Der EU Cyber Resilience Act, erklärt für Hersteller
Was der CRA für Produkte mit digitalen Elementen verlangt: ein lebendes Inventar dessen, was Sie ausgeliefert haben, Schwachstellenbehandlung, Meldung nach Artikel 14 ab dem 11. September 2026 und Nachweise für Dezember 2027.
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen“, die in der EU verkauft werden, einschließlich Embedded-Geräte, industrieller Gateways und ihrer Firmware. Er verlangt Sicherheit durch Gestaltung, ein maschinenlesbares SBOM, Schwachstellenbehandlung und Sicherheitsupdates über die Produktlebensdauer.
Gegenstand der Bewertung ist das ausgelieferte Produkt: was Sie in Verkehr gebracht haben, Version für Version. September 2026 ist eine Meldung an CSIRT/ENISA, wenn etwas aktiv ausgenutzt wird, keine Pflicht, Endkunden E-Mails zu schreiben. alloy-it hilft Ihnen, diesen lebenden Workflow zu führen: Inventar, Scan, Triage, Kenntnisuhr, Nachweise und ein Neubau-Pfad, wenn Sie patchen müssen.
Zentrale CRA-Fristen
Nichteinhaltung kann Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes auslösen.
Die sechs Pflichten, die für Hersteller zählen
Sicherheit durch Gestaltung und durch Voreinstellung
Cybersicherheit von Anfang an ins Produkt einbauen, mit sicherer Standardkonfiguration.
Maschinenlesbares Produkt-SBOM
Eine Software Bill of Materials (SPDX/CycloneDX) führen, die mindestens Abhängigkeiten der obersten Ebene abdeckt, je Softwareversion dessen, was Sie in Verkehr bringen.
Schwachstellenbehandlung
Schwachstellen über die Produktlebensdauer identifizieren, dokumentieren und beheben; aktiv ausgenutzte an ENISA und nationale CSIRTs melden (Artikel 14 ab dem 11. Sep. 2026).
Sicherheitsupdates
Sicherheitsupdates für den Unterstützungszeitraum bereitstellen (mindestens fünf Jahre) über einen signierten, integritätsgeschützten Kanal.
Technische Dokumentation
Dokumentation (einschließlich SBOM) für Marktüberwachungsbehörden auf Anfrage bereithalten.
Konformitätsbewertung und CE-Kennzeichnung
Selbst bewerten (≈90 % der Produkte) oder eine notifizierte Stelle für wichtige/kritische Produkte nutzen, bevor Sie das CE-Zeichen anbringen. alloy-it ist keine CE-Kennzeichnungssoftware.
Zuerst: Inventar dessen, was Sie in Verkehr gebracht haben
Melden können Sie nur, was Sie finden. Die Bereitschaft für Artikel 14 beginnt mit Produkten und Releases, einem Hersteller-SBOM (und optional einem aus der Firmware abgeleiteten Inventar), kontinuierlichem erneuten Scannen und Triage-Entscheidungen, danach einem Kenntniszeitpunkt, wenn etwas in einem ausgelieferten Release aktiv ausgenutzt wird.
SBOMs der Build-Umgebung und der Toolchain sind nützliche Tiefe für technische Dokumentation und Neubauten bei langer Supportlaufzeit. Sie sind nicht das, was die Meldung im September 2026 verlangt.
Wie alloy-it auf CRA-Anforderungen abbildet
| CRA-Anforderung | Was sie verlangt | Wie alloy-it hilft |
|---|---|---|
| Maschinenlesbares Produkt-SBOM | SPDX / CycloneDX, mindestens Abhängigkeiten der obersten Ebene, je Softwareversion. | Hersteller-CycloneDX/SPDX-SBOM je Release hochladen. Optional Inventar aus der Firmware-Binary ableiten und vergleichen, prüfen, nicht nur übernehmen. |
| SBOM bleibt aktuell | Ein neues SBOM je Softwareversion; darf nicht veralten. | Jedes Release trägt sein eigenes SBOM. Kontinuierliches erneutes Scannen hält Funde über den Unterstützungszeitraum aktuell. |
| Schwachstellenbehandlung und Triage | Identifizieren, dokumentieren und beheben; entscheiden, was im Produkt steckt. | Triage auf Komponentenebene mit Begründung und Historie. Vertretbare Entscheidungen betroffen / nicht betroffen für Prüfer. |
| Meldung aktiv ausgenutzter Schwachstellen (Art. 14) | 24h-Frühwarnung / 72h-Meldung an ENISA und nationale CSIRTs ab dem 11. Sep. 2026. | KEV-/EUVD-Überlagerung auf dem Produktinventar, Kenntniszeitpunkt und kopierbare JSON-SRP-Nutzlast. Alloy reicht nicht ein und sendet keine automatischen Kunden-E-Mails. |
| Technische Dokumentation und Nachweise | Nachweise für Audits und Marktüberwachungsbehörden. | Nachweispakete je Release: SBOM(s), Funde, Triage-Entscheidungen und Kenntnisverlauf. |
| Updates über die Lebensdauer | Komponenten über 5+ Jahre verfolgen und patchen (Unterstützungszeitraum). | Release an den Blueprint binden, der es gebaut hat. Umgebung rekonstruieren, gepatchtes Release wieder in die Überwachung bringen. |
| Build-Umgebungs- / Toolchain-SBOM | Optionale Tiefe für technische Dokumentation; nicht das, was Artikel 14 im Sep. 2026 verlangt. | Blueprints erzeugen ein SBOM je Version mit Toolchain und Build-Zeit-Abhängigkeiten, wenn Sie diesen Nachweis brauchen. |
Häufige Fragen zum Cyber Resilience Act
Wann greift der CRA?
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Meldepflichten zu Schwachstellen und Vorfällen gelten ab dem 11. September 2026, die volle Anwendung (einschließlich CE-Kennzeichnung und Konformitätsbewertung) ab dem 11. Dezember 2027.
Verlangt der CRA ein SBOM?
Ja. Hersteller müssen eine maschinenlesbare Software Bill of Materials (SPDX, CycloneDX oder SWID) erstellen, die mindestens die Abhängigkeiten der obersten Ebene abdeckt, je Softwareversion aktuell gehalten und in die technische Dokumentation aufgenommen wird.
Was verlangt Artikel 14 ab dem 11. September 2026?
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Vorfälle an ENISA und nationale CSIRTs melden: 24-Stunden-Frühwarnung, 72-Stunden-Meldung und ein Abschlussbericht nach 14 Tagen. Das ist eine Meldung an Behörden, keine Pflicht, Endkunden E-Mails zu schreiben. Nutzer zu informieren gehört zur Schwachstellenbehandlung Richtung volle Anwendung im Dezember 2027.
Gilt der CRA für mein Produkt?
Er gilt für Produkte mit digitalen Elementen (Hardware und Software), die auf dem EU-Markt in Verkehr gebracht werden. Etwa 90 % der Produkte fallen in die Standardkategorie und können sich selbst bewerten; wichtige und kritische Produkte können eine notifizierte Stelle erfordern.
Welche Sanktionen drohen bei Nichteinhaltung?
Nichteinhaltung der wesentlichen Anforderungen kann Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes auslösen, je nachdem, welcher Betrag höher ist.
Gilt der CRA für Open Source?
Open-Source-Software-Stewards unterliegen einem leichteren Regime. Organisationen, die Open Source kommerziell vertreiben, werden in der Regel als Hersteller mit dem vollen Pflichtenkatalog behandelt.
Wen bindet der CRA tatsächlich?
Die schwersten Pflichten liegen beim Hersteller des Produkts mit digitalen Elementen, einschließlich jeder Person, die es unter eigenem Namen in Verkehr bringt, und bei jeder Person, die nach einer wesentlichen Veränderung als Hersteller gilt. Bevollmächtigte, Einführer und Händler haben eigene Pflichten, vor allem Dokumentation und Marktzugang, nicht die Betriebsschleife der Artikel 13 und 14. alloy-it ist für den Hersteller im Sinne der Verordnung gebaut.
CRA-Konformitätshub
CRA-SBOM-Anforderungen
Format, Umfang und Regeln je Version für ein CRA-konformes Produkt-Software Bill of Materials.
CRA für Embedded und Firmware
Warum Firmware Hersteller-SBOM plus aus Binary abgeleitetes Inventar braucht, und wie HEX-/verschlüsselte Images abweichen.
CRA-Konformitäts-Checkliste
Eine praktische Checkliste, die jede CRA-Pflicht darauf abbildet, was Ihr Team tun muss.
Schwachstellenbehandlung und Artikel 14
24h-/72h-/14-Tage-Meldung, KEV/EUVD, Kenntnisuhr und was Sep. 2026 tatsächlich verlangt.
Build-Umgebungs-SBOM
Toolchain und Build-Zeit-Abhängigkeiten für technische Dokumentation: nützliche Tiefe, aber nicht das, was die Meldung im Sep. 2026 verlangt.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.
Bereit für Artikel 14 vor September 2026
Starten Sie mit Produktinventar, kontinuierlichem Scan, Triage und Kenntnisnachweisen, danach ein Neubau-Pfad, wenn Sie patchen müssen.