Der CRA, von „Betrifft uns das?“ bis zu einer technischen Dokumentation, hinter der Sie stehen können.
Der größte Teil der Cyberresilienz-Verordnung gilt ab dem 11. Dezember 2027. Die Meldepflicht des Artikels 14 gilt seit dem 11. September 2026. SkyQon führt einen Hersteller in der richtigen Reihenfolge durch die Fragen: Gilt sie, in welcher Klasse, was fehlt, und was ist aufzuschreiben. Kostenlos, wo es kostenlos sein kann; zum Festpreis, wo nicht.
Keine Rechtsberatung. SkyQon zertifiziert keine Produkte, testet sie nicht und erklärt keine Konformität: der Hersteller erklärt, und für manche Klassen ist eine notifizierte Stelle beteiligt.
Drei Termine
Die Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027 (Art. 71 Abs. 2). Zwei Teile kamen früher: Kapitel IV über notifizierte Stellen gilt seit dem 11. Juni 2026, die Meldepflichten des Artikels 14 seit dem 11. September 2026.
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den übrigen Pflichten nur, wenn sie nach diesem Datum wesentlich verändert werden (Art. 69 Abs. 2). Die Meldepflicht des Artikels 14 gilt für sie in jedem Fall (Art. 69 Abs. 3): Eine aktiv ausgenutzte Schwachstelle in einem Produkt, das Sie vor Jahren ausgeliefert haben, startet schon heute eine 24-Stunden-Uhr.
Anwendungsbereich
Wer betroffen ist, in einfachen Worten
Die Verordnung gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße Verwendung oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Ein Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt mit seinen Lösungen für die Datenfernverarbeitung, einschließlich getrennt in Verkehr gebrachter Software- oder Hardwarekomponenten (Art. 3 Nr. 1).
Sie sind der Hersteller, wenn Sie ein solches Produkt entwickeln oder herstellen oder entwerfen, entwickeln oder herstellen lassen und es unter Ihrem eigenen Namen oder Ihrer Marke vermarkten, entgeltlich oder unentgeltlich (Art. 3 Nr. 13). Bereitstellung auf dem Markt ist jede Abgabe zum Vertrieb oder zur Verwendung im Rahmen einer Geschäftstätigkeit, entgeltlich oder unentgeltlich (Art. 3 Nr. 22). Software, die Sie im Rahmen einer Geschäftstätigkeit verschenken, zählt.
Die wichtigsten Ausnahmen
- Medizinprodukte, In-vitro-Diagnostika und Fahrzeuge, die bereits von eigenen Typgenehmigungsvorschriften der Union erfasst sind (Art. 2 Abs. 2).
- Luftfahrtprodukte, die nach den Zivilluftfahrtvorschriften der Union zertifiziert sind (Art. 2 Abs. 3); luftfahrtnahe Produkte ohne Zertifizierung sind ein Fall für die kostenlose Prüfung.
- Schiffsausrüstung nach den Schiffsausrüstungsvorschriften der Union (Art. 2 Abs. 4).
- Produkte, die von anderen Unionsvorschriften mit gleichwertigem Schutzniveau erfasst und per delegiertem Rechtsakt ausgenommen werden (Art. 2 Abs. 5). Ein solcher Rechtsakt wurde nicht erlassen (geprüft am 12. November 2026).
- Ersatzteile, die nur zum Ersatz identischer Komponenten nach denselben Spezifikationen hergestellt werden (Art. 2 Abs. 6).
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder der Verteidigung entwickelt oder verändert wurden oder für die Verarbeitung von Verschlusssachen ausgelegt sind (Art. 2 Abs. 7).
Drei Fälle, die der Text nicht in einer Zeile entscheidet: Quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird, ist nicht erfasst, monetarisierte oder kommerziell unterstützte quelloffene Software kann es sein, und eine Stiftung kann unter die leichtere Regelung für Verwalter quelloffener Software fallen (Erwägungsgründe 17 bis 19, Art. 3 Nr. 14, Art. 24); ein Einführer oder Händler, der unter eigenem Namen verkauft, wird zum Hersteller (Art. 21); und ein nach dem 11. Dezember 2027 wesentlich verändertes Produkt gilt als neu in Verkehr gebracht (Art. 3 Nr. 30, Art. 69 Abs. 2). Die kostenlose Prüfung beantwortet diese Fälle mit „unklar, sprechen wir darüber“ und dem Artikel, nicht mit einer Vermutung.
Der Weg, in Reihenfolge
Jeder Schritt beantwortet die Frage, die der nächste braucht. Beginnen Sie, wo Sie stehen; die ersten beiden sind kostenlos und brauchen kein Konto.
- 1. Kostenlose Prüfung von Anwendungsbereich und KlasseEinige Fragen je Produkt: Ihre Rolle, die Ausnahmen, was das Produkt ist, ob es kommerziell bereitgestellt wird, die Kategorie nach Anhang III oder Anhang IV, Ihre Unternehmensgröße, die Normen, die Sie anwenden, und wann das Produkt auf den Markt kam. Sie erhalten die anwendbaren Artikel und eine Kandidatenklasse, oder „unklar“ mit dem Grund. Prüfung starten.
- 2. Kostenloser Melde-SelbstcheckZwölf Fragen zum Artikel-14-Verfahren, direkt auf der Seite bewertet: wer Kenntnis erlangt, wer meldet, welches CSIRT, welche Nachweise Sie aufbewahren. Selbstcheck machen.
- 3. Das 24-Stunden-MeldekitDas geprobte Artikel-14-Verfahren, die fünf Meldevorlagen, Nutzerhinweise in vier Sprachen und ein 90-minütiges Übungsskript, in einer Woche eingeführt. Einführungspreis 99 €. Zum Kit.
- 4. Das Add-on Incident ReportingDie 24-Stunden-, 72-Stunden- und Abschlussberichtsuhren laufen im Dashboard, mit vorausgefüllten Entwürfen und einem Meldeprotokoll, das nur ergänzt werden kann. Sie melden; SkyQon hält die Zeit und den Nachweis. Zu Incident Reporting.
- 5. CRA-Anwendbarkeits- und Lückenbewertung, 3.500 €Eine schriftliche Schlussfolgerung zu Anwendbarkeit und Einstufung je Produkt mit den zitierten Artikeln, eine Lückenliste gegenüber Anhang I Teil I und Teil II und den Pflichten des Artikels 13, ein Plan in Prioritätsreihenfolge und ein signierter Bericht in Ihrer Nachweiskette. Zur Bewertung.
- 6. CRA-Umsetzungssprint, ab 5.000 €Das Gerüst der technischen Dokumentation, die Nutzerinformationen, der Entwurf der Erklärung, die Sie unterzeichnen, die SBOM und der Prozess zur Schwachstellenbehandlung, die Offenlegungsrichtlinie und die security.txt, Nachweise für sichere Updates und der Unterstützungszeitraum. Angebot am Ende der Bewertung. Zum Sprint.
- 7. CRA Product Evidence im DashboardDas Produktregister, die Lückenanalyse je Produkt mit Nachweisdateien, der signierte Produktnachweisbericht, der SBOM-Abgleich, das Protokoll der Schwachstellenbehandlung, Nachweise sicherer Updates und die Dokumententwürfe, als Add-on ab Pro, mit Incident Reporting enthalten. Die sieben Module ansehen.
Dienstleistungen
Zwei Dienstleistungen mit festem Umfang
Erbracht vom Team, das SkyQons eigenes Artikel-14-Verfahren geschrieben und geprobt hat. Beide enden mit Nachweisen, die Sie behalten; keine endet mit einem Zertifikat.
Das Add-on
Im Dashboard
CRA Product Evidence hält die Bewertung und den Sprint als lebende Akte statt als Ordner: sieben Module und ein signierter Bericht je Produkt, auf derselben Nachweiskette wie Ihre NIS2-Arbeit.
So funktioniert es, in vier Schritten
- 1. Erfassen und einstufenLegen Sie jedes Produkt an, halten Sie Ihre Rolle fest und beantworten Sie die Fragen zur Einstufung. Die Klasse und die Artikel dahinter werden beim Produkt gespeichert.
- 2. SBOM hochladenEine CycloneDX- oder SPDX-Datei je Version. SkyQon gleicht die Komponenten täglich mit OSV.dev und der NVD ab und ergänzt jeden Treffer um CISA KEV und EPSS.
- 3. Mit Treffern umgehenBewerten Sie jeden Treffer, halten Sie fest, warum er Sie betrifft oder nicht, führen Sie das Eingangsprotokoll und veröffentlichen Sie Sicherheitshinweise. Ein aktiv ausgenutzter Treffer bietet an, die Frist nach Artikel 14 zu starten; ein Mensch entscheidet.
- 4. Nachweise behaltenMarkieren Sie jede Anforderung aus Anhang I als umgesetzt, teilweise oder geplant, mit angehängten Dateien, erstellen Sie die Dokumententwürfe und versiegeln Sie einen signierten Bericht je Produkt.
Die sieben Module
- Produktregister. Jedes Produkt mit digitalen Elementen, seine Rolle (Hersteller, Eigenmarke, Einführer), seine Klasse (Standard, wichtig der Klasse I oder II, kritisch), der Konformitätsweg, der Unterstützungszeitraum und der Eingangskanal. Die Einstufung wendet dieselben zitierten Regeln an wie die kostenlose Prüfung und wird je Produkt gespeichert.
- Lückenanalyse je Produkt. Jede Anforderung aus Anhang I Teil I und Teil II und jede Pflicht aus Artikel 13 mit einem Status (vorhanden, teilweise, geplant oder nicht anwendbar mit der schriftlichen Begründung, die Artikel 13 Absatz 4 verlangt), einer verantwortlichen Person, einem Fälligkeitsdatum, Nachweisdateien (PDF, Bilder, Text) und dem vollständigen Verlauf.
- Signierter Bericht CRA Product Evidence. Je Produkt und Zeitraum: die Status, die Hashes der Nachweise und die Einstufung, auf Ihrer bestehenden hashverketteten Nachweiskette und wie jeder SkyQon-Bericht auf der öffentlichen Prüfseite prüfbar. Der NIS2-Nachweisbericht erhält einen Abschnitt je Produkt. Die Zeilen sind vom Hersteller erklärt und von SkyQon festgehalten, nie von SkyQon geprüft.
- SBOM. Laden Sie je Produktversion eine CycloneDX- oder SPDX-Datei (JSON) hoch, der Verlauf bleibt erhalten. Die Komponenten werden täglich gegen OSV.dev und die NVD abgeglichen und mit CISA KEV und FIRST EPSS angereichert; Alarme für verwundbare und aktiv ausgenutzte Komponenten. Nur Paketkennungen verlassen die Plattform. Ein Treffer in der KEV-Liste bietet den Start der Meldeuhr nach Artikel 14 mit einem Klick an; ein Mensch entscheidet, nichts startet von selbst.
- Schwachstellenbehandlung. Die festgehaltene Richtlinie zur koordinierten Offenlegung von Schwachstellen, eine security.txt-Prüfung, ein Eingangs- und Behebungsprotokoll mit Zeitstempel je Stufe (eingegangen, triagiert, Behebung läuft, behoben, Hinweis veröffentlicht) sowie Sicherheitshinweise, entworfen und als Markdown oder HTML exportiert.
- Sichere Updates. Je Produkt: der Update-Mechanismus, ob Sicherheitsupdates getrennt und kostenlos sind, der Verfügbarkeitszeitraum (Artikel 13 Absatz 9, zehn Jahre), die Code-Signatur-Identität (ein über Private CA Management ausgestelltes oder ein hochgeladenes Zertifikat) und die TLS-Lage des Update-Endpunkts.
- Dokumentgenerator. Die technische Dokumentation nach Anhang VII (mit dem vereinfachten KMU-Format, gekennzeichnet als ein Format, das die Kommission nach Artikel 33 Absatz 5 noch nicht angenommen hat: jedes Element bleibt erforderlich), die Nutzerinformationen nach Anhang II und der Entwurf der EU-Konformitätserklärung nach Anhang V, aus dem Register erzeugt, bearbeitbar, als Word exportiert mit dem Banner „ENTWURF: Der Hersteller unterzeichnet; SkyQon erklärt keine Konformität“. Versionen bleiben erhalten.
Beginnen Sie mit der kostenlosen Prüfung von Anwendungsbereich und Klasse, proben Sie das Melden mit dem Kit, holen Sie die schriftliche Antwort mit der Bewertung, schließen Sie die Lücken im Sprint, und halten Sie den Nachweis im Add-on. Nach dem Add-on fragen.
Integrationen
Funktioniert mit
Die SBOM-Formate und Schwachstellenquellen, die das Add-on liest, und die Werkzeuge, an die der Rest von SkyQon sendet.
- CycloneDX
- SPDX
- OSV.dev
- NVD
- CISA KEV
- FIRST EPSS
- Slack
- Microsoft Teams
- PagerDuty
- n8n
- Webhooks
- Splunk
- Microsoft Sentinel
- Jira (per E-Mail)
- ServiceNow (per E-Mail)
- HaloPSA
- Vanta
- Drata
- AWS Certificate Manager
- Cloudflare
- Amazon Route 53
- Azure DNS
- EJBCA
- Microsoft AD CS
- HashiCorp Vault
- AWS Private CA
- Jeder OIDC- oder SAML-Anbieter, etwa Okta oder Microsoft Entra ID
- SCIM
Jede hier genannte Verbindung ist heute in SkyQon vorhanden. Produktnamen gehören ihren Inhabern.
Gesagt, bevor Sie beginnen
Was SkyQon nicht tut
- Zertifizieren, testen oder erklären. Der Hersteller stellt die EU-Konformitätserklärung aus (Art. 28) und bringt die CE-Kennzeichnung an (Art. 30). Bei wichtigen Produkten ohne angewandte harmonisierte Normen und bei Produkten der Klasse II ist eine notifizierte Stelle beteiligt (Art. 32). SkyQon erstellt Nachweise und Dokumente; es führt keine Konformitätsbewertung durch.
- Ihre Meldungen einreichen. Kit und Add-on halten das Verfahren, die Uhren und den Nachweis. Einreichen tun Sie, auf der zentralen Meldeplattform der ENISA.
- Rechtsberatung geben. Keine Rechtsberatung. Strittige Fragen zum Anwendungsbereich gehören zu Ihrer Rechtsberatung; unsere schriftlichen Schlussfolgerungen zitieren die Artikel, damit dieses Gespräch kurz ist.
Häufige Fragen
Gilt der CRA für Software, die wir verschenken?
Er kann. Bereitstellung auf dem Markt ist jede Abgabe im Rahmen einer Geschäftstätigkeit, entgeltlich oder unentgeltlich (Art. 3 Nr. 22). Kostenlose Software, die im Rahmen einer Geschäftstätigkeit bereitgestellt wird, ist erfasst; quelloffene Software außerhalb einer solchen nicht, und die Erwägungsgründe 17 bis 19 ziehen diese Grenze. Die kostenlose Prüfung kennzeichnet dies als Fall zum Besprechen.
In welcher Klasse ist unser Produkt?
Die meisten Produkte fallen in die Standardkategorie, und der Hersteller bewertet sie selbst (Art. 32 Abs. 1). In Anhang III aufgeführte Produkte sind wichtig, Klasse I oder Klasse II (Art. 7); in Anhang IV aufgeführte Produkte sind kritisch (Art. 8). Die Durchführungsverordnung (EU) 2025/2392 enthält die technischen Beschreibungen jeder Kategorie. Der Einbau einer gelisteten Komponente allein bringt das Produkt, das sie enthält, nicht in diese Kategorie.
Können wir ein wichtiges Produkt der Klasse I selbst bewerten?
Nur durch Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines europäischen Schemas für die Cybersicherheitszertifizierung, die die Anforderungen abdecken (Art. 32 Abs. 2). Im Amtsblatt wurde noch keine harmonisierte Norm für den CRA zitiert (geprüft am 12. November 2026), daher braucht ein Produkt der Klasse I heute eine notifizierte Stelle. Ein Produkt der Klasse II braucht sie immer (Art. 32 Abs. 3).
Müssen wir für ein Produkt melden, das älter ist als die Verordnung?
Ja, nach Artikel 14. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, werden von den übrigen Pflichten nur erfasst, wenn sie nach diesem Datum wesentlich verändert werden (Art. 69 Abs. 2); die Meldepflichten gelten für sie aber seit dem 11. September 2026 (Art. 69 Abs. 3).
Werden kleine Unternehmen anders behandelt?
An zwei Stellen. Kleinst- und Kleinunternehmen sind von Geldbußen für das Versäumen der 24-Stunden-Frist der Frühwarnung ausgenommen (Art. 64 Abs. 10 Buchst. a), und sie dürfen ein vereinfachtes Formular für die technische Dokumentation verwenden, sobald die Kommission es erlässt (Art. 33 Abs. 5). Dieses Formular wurde noch nicht erlassen, und jedes Element des Anhangs VII bleibt erforderlich.
Offizieller Text: Regulation (EU) 2024/2847 · Den vollständigen CRA-Leitfaden lesen
Beginnen Sie mit der kostenlosen Prüfung
Zehn Minuten je Produkt, die Artikel zitiert, und ein klares „unklar“, wo der Text nicht entscheidet. Buchen Sie danach die Bewertung, wenn Sie die Antwort schriftlich wollen.