Verordnung (EU) 2024/2847

Was der CRA vom Hersteller verlangt, mit Terminen.

Der Cyber Resilience Act ist ein horizontaler Rahmen für Hardware und Software, die auf dem Unionsmarkt bereitgestellt werden. Die Fakten stammen aus dem Text, nicht aus einem Kanzlei-Memo.

Wen es betrifft

Hauptadressat ist der Hersteller: wer ein Produkt mit digitalen Elementen unter eigenem Namen oder Zeichen in Verkehr bringt. Importeure und Händler haben eigene Pflichten. Ein Produkt mit digitalen Elementen ist ein Gerät oder eigenständige Software, einschließlich separat in Verkehr gebrachter Komponenten.

Rollen in der Kette

Hersteller

Wer das PDE unter eigenem Namen in Verkehr bringt. Hauptadressat: Entwurf, Risiko, SBOM, Support, Dokumentation, CE, Meldungen.

Importeur

Bringt ein Produkt von außerhalb der EU auf den Unionsmarkt. Muss prüfen, ob der Hersteller seine Pflicht erfüllt hat, und die Akte aufbewahren.

Händler

Stellt das Produkt weiter bereit. Prüft Kennzeichnung, Anleitungen und ob CE überhaupt da ist.

Bevollmächtigter

Kann für den Kontakt mit Behörden benannt werden. Nimmt dem Hersteller weder Risikobewertung noch Anhang I ab.

Termine

10. Dezember 2024

Inkrafttreten

Die Verordnung gilt. Die volle Anwendung der grundlegenden Anforderungen kommt später.
11. Juni 2026

Konformitätsbewertungsstellen

Die Regeln zur Notifizierung von Konformitätsbewertungsstellen gelten.
11. September 2026

Meldungen nach Artikel 14

Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle: Frühwarnung in 24 Stunden, vollständige Meldung in 72 Stunden, dann Abschlussbericht.
11. Dezember 2027

Grundlegende Anforderungen und CE

Ein in Verkehr gebrachtes Produkt muss Anhang I erfüllen, die Konformitätsbewertung abschließen sowie EU-Erklärung und CE-Kennzeichnung tragen. Risikobewertung, Dokumentation, SBOM und Supportzeitraum müssen laufen.

Anhang I in Kürze

Teil I - Produkteigenschaften

Angemessenes Cybersicherheitsniveau zum Risiko. Keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen. Sichere Defaults. Updates, einschließlich automatischer mit klarem Opt-out. Zugangskontrolle, Integrität, Vertraulichkeit, kleinere Angriffsfläche, Datenminimierung.

Teil II - Schwachstellenbehandlung

Schwachstellen identifizieren und dokumentieren, einschließlich SBOM. Patches im Supportzeitraum. Tests. Öffentliche Disclosure-Politik. Koordinierte Offenlegung. Fixes ohne unnötige Verzögerung. Artikel 14 führt eine eigene Meldeuhr.

Die Uhr nach Artikel 14

24h

Frühwarnung ab dem Moment, in dem Sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall wissen.

72h

Vollständige Meldung. Ein Kanal (SRP), an das CSIRT der Hauptniederlassung und an ENISA.

14 Tage / 1 Monat

Abschlussbericht: 14 Tage nach einem Fix bei einer Schwachstelle, ein Monat nach der 72h-Meldung bei einem Vorfall.

Was ein Hersteller vorzeigen können muss

Eine Cybersicherheits-Risikobewertung über den Lebenszyklus, nicht nur vor dem Launch.
Keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen und eine sichere Standardkonfiguration.
Sicherheitsupdates, einschließlich automatischer Updates wo sinnvoll, mit klarem Opt-out.
Sorgfalt bei Komponenten Dritter.
Ein Supportzeitraum beim Kauf, mit Monat und Jahr.
Technische Dokumentation für die Marktüberwachung.
Meldungen über die einheitliche Plattform an das CSIRT der Hauptniederlassung und an ENISA.

Quelle: Verordnung (EU) 2024/2847 und die Zusammenfassung der Europäischen Kommission.

Fragen, die sowieso kommen

Ist Crado AI ein Schwachstellenscanner?

Nein. Schwachstellen und die Uhr nach Artikel 14 sind ein Modul. Das System führt die Produktkarte (PDE), die Risikobewertung und Anhang I, SBOM, die technische Akte und den CE-Pfad.

Fällt eigenständige Software unter den CRA?

Ja, wenn Sie sie unter eigenem Namen oder Zeichen auf den Unionsmarkt bringen. Ein PDE ist nicht nur eine Elektronikschachtel.

Was passiert am 11. September 2026?

Artikel 14 gilt: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Frühwarnung in 24 Stunden, vollständige Meldung in 72 Stunden, dann Abschlussbericht. Über die einheitliche Plattform an das CSIRT der Hauptniederlassung und an ENISA.

Und am 11. Dezember 2027?

Grundlegende Anforderungen aus Anhang I, Konformitätsbewertung, EU-Erklärung und CE-Kennzeichnung beim Inverkehrbringen. Risikobewertung, SBOM, Dokumentation und Supportzeitraum müssen bereits laufen.

Ist das eine Cloud?

Nein. Sie installieren Crado AI bei sich. SBOM und technische Unterlagen landen nicht auf unserem Server.

Ersetzen Sie eine notifizierte Stelle?

Nein. Das System sammelt Nachweise und führt den Prozess. Die Konformitätsbewertung bleibt bei Ihnen.

Wie viele Produkte lassen sich abdecken?

Von wenigen SKUs bis zu einem Katalog in den Hunderten. Im Gespräch zählt die Zahl der PDE und ob schon eine SBOM aus der Pipeline kommt.

Woher stammen die Daten in den Mockups?

Ein fiktiver Katalog (Gate-240, Lens OS). Er zeigt die Dichte der Oberfläche, nicht Kundendaten.

Wohin geht das Formular?

An hello@crado.eu. Wir antworten an die Adresse, die Sie angeben.