE ist nicht nur eine Elektronikschachtel.
Was passiert am 11. September 2026?
Artikel 14 gilt: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Frühwarnung in 24 Stunden, vollständige Meldung in 72 Stunden, dann Abschlussbericht. Über die einheitliche Plattform an das CSIRT der Hauptniederlassung und an ENISA.
Und am 11. Dezember 2027?
Grundlegende Anforderungen aus Anhang I, Konformitätsbewertung, EU-Erklärung und CE-Kennzeichnung beim Inverkehrbringen. Risikobewertung, SBOM, Dokumentation und Supportzeitraum müssen bereits laufen.
Ist das eine Cloud?
Nein. Sie installieren Crado AI bei sich. SBOM und technische Unterlagen landen nicht auf unserem Server.
Ersetzen Sie eine notifizierte Stelle?
Nein. Das System sammelt Nachweise und führt den Prozess. Die Konformitätsbewertung bleibt bei Ihnen.
Wie viele Produkte lassen sich abdecken?
Von wenigen SKUs bis zu einem Katalog in den Hunderten. Im Gespräch zählt die Zahl der PDE und ob schon eine SBOM aus der Pipeline kommt.
Woher stammen die Daten in den Mockups?
Ein fiktiver Katalog (Gate-240, Lens OS). Er zeigt die Dichte der Oberfläche, nicht Kundendaten.
Wohin geht das Formular?
An hello@crado.eu. Wir antworten an die Adresse, die Sie angeben.