17 Begriffe
CRA-Glossar
18 Begriffe von AEV bis VEX erklärt
Der CRA arbeitet mit einer hohen Dichte an Abkürzungen, und viele davon stehen für Dinge, die es vor dieser Verordnung nicht gab. Jeder Eintrag hier beantwortet die Frage vollständig, ohne dass Sie den Rest der Seite gelesen haben müssen.
Aktualisiert am:
AEV
Actively exploited vulnerability, aktiv ausgenutzte Schwachstelle
- Eine Schwachstelle, die nachweislich in freier Wildbahn ausgenutzt wird. Sie löst nach Artikel 14 Abs. 1 CRA den ersten Meldestrang aus, mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht spätestens 14 Tage nach Verfügbarkeit der Abhilfe. Ein veröffentlichter Machbarkeitsnachweis allein ist noch keine Ausnutzung.Der Schwachstellenstrang im Einzelnen
CRA
Cyber Resilience Act, Verordnung (EU) 2024/2847
- Die Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. In Kraft seit dem 11. Dezember 2024. Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.Was Artikel 14 verlangt
CSAF
Common Security Advisory Framework
- Ein maschinenlesbares Format für Sicherheitshinweise im JSON-Format, standardisiert bei OASIS. Es ist der praktische Weg, die Unterrichtung der Nutzer nach Artikel 14 Abs. 8 CRA in einem strukturierten Format zu leisten, wie die Verordnung es bevorzugt.Nutzer unterrichten
CSIRT
Computer Security Incident Response Team
- Das von einem Mitgliedstaat benannte Team für die Behandlung von Sicherheitsvorfällen. Für Meldungen nach Artikel 14 CRA ist das CSIRT zuständig, das der Mitgliedstaat als Koordinator benannt hat. Welcher Mitgliedstaat das ist, richtet sich nach Artikel 14 Abs. 7.Welches CSIRT für Sie zuständig ist
CVE
Common Vulnerabilities and Exposures
- Das weltweit genutzte Nummernsystem für öffentlich bekannte Schwachstellen. Eine CVE-Kennung ist keine Voraussetzung der Meldepflicht: Gemeldet wird ab Kenntnis, und die Vergabe einer Kennung dauert oft länger als 72 Stunden.
CE-Kennzeichnung
- Die Erklärung des Herstellers, dass sein Produkt den geltenden Unionsanforderungen entspricht. Für Produkte mit digitalen Elementen wird sie ab dem 11. Dezember 2027 verlangt. Für die Meldepflicht ab September 2026 spielt sie keine Rolle: Auch ein Produkt ohne CE-Kennzeichnung nach dem CRA ist meldepflichtig.Produktklassen und Konformität
ENISA
Agentur der Europäischen Union für Cybersicherheit
- Die Unionsagentur für Cybersicherheit. Sie errichtet und betreibt nach Artikel 16 CRA die einheitliche Meldeplattform und erhält jede Meldung nach Artikel 14 gleichzeitig mit dem koordinierenden CSIRT.Die Meldeplattform
Hauptniederlassung
- Nach Artikel 14 Abs. 7 CRA der Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden. Nicht der Ort der Handelsregistereintragung und nicht der Sitz der Rechtsabteilung. Er bestimmt, welches CSIRT zuständig ist.Die Zuordnung durchspielen
Konformitätsbewertung
- Das Verfahren, mit dem nachgewiesen wird, dass ein Produkt die Anforderungen der Verordnung erfüllt. Für die meisten Produkte genügt ab Dezember 2027 die Selbstbewertung. Für wichtige Produkte der Klassen I und II sowie für kritische Produkte ist eine notifizierte Stelle einzubeziehen.Produktklassen und Konformität
Notifizierte Stelle
- Eine von einem Mitgliedstaat benannte und der Kommission gemeldete Prüfstelle, die Konformitätsbewertungen durchführt. Sie wird für wichtige und kritische Produkte gebraucht, ab dem 11. Dezember 2027.
Produkt mit digitalen Elementen
- Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Der Begriff ist der Schlüssel zum Anwendungsbereich: Die Verbindung muss möglich sein, nicht genutzt werden.Wer unter den CRA fällt
SBOM
Software Bill of Materials, Stückliste der Softwarebestandteile
- Ein maschinenlesbares Verzeichnis aller Komponenten eines Produkts samt Version und Herkunft. Ab dem 11. Dezember 2027 verlangt, in der Praxis aber schon für die 72-Stunden-Meldung nötig: Dort ist die betroffene Komponente zu benennen. Gängige Formate sind CycloneDX und SPDX.SBOM-Schnellstart
Schwerwiegender Sicherheitsvorfall
- Nach Artikel 14 Abs. 5 CRA ein Vorfall, der die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder der zur Einschleusung oder Ausführung von Schadcode geführt hat oder führen kann. Die beiden Tatbestände sind mit oder verbunden.Schnelltest zur Schwere
SRP
Single Reporting Platform, einheitliche Meldeplattform
- Die von der ENISA nach Artikel 16 CRA errichtete Plattform, über die Meldungen nach Artikel 14 eingereicht werden. Eine Einreichung, die Plattform leitet an das koordinierende CSIRT und die ENISA weiter. Der Zugang läuft über ein EU-Login mit Registrierung; eine Programmierschnittstelle stellt die ENISA vorerst nicht bereit.Wie die Meldeplattform funktioniert
Unterstützungszeitraum
- Der Zeitraum, in dem der Hersteller Schwachstellen des Produkts wirksam behandelt und Sicherheitsupdates bereitstellt. Er ist ab Dezember 2027 festzulegen und anzugeben und beträgt in der Regel mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist.
VEX
Vulnerability Exploitability eXchange
- Ein Profil innerhalb maschinenlesbarer Sicherheitshinweise, mit dem ein Hersteller aussagt, ob eine bekannte Schwachstelle sein Produkt tatsächlich betrifft. Nützlich, weil eine verwundbare Bibliothek im Produkt nicht bedeutet, dass das Produkt angreifbar ist.
Wichtige und kritische Produkte
- Zwei Kategorien mit erhöhten Anforderungen an das Konformitätsverfahren. Wichtige Produkte sind in Klasse I und II unterteilt, dazu zählen etwa Passwortmanager, Netzwerkverwaltung, Betriebssysteme und Firewalls. Kritische Produkte sind zum Beispiel Hardware-Sicherheitsmodule und Smartcards. Für die Meldepflicht ab September 2026 ist die Einordnung ohne Bedeutung.Produktklassen und Konformität
Die drei Begriffe, die im Ernstfall zählen
Aktiv ausgenutzte Schwachstelle, schwerwiegender Sicherheitsvorfall, zuständiges CSIRT. Die ersten beiden entscheiden, ob und nach welchem Strang gemeldet wird, der dritte, wohin. Für alle drei gibt es ein Werkzeug.
Sechs Werkzeuge, alle kostenlos und im Browser gerechnet. Keines überträgt Angaben zu einem Vorfall.