Cyber Resilience Act

Was das Modul Cyber Resilience Act ist und wofür Ihr Unternehmen es braucht

Das Modul Cyber Resilience Act ist ein eIntranet-Modul für Hersteller von Hardware und Software, die die Verordnung (EU) 2024/2847 erfüllen müssen, den Cyber Resilience Act. Sie führen darin das Register der Produkte mit digitalen Elementen, deren Versionen und Komponentenlisten (SBOM), überwachen Schwachstellen und bereiten Meldungen für die ENISA-Plattform vor. Auch die Fristen von 24 Stunden, 72 Stunden und die des Abschlussberichts laufen im Modul mit.

Das Modul entstand für eine Lage, die ein Hersteller nur alle paar Jahre erlebt und dann innerhalb eines einzigen Tages bewältigen muss: Ein Kunde oder Sicherheitsforscher meldet, dass in einem Produkt eine Schwachstelle ausgenutzt wird. Seit dem 11. 9. 2026 müssen solche Fälle nach Art. 14 der Verordnung gemeldet werden, auch bei Produkten, die Sie lange vor diesem Datum in Verkehr gebracht haben. Wer keine benannten Personen, keinen eingeübten Ablauf und keinen Überblick über die Komponenten hat, beginnt mit der Organisation erst, wenn die Uhr schon läuft.

Das Modul ersetzt weder einen Juristen noch eine notifizierte Stelle und übermittelt nichts an Behörden. Meldungen an die ENISA-Plattform SRP reichen Sie manuell über deren Portal ein. Das Modul liefert dafür die Werte in den richtigen Feldern, überwacht die Termine und führt Buch darüber, was Sie wann eingereicht haben.

Im Unternehmen nutzen es typischerweise drei Rollen: die für das Produkt verantwortliche Person, die Register und SBOM pflegt, die entscheidungsbefugte Person für die Feststellung einer Ausnutzung samt Stellvertretung sowie die SRP-Vertreter, die die Meldungen tatsächlich einreichen. Geschäftsleitung und Berater kommen für die Gap-Analyse und die technische Dokumentation hinzu.

So funktioniert der Cyber Resilience Act in eIntranet Schritt für Schritt

Die Arbeit im Modul hat zwei Spuren, die sich im Vorgang nach Art. 14 treffen. Die erste ist die tägliche Evidenz, die zweite das Krisenverfahren.

Erfassung von Produkten und Komponenten

Auf dem Reiter Produkte mit digitalen Elementen legen Sie ein Produkt mit der offiziellen Bezeichnung an, die in die Meldung und in die EU-Konformitätserklärung übernommen wird. Sie beantworten, ob es eine Datenverbindung hat, ob es unter den CRA fällt und in welche Kategorie es gehört (Standard, wichtiges Produkt der Klasse I oder II, kritisch). Den CRA-Modus bestimmt das Modul aus Ihren Antworten selbst und er lässt sich nicht von Hand setzen: Entweder liegt das Produkt außerhalb des Anwendungsbereichs, oder es gilt nur die Meldepflicht nach Art. 14, oder ab 11. 12. 2027 der volle CRA. Die Antwort „Weiß nicht“ markiert das Produkt mit einem gelben Fragezeichen als unsicher.

Zum Produkt fügen Sie eine Version hinzu und laden in diese eine SBOM im Format CycloneDX 1.4 bis 1.6 oder SPDX 2.2, 2.3 und 3.0.1 hoch. Der Import besteht aus zwei Schritten: zuerst die Vorschau mit Zusammenfassung, Qualitätsprüfung und Unterschied zur Vorversion, erst danach die Schaltfläche Import bestätigen. Komponenten, die das Werkzeug nicht sieht (RTOS, Bootloader, statisch eingebundene Bibliotheken), ergänzen Sie von Hand, und ein weiterer Import lässt sie unangetastet.

Von der Schwachstelle zum Vorgang

Einmal täglich gleicht das Modul die Komponenten mit der öffentlichen Quelle OSV und mit dem Katalog aktiv ausgenutzter Schwachstellen ab. Aus jedem Treffer entsteht eine Feststellung im Status In Prüfung. Je nach Schweregrad liegt die Frist für die Bewertung zwischen 60 Tagen bei niedrigem und 7 Tagen bei kritischem Schweregrad; eine als aktiv ausgenutzt markierte Schwachstelle (KEV) wird innerhalb eines Tages bewertet. Bewertet wird mit den Status Betroffen, Nicht betroffen (mit Begründung und Nachweisen) oder Behoben.

Ein Treffer in der SBOM ist noch keine Feststellung im Sinne von Art. 14. Den Vorgang legen erst Sie an, mit der roten Schaltfläche Vorgang nach Art. 14 anlegen, wenn Sie begründet sicher sind, dass eine Schwachstelle in Ihrem Produkt ausgenutzt wird. Einen Verdacht kann auch jeder mit Leserecht im Modul melden, über die Schaltfläche Verdacht melden in der Kopfzeile.

Fristen und Einreichung

In der Vorgangsansicht wählt die entscheidungsbefugte Person Festgestellt, Wir beobachten oder Keine Meldung. Die Wahl Festgestellt startet den Countdown: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Bei einer Schwachstelle ist der Abschlussbericht binnen 14 Tagen nach der ersten verfügbaren Abhilfemaßnahme fällig, bei einem schwerwiegenden Sicherheitsvorfall binnen eines Monats nach der Meldung. In jeder Phase klicken Sie auf Meldung vorbereiten, das Formular wird aus Vorgang und Produkten vorausgefüllt, Sie kopieren die Felder in das SRP und erfassen im Modul die Einreichung samt Meldungsnummer.

Was das Modul CRA alles kann

• Produktregister mit Kategorie nach Anhang III und IV, Konformitätsbewertungsverfahren, Unterstützungszeitraum und den Staaten, in denen das Produkt auf dem Markt ist. Das Modul warnt, wenn der Unterstützungszeitraum kürzer als die erwartete Nutzungsdauer ist oder unter fünf Jahren liegt.
• Installierte Basis: Sie ordnen dem Produkt Kunden aus dem CRM-Modul zu, und deren Land fließt in den Vorschlag der Mitgliedstaaten ein.
• Schwachstellenfeststellungen mit dem Filter Aktiv ausgenutzt (KEV), Sammelbewertung ausgewählter Zeilen und Übernahme einer Bewertung, wenn Sie dieselbe Komponente in derselben Version bei einer anderen Produktversion schon erledigt haben.
• Vorgänge nach Art. 14 mit Status von Signal – in Prüfung bis Abgeschlossen – gemeldet, Zeitleiste und Vorgangsakte als PDF für Aufsicht oder Archiv.
• SRP-Meldeformular nach dem SRP-Glossar 1.3 vom 25. 9. 2026: Feldnummern, Zeichenzähler, Pflichtfeldprüfung vor der Einreichung und die Schaltfläche Alles kopieren.
• Eingegangene Schwachstellenmeldungen (Nummern VR-…), ein öffentliches Formular unter /Security und die Vorlage einer Richtlinie zur koordinierten Offenlegung auf Tschechisch, Englisch und Deutsch.
• Gap-Analyse: 50 Fragen in sieben Bereichen A bis G, Bewertung auf drei Ebenen, Aktionsplan mit der Schaltfläche Aufgabe erstellen, Roadmap nach Quartalen bis 11. 12. 2027 und ein PDF-Bericht.
• Konformität und technische Dokumentation: Anforderungen des Anhangs I (I-1, I-2a bis I-2m, II-1 bis II-8), 5×5-Risikomatrix, Anhang VII, EU-Konformitätserklärung und Nutzerinformationen nach Anhang II.
• Eingefrorene Ausgaben: Der Abschlussbericht der Gap-Analyse, die Anlagen der SRP-Einreichungen und freigegebene Dokumentversionen werden mit einem SHA-256-Fingerabdruck gespeichert und lassen sich weder überschreiben noch löschen.
• Verlauf und Papierkorb: Jede Änderung wird mit Benutzer, Zeit sowie altem und neuem Wert protokolliert, auch abgelehnte Versuche ohne Berechtigung.

Meldebereitschaft: SRP-Vertreter, Urlaub und der Ablauf für die ersten 24 Stunden

Das häufigste Scheitern bei der Meldung ist nicht technischer Natur. Ins SRP kommt nur, wer sich auf dem Portal über EU Login mit Mehrfaktor-Authentifizierung registriert hat und dessen Bindung an die Firma das koordinierende CSIRT bestätigt hat. Eine begonnene Meldung sieht im SRP außerdem nur ihr Autor. Ist der einzige Vertreter im Urlaub, kann niemand sonst darauf zugreifen.

Das Modul überwacht das mit der Checkliste Meldebereitschaft (Art. 14) auf dem Reiter CRA-Übersicht. Sie hat neun Punkte: verifizierter primärer und sekundärer Vertreter, ein in den letzten 90 Tagen getesteter SRP-Login, die entscheidungsbefugte Person und ihre Stellvertretung (jeweils eine andere Person), Empfänger der Benachrichtigungen, eindeutige Klassifizierung der Produkte, Übung innerhalb der letzten 12 Monate und Erreichbarkeit der Personen in den nächsten 60 Tagen. Das SRP erlaubt einen primären und höchstens 20 sekundäre Vertreter.

Ist das Modul Urlaub aktiv, zeigt die Übersicht gelbe Balken für Zeiträume, in denen keiner der Vertreter oder weder die entscheidungsbefugte Person noch ihre Stellvertretung erreichbar ist. Es zählen nur genehmigte Urlaube, ausstehende und abgelehnte nicht. Einmal täglich morgens kommt eine E-Mail über Zeiträume, die innerhalb von 14 Tagen beginnen.

Für Nacht und Wochenende gibt es das einseitige PDF Ablauf für die ersten 24 Stunden: Kontakte der entscheidungsbefugten Person und der Vertreter mit den Telefonnummern aus den Benutzerkarten, das koordinierende CSIRT, acht nummerierte Schritte vom Signal bis zu den parallelen Meldungen und eine Tabelle der Felder, die das SRP in der Frühwarnung verlangt. Drucken Sie es aus. Und üben Sie den ganzen Ablauf einmal im Jahr als Übungsvorgang mit der Kennzeichnung ÜBUNG; eine Übung startet keine echten Fristen, und die Checkliste verlangt sie.

Das richtige Werkzeug für den CRA wählen: Fragen vor dem Kauf

Unterscheidet das Werkzeug Erfassung und Meldung?

Viele Werkzeuge kennen nur eine Komponentenliste. Fragen Sie, ob es einen Vorgang nach Art. 14 mit drei getrennt laufenden Fristen gibt und ob berechnet wird, ab wann eine Frist läuft. Im CRA-Modul läuft nichts, bis die entscheidungsbefugte Person die Feststellung mit Datum und Begründung einträgt. Weder ein CVE-Treffer noch ein Eintrag im KEV-Katalog setzt die Uhr von selbst in Gang.

Entspricht das Formular der tatsächlichen Plattform?

Die Meldung wird auf Englisch in den Feldern des SRP eingereicht. Prüfen Sie, ob das Werkzeug dieselben Feldnamen und Nummern wie das Glossar der Plattform nutzt und auf ein fehlendes Pflichtfeld hinweist, bevor Sie es im Portal ein zweites Mal ausfüllen. Das Formular im Modul unterscheidet zwischen aktiv ausgenutzter Schwachstelle und schwerwiegendem Sicherheitsvorfall sowie der Meldephase.

Bleibt nach der Einreichung eine Spur, die Sie vertreten können?

Eine eingereichte Meldung ist gesperrt, Anlagen werden beim Abschluss des Vorgangs gesperrt, und die Korrektur des Feststellungszeitpunkts darf nur ein Administrator mit Pflichtbegründung vornehmen; der ursprüngliche Wert bleibt in der Akte. Eine Aktualisierung auf Anforderung des CSIRT nach Art. 14 Abs. 6 erfassen Sie als eigenen Eintrag.

Was ist mit Produkten, die schon auf dem Markt sind?

Die Meldepflicht betrifft auch die installierte Basis, die vor dem 11. 12. 2027 in Verkehr gebracht wurde, und besteht nach Ende des Verkaufs, des Supports und der Außerbetriebnahme fort. Fragen Sie, ob das Werkzeug den Modus für Sie bestimmt und ob es Hardware mit neuen Aufträgen nach dem 10. 12. 2027 von älteren Stücken unterscheiden kann.

Wie viel Kontrolle hat jemand, der nichts eingerichtet hat?

Ins Modul kommt jeder mit Leserecht und kann einen Verdacht melden. Bearbeiten, Finalisieren und Löschen sind auf vier Berechtigungsstufen verteilt. Wer die SRP-Vertreter ändern darf, bestimmt eine eigene Stufe, die Einstellungen des Moduls CRA.

Cyber Resilience Act für kleine Hersteller und für Firmen mit mehreren Produkten

Ein kleiner Hersteller von Embedded-Geräten mit drei Leuten in der Entwicklung braucht kein zertifiziertes Sicherheitsteam, sondern eine Produktliste, SBOM und Klarheit darüber, wer meldet. Das Modul gibt ihm eine feste Abfolge von Schritten und zwingt ihn nicht, eine interne Richtlinie bei null zu schreiben. Die Unternehmensgröße stellen Sie im Modul als Kleinstunternehmen (bis 10 Beschäftigte), kleines (bis 50), mittleres (bis 250) oder großes Unternehmen ein. Melden muss jeder unabhängig von der Größe; das Modul erfasst die Größe nur und trägt sie in die Meldung ein.

Eine Softwarefirma mit zehn Produkten und mehreren Dutzend Versionen hat das umgekehrte Problem: die Menge. Dabei helfen die Sammelbewertung von Feststellungen, der Filter nach Produkt, die übernommene Bewertung derselben Komponente und die Zahl am Menüpunkt, die Verdachtsfälle zur Bewertung, Vorgänge im Status Festgestellt und Feststellungen nach Fristablauf zählt. Die CRA-Karte im Dashboard fasst offene Vorgänge, die nächste Frist und den Wert der letzten Gap-Analyse zusammen.

Ein Berater, der die Gap-Analyse für einen Kunden führt, erhält die Stufe CRA-Verwaltung. Die Gespräche hält er auf dem Reiter Gespräche fest, schickt dem Kunden einen Bericht mit dem Wasserzeichen ENTWURF und finalisiert ihn. Die nächste Runde entsteht als Kopie mit übernommenen Antworten.

Woher das Modul CRA seine Daten bezieht: SBOM, OSV, KEV-Katalog und eingegangene Meldungen

Eingang

Die Komponentenliste laden Sie als SBOM-Datei hoch. Die Qualität wird auf drei Ebenen bewertet: CRA-Minimum (maschinenlesbares Format, Hauptkomponente und Abhängigkeiten der obersten Ebene), Ebene BSI TR-03183-2 (CycloneDX 1.6 und neuer oder SPDX 3.0.1, Kennungen purl oder CPE, SHA-512-Hash, Lizenzen) und eine ergänzende Ebene. Feststellungen entstehen nur bei Komponenten mit purl samt Version oder gültiger CPE; die Versionsansicht zeigt daher, wie viele Komponenten die Überwachung nicht auswerten kann.

Die tägliche Überwachung liest die öffentliche Quelle OSV und den EUVD-Katalog aktiv ausgenutzter Schwachstellen, als Rückfall dient der US-Katalog der CISA. Komponenten mit CPE werden zusätzlich nach und nach in der Quelle NVD geprüft, jede etwa einmal pro Woche. Meldungen aus aller Welt kommen auch über die Anlaufstelle: per E-Mail, von einem Kunden, vom CSIRT oder über das öffentliche Formular /Security, das ein Captcha und ein Limit von 5 Meldungen pro Stunde und 20 pro Tag je IP-Adresse schützen.

Hardware

Hardware brauchen Sie keine. Das Modul läuft im Browser, und zum Erzeugen der SBOM nutzen Sie die Werkzeuge, die Sie in der Entwicklung ohnehin haben.

Ausgabe

Die SBOM der gewählten Version exportieren Sie in CycloneDX 1.6 (Datei .cdx.json). Aus der Gap-Analyse entstehen der PDF-Bericht, Aktionsplan und Roadmap (XLSX) sowie die Unterlagenliste als XLSX und PDF. Beim Vorgang ist es die Vorgangsakte (PDF), und über das Modul Aufgaben können Sie den Verantwortlichen Maßnahmen aus dem Aktionsplan zuweisen. Die Datei security.txt nach RFC 9116 erstellt das Modul aus der Kontakt-E-Mail selbst; Sie legen sie auf der Website unter /.well-known/security.txt ab und erneuern sie jährlich, sie gilt ein Jahr im Voraus. An das SRP, an Behörden oder Kunden sendet das Modul nichts.

Was das Modul Cyber Resilience Act kostet

Das Modul ist im Preis jedes eIntranet-Tarifs enthalten, eine eigene Lizenz für den CRA gibt es nicht. Sie zahlen pro Benutzer mit Systemzugang, nicht für Produkte, Versionen, Komponenten oder die Zahl der Vorgänge. Sie müssen also nicht abwägen, wie viele Produkte Sie sich zu erfassen leisten können.

Ein Rechenbeispiel: ein Entwicklungsteam und zwei Leute aus dem Support, zusammen 8 Benutzer im Tarif Basis, zahlen 8 × 2,4 € = 19,2 € monatlich ohne MwSt. Wächst das Team um einen Berater und die Geschäftsleitung auf 15 Benutzer, gilt bereits der Satz der Stufe ab 11 Benutzern: 15 × 2,1 € = 31,5 € monatlich. Die Tarife Normal und Extra unterscheiden sich in Speicherplatz pro Benutzer (0,5, 2 und 4 GB) und Satz; alle Module sind in jedem davon enthalten. Die vollständige Preisliste finden Sie unter /de/pricelist.

Hardware brauchen Sie keine. Wenn Sie Hilfe bei der Einrichtung der Vertreter und des Ablaufs wünschen, bieten wir Beratung und Schulung an, die Preise stehen in der Preisliste. Anpassungen nach Maß, etwa die Anbindung an Ihr Entwicklungssystem, sind Auftragsprogrammierung nach Preisliste. Für die Schwachstellenüberwachung und die KI-Helfer fällt kein Aufpreis an; die KI verbraucht Guthaben der Firma und ist standardmäßig ausgeschaltet.

CRA-Lösungen kostenlos: Was ohne Bezahlung geht und wo die Grenze liegt

Wer ein Produkt hat und seine Komponenten im Blick behält, kommt zunächst ohne uns aus. Eine SBOM erzeugen kostenlose Werkzeuge, Schwachstellen überwacht die öffentliche Datenbank OSV, und der KEV-Katalog ist öffentlich. Eine Excel-Tabelle mit den Kontakten der meldenden Personen und ein Link zum SRP-Portal reichen für den ersten Monat.

Die Grenze zeigt sich an drei Stellen. Erstens beim Nachweis: Excel hält nicht fest, wer wann den Feststellungszeitpunkt geändert hat, und sperrt eine eingereichte Meldung nicht. Die Vorgangsakte, die die Aufsicht anfordert, setzen Sie dann mühsam aus E-Mails zusammen. Zweitens bei der Vertretung: Die Tabelle merkt nicht, dass beide SRP-Vertreter am Freitag Urlaub haben. Drittens bei der Zahl der Produkte und Versionen: Sobald Sie Dutzende SBOM führen, finden Sie von Hand nicht mehr heraus, welche Versionen eine neue Schwachstelle in einer Bibliothek betrifft.

Kostenlos können Sie alles ausprobieren: 14 Tage Testzeit ohne Verpflichtung, einschließlich eines Übungsvorgangs.

So führen Sie das Modul Cyber Resilience Act ein

Beginnen Sie mit den Einstellungen: Einstellungen → Cyber Resilience Act → Allgemeine Einstellungen. Die Optionen werden sofort beim Verlassen des Feldes gespeichert, und jede Änderung landet im Verlauf. Beim ersten Öffnen des Moduls werden die Herstellerdaten aus der Firmenkarte vorausgefüllt.

1. Herstellerdaten: Firma, Adresse, E-Mail für Nutzer und Website. Sie werden in der EU-Konformitätserklärung und in den Nutzerinformationen verwendet.
2. Meldung nach Art. 14: Staat der Hauptniederlassung (Standard Tschechien), koordinierendes CSIRT (Standard NÚKIB), Unternehmensgröße, entscheidungsbefugte Person und Stellvertretung, Ziel für die Erstbewertung eines Signals (1 bis 168 Stunden, Standard 24) und Erinnerungen vor dem Termin, zum Beispiel 12;4;1.
3. SRP-Vertreter: Fügen Sie mindestens einen primären und einen sekundären hinzu, ergänzen Sie das Verifizierungsdatum des CSIRT und vermerken Sie den getesteten Login.
4. Anlaufstelle: ein eigenes Postfach der Art security@ihre-domain, die CVD-Richtlinie aus der Vorlage und bei Bedarf das öffentliche Formular.
5. Berechtigungen: Die Stufe Lesen und Verdacht melden vergeben Sie an die ganze Firma, Bearbeiten an die Entwickler, CRA-Verwaltung an den Berater und die Leitung.
6. Produkte und SBOM: Legen Sie Produkte an, fügen Sie Versionen hinzu und laden Sie die SBOM hoch. Damit startet die tägliche Überwachung.

Öffnen Sie dann die CRA-Übersicht: Die Checkliste zeigt, was noch fehlt, und der Link an jedem Punkt führt zur Stelle der Korrektur. Die Gap-Analyse legen Sie am besten an, wenn die Produkte im Register stehen.