Was unter dem CRA ein Produkt mit digitalen Elementen ist

Der Cyber Resilience Act beginnt nicht mit einem Scanner, einem SBOM-Format oder einem CE-Workshop. Er beginnt mit einer Definition. Die Verordnung (EU) 2024/2847 gilt für ein Produkt mit digitalen Elementen (PDE), das auf den Unionsmarkt gebracht wird. Können Sie diese Produkte nicht listen, hängt jedes spätere Artefakt am falschen Objekt.

Ein PDE ist nicht nur eine Elektronikschachtel. Eigenständige Software unter Ihrem Namen ist ein PDE. Eine separat verkaufte Komponente ist ein PDE. Die Termine - 11. September 2026 und 11. Dezember 2027 - sind dieselben.

Mit wem die Verordnung spricht

Hauptadressat ist der Hersteller: wer das Produkt unter eigenem Namen oder Zeichen auf den Unionsmarkt bringt. Das ist eine Rechtsrolle, kein LinkedIn-Titel. Setzen Sie Ihr Zeichen auf ein Gerät, das jemand anderes gebaut hat, sind Sie Hersteller im Sinne des CRA. Importieren Sie ein Produkt von außerhalb der EU und bringen es in Verkehr, übernehmen Sie Herstellerpflichten.

Importeure und Händler haben eigene Prüfungen. Sie ersetzen nicht die Akte des Herstellers. Ein Bevollmächtigter schreibt die Risikobewertung nicht für Sie.

Die Pflicht-Einheit ist das Produkt, nicht die juristische Person einmal. Zwei SKUs sind zwei Akten, auch wenn sie einen Firmware-Baum teilen. Eine wesentliche Änderung ist ein neues Inverkehrbringen: der Katalog bekommt eine weitere Zeile, die SBOM eine weitere Sperre, die Erklärung ein weiteres Datum.

Gerät, Software, Komponente

Der Text ist absichtlich horizontal. Hardware mit digitalen Elementen ist drin. Software, die Sie unter eigenem Namen auf dem Unionsmarkt bereitstellen, ist drin, einschließlich separat verkaufter Embedded-Software. Eine Bibliothek, ein SDK, eine industrielle Runtime, eine mobile App, die Sie als Produkt in Verkehr bringen: steht Ihr Name auf dem Listing, beginnen Sie mit der Annahme, dass es ein PDE ist, und dokumentieren Sie das Gegenteil, wenn Sie das meinen.

„Wir verkaufen nur Software“ ist keine Ausnahme. „Es läuft in der Cloud“ ist ein anderes Gespräch darüber, was Sie tatsächlich als Produkt in Verkehr bringen. „Es ist eine Komponente in fremder Maschine“ zählt weiter, wenn Sie diese Komponente separat unter Ihrem Zeichen verkaufen.

Pro Zeile brauchen Sie Langweiliges und Konkretes:

• Name und Version,
• Typ (Gerät / eigenständige Software / Komponente),
• Märkte, auf denen Sie bereitstellen,
• Datum des Inverkehrbringens oder der Bereitstellung,
• Supportende mit Monat und Jahr, angegeben beim Kauf,
• wer Hersteller dieser Zeile ist,
• ob eine wesentliche Änderung vorliegt.

Ohne diese Felder hängen Sie keine SBOM, keine Lücke in Anhang I und keine Meldung nach Artikel 14 an etwas, das eine Behörde anerkennt.

Geltung ist eine Entscheidung am Produkt

Der CRA ist kein Firmenabzeichen, das Sie 2027 verdienen. An jedem PDE markieren Sie, ob die Verordnung gilt, wer Hersteller ist und ob die letzte Änderung wesentlich war. Diese Entscheidung gehört in den Katalog, neben die Nachweise, nicht auf eine Folie „wir sind im Scope“.

Bereits vor dem 11. Dezember 2027 bereitgestellte Produkte sind nicht außerhalb der Geschichte. Neues Inverkehrbringen nach diesem Datum braucht Anhang I, Konformitätsbewertung, EU-Erklärung und CE-Kennzeichnung. Eine wesentliche Änderung eines älteren Produkts gilt als neues Inverkehrbringen. Die Planung „nur neue Produkte“ ohne Definition der wesentlichen Änderung macht aus einer SKU von 2024 ein Problem 2028.

Warum der Katalog vor Artikel 14 existieren muss

Am 11. September 2026 meldet der Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Die Meldung zeigt auf ein Produkt. Lebt das Produkt in einem Mailthread, verbringen Sie das 24-Stunden-Fenster mit der Suche nach der Versionszeichenkette.

Derselbe Katalog speist die Akte vom 11. Dezember 2027: Identität, Risiko, Anhang I, SBOM, Supportzeitraum, Anleitungen, Erklärung, Kennzeichnung. Ein Scanner erzeugt diese Identität nicht. Er verbraucht sie.

Was in die erste Woche gehört

1. Listen Sie jeden Namen, den Sie auf den Unionsmarkt bringen, einschließlich Software und separat verkaufter Komponenten.
2. Geben Sie jedem eine Version, einen Typ, Märkte und ein Supportende mit Monat und Jahr.
3. Markieren Sie den Hersteller in den Unterlagen und jede wesentliche Änderung.
4. Hängen Sie SBOM und Risikozelle zu Anhang I an diese Identität, nicht an die Firma.
5. Halten Sie den Katalog on-premise. Er ist der Index der technischen Akte.

Crado AI ist als dieser Index gebaut: zuerst der PDE-Katalog, dann Risiko, SBOM, Artikel 14 und CE. Fehlt die Zeile, hat der Rest des CRA keinen Sitz.