CRA-Leitfaden für Hersteller
Die Pflichten, die die Cyberresilienz-Verordnung den Herstellern von Produkten mit digitalen Elementen auferlegt; von der Risikobewertung über die CE-Kennzeichnung bis hin zu den Pflichten nach dem Inverkehrbringen.
Schritte zur Konformität
Anwendungsbereich und Einstufung bestätigen
Art. 2 · 6 · 7Stellen Sie fest, dass das Produkt in den Anwendungsbereich fällt, und bestimmen Sie seine Klasse; davon hängt jeder weitere Schritt ab.
- ✓Bestätigen Sie, dass das Produkt digitale Elemente aufweist und auf dem EU-Markt präsent ist
- ✓Als Standardprodukt, wichtiges oder kritisches Produkt einstufen
- ✓Prüfen Sie die Kategorienlisten in Anhang III / IV
Eine Cybersicherheits-Risikobewertung durchführen
Art. 13(2)Stützen Sie die Produktgestaltung auf eine dokumentierte Bewertung der Cybersicherheitsrisiken.
- ✓Ermitteln Sie Bedrohungen und einschlägige Risiken
- ✓Bestimmen, welche grundlegenden Anforderungen gelten
- ✓Die Bewertung zusammen mit Ihrer Dokumentation aufbewahren
Die Risikobewertung ist die Grundlage, die Prüfer und die Marktüberwachung zuerst sehen wollen.
Die grundlegenden Anforderungen erfüllen
Annex I · IGestalten und fertigen Sie das Produkt so, dass es die Sicherheitseigenschaften nach Anhang I erfüllt.
- ✓Sichere Standardkonfiguration
- ✓Schutz von Vertraulichkeit und Integrität
- ✓Resilienz und Verfügbarkeit wesentlicher Funktionen
- ✓Minimierte Angriffsfläche
Schwachstellenbehandlung betreiben
Annex I · IIWährend des gesamten Unterstützungszeitraums einen Schwachstellenbehandlungsprozess betreiben.
- ✓Eine SBOM führen
- ✓Schwachstellen beheben und offenlegen
- ✓Stellen Sie kostenlose Sicherheitsupdates bereit
Technische Dokumentation zusammenstellen
Anhang VIIStellen Sie die vollständigen technischen Unterlagen zusammen und pflegen Sie sie, bevor Sie das Produkt in Verkehr bringen.
- ✓Produktbeschreibung und Risikobewertung
- ✓Angaben zu Konzeption und Herstellung
- ✓EU-Konformitätserklärung
Wählen Sie den Weg der Konformitätsbewertung
Art. 32Wählen Sie das Bewertungsverfahren, das zu Ihrer Produktklasse passt.
- ✓Selbstbewertung nach Modul A für Standardprodukte
- ✓Normbasiert oder durch Drittbewertung bei wichtigen Produkten
- ✓Europäische Zertifizierung für kritische Produkte
Konformität erklären und CE-Kennzeichnung anbringen
Art. 28 · 30Vervollständigen Sie die Erklärung und bringen Sie die Kennzeichnung an, die die Konformität signalisiert.
- ✓Erstellen und unterzeichnen Sie die EU-Konformitätserklärung
- ✓CE-Kennzeichnung sichtbar anbringen
- ✓Stellen Sie Benutzerinformationen und Anleitungen bereit
Pflichten nach dem Inverkehrbringen erfüllen
Art. 13(8) · 14Überwachen Sie das Produkt, melden Sie wie vorgeschrieben und halten Sie es während des gesamten Unterstützungszeitraums sicher.
- ✓Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden
- ✓Ergreifen Sie Korrekturmaßnahmen für nicht konforme Produkte
- ✓Mit den Marktüberwachungsbehörden zusammenarbeiten
Der Unterstützungszeitraum muss mindestens fünf Jahre betragen (oder die erwartete Lebensdauer des Produkts, falls länger), gerechnet ab dem Inverkehrbringen auf dem EU-Markt. Während dieser Zeit müssen Sie Schwachstellen behandeln und kostenlose Sicherheitsupdates bereitstellen; jedes Update muss anschließend 10 Jahre lang verfügbar bleiben, und die technischen Unterlagen sowie die EU-Konformitätserklärung müssen 10 Jahre lang aufbewahrt werden.
Jedes Werkzeug unten ist kostenlos nutzbar und öffnet sich hier in einem Seitenbereich, damit Sie nicht Ihre Stelle verlieren.
Klären Sie, ob die Verordnung anwendbar ist und welche Klasse für Sie wahrscheinlich gilt.
Hier öffnen →KostenlosKonformitätsmatrixOrdnen Sie jede Pflicht aus Anhang I und VII zu und verfolgen Sie sie bis zur Erledigung.
Hier öffnen →KostenlosKostenrechnerSchätzen Sie die einmaligen und jährlichen Kosten der Konformität ab.
Hier öffnen →KostenlosVulnerability AnalyzerGleichen Sie Ihre SBOM mit der NVD und der EUVD ab und behalten Sie End-of-Life-Komponenten im Blick.
Hier öffnen →KostenlosDoC-GeneratorErstellen Sie eine EU-Konformitätserklärung (Anhang V) für Ihr Produkt.
Hier öffnen →KostenlosKlassifizierungsfinderStellen Sie namentlich fest, ob Ihr Produkt zur Standardkategorie zählt oder als wichtig oder kritisch gilt.
Hier öffnen →KostenlosPlaner für den UnterstützungszeitraumLegen Sie Ihren Mindest-Unterstützungszeitraum fest und kennzeichnen Sie Komponenten, die zu früh das Ende ihrer Lebensdauer erreichen.
Hier öffnen →Weitere Leitfäden für Beteiligte
Softwareentwickler
Wie die Cyberresilienz-Verordnung auf Softwareprodukte anzuwenden ist; von der sicheren Entwicklung über die Schwachstellenbehandlung und SBOMs bis hin zur CE-Kennzeichnung.
Einführer und Händler
Was Wirtschaftsakteure prüfen müssen, bevor; und nachdem; sie ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellen.
So erhalten Sie eine CE-Kennzeichnung
Die Schritte zur Erklärung der Konformität und zum Anbringen der CE-Kennzeichnung für ein Produkt mit digitalen Elementen.