CRA-Konformitäts-Checkliste
Eine praktische Checkliste, die jede Pflicht des Cyber Resilience Act darauf abbildet, was Ihr Team tatsächlich tun muss, zuerst das ausgelieferte Produkt.
Prüfen, ob der CRA gilt
Ist es ein Produkt mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird? Kategorie festlegen: Standard (Selbstbewertung), wichtig oder kritisch.
Den Konformitätsweg einordnen
Die meisten Produkte bewerten sich selbst; wichtige und kritische Produkte können eine notifizierte Stelle brauchen. Ihren Weg früh klären. alloy-it ist keine notifizierte Stelle.
Sicherheit durch Gestaltung und durch Voreinstellung umsetzen
Eine sichere Standardkonfiguration ausliefern und die wesentlichen Cybersicherheitsanforderungen des CRA schon in der Designphase adressieren.
Ein Produktinventar aufsetzen
Produkte und Releases für das anlegen, was Sie in Verkehr gebracht haben. Ein maschinenlesbares SPDX/CycloneDX-SBOM je Softwareversion hochladen.
Die Binary prüfen, wenn möglich
Optional ein Inventar aus dem Firmware-Image ableiten und mit dem Hersteller-SBOM vergleichen. Prüfen, nicht nur übernehmen. HEX-/verschlüsselte Images brauchen möglicherweise nur das Herstellerdokument.
Funde triageen
Betroffen / nicht betroffen / False Positive mit Begründung entscheiden. Scan ohne Triage ist unter dem CRA unbrauchbar.
Meldung nach Artikel 14 vorbereiten
Aktiv ausgenutzt (KEV/EUVD) überlagern. Erste Kenntnis festhalten. Das 24h-/72h-/14-Tage-Paket für ENISA / CSIRT vorbereiten. Das nicht mit E-Mails an Kunden verwechseln.
Sich zu Sicherheitsupdates verpflichten
Updates für den Unterstützungszeitraum bereitstellen (mindestens fünf Jahre) über einen signierten, integritätsgeschützten Kanal. Releases an Blueprints binden, damit Sie Jahre später noch neu bauen können.
Technische Dokumentation und Nachweise zusammenstellen
SBOMs, Triage-Entscheidungen, Kenntniszeitpunkte und Konformitätsnachweise für Marktüberwachungsbehörden bereithalten.
Konformitätsbewertung und CE-Kennzeichnung abschließen
Die Bewertung für Ihre Kategorie durchführen und das CE-Zeichen anbringen, bevor Sie das Produkt in Verkehr bringen. alloy-it ist keine CE-Kennzeichnungssoftware.
Optional später: Build-Umgebungs-SBOM
SBOMs zu Toolchain und Build-Zeit-Abhängigkeiten geben Tiefe für technische Dokumentation. Nützlich, aber nicht das, was die Meldung im September 2026 verlangt.
Nehmen Sie die Checkliste mit
Eine einseitige Version zum Drucken oder Speichern als PDF, mit Platz, jeden Punkt als erledigt, zugewiesen oder nicht begonnen zu markieren. Nützlich, um ein Engineering-Team oder einen Lenkungskreis durch den Stand zu führen.
Wo alloy-it die Checkliste abdeckt
alloy-it unterstützt Produktinventar, SBOM-Überwachung, Firmware-Vergleich, Triage, Kenntnis nach Artikel 14 und SRP-Export, Nachweispakete und den Neubau-Pfad. Umfangsklassifikation, Engineering für Sicherheit durch Gestaltung, Konformitätsbewertung und CE-Kennzeichnung liegen bei Ihren Produkt- und Compliance-Teams sowie qualifiziertem Rechtsbeistand.
CRA-Konformitätshub
CRA-Überblick für Embedded und Firmware
Was der Cyber Resilience Act verlangt, die Fristen und wie Hersteller von Produkten mit digitalen Elementen konform werden.
CRA-SBOM-Anforderungen
Format, Umfang und Regeln je Version für ein CRA-konformes Produkt-Software Bill of Materials.
CRA für Embedded und Firmware
Warum Firmware Hersteller-SBOM plus aus Binary abgeleitetes Inventar braucht, und wie HEX-/verschlüsselte Images abweichen.
Schwachstellenbehandlung und Artikel 14
24h-/72h-/14-Tage-Meldung, KEV/EUVD, Kenntnisuhr und was Sep. 2026 tatsächlich verlangt.
Build-Umgebungs-SBOM
Toolchain und Build-Zeit-Abhängigkeiten für technische Dokumentation: nützliche Tiefe, aber nicht das, was die Meldung im Sep. 2026 verlangt.
Diese Seite bietet allgemeine Informationen zum EU Cyber Resilience Act und ist keine Rechtsberatung. Die Verordnung und ihre harmonisierten Normen entwickeln sich weiter: konsultieren Sie die offiziellen Quellen von EU, ENISA und BSI sowie qualifizierten Rechtsbeistand für Ihr konkretes Produkt. alloy-it hilft bei Produktinventar, SBOM-Überwachung, Triage, Nachweisen zu Artikel 14 und dem Neubau-Pfad; es ist keine CE-Kennzeichnungssoftware, keine notifizierte Stelle und reicht keine Berichte bei ENISA oder nationalen CSIRTs ein.
Inventar, Triage und Bereitschaft für Artikel 14 abhaken
Kostenlos mit einem Produkt und Ihren letzten N SBOMs starten, oder einen CRA-Walkthrough buchen.