Ratgeber
Der Cyber Resilience Act, Frage für Frage beantwortet
Von der Meldepflicht bis zum Stichtag im Dezember 2027
Jeder Artikel beantwortet eine Frage, die Hersteller digitaler Produkte stellen: Wer betroffen ist, was gemeldet werden muss, was die CE-Kennzeichnung verlangt und was bei Verstößen droht.
Was verlangt der Cyber Resilience Act von Softwareherstellern?Die Pflichten der Verordnung im Überblick: Herstellerverantwortung, Konformität, Meldung und Marktaufsicht, mit den beiden Stichtagen.Wer gilt als Hersteller, Einführer oder Händler im CRA?Nur der Hersteller meldet. Die vier Marktrollen, ihre Pflichten und der Sonderfall Dienstleister.Wann braucht Software eine CE-Kennzeichnung nach dem CRA?Ab Dezember 2027, mit technischer Dokumentation und Konformitätsbewertung. Das Verfahren in vier Schritten.Was ist der Unterschied zwischen wichtigen und kritischen Produkten im CRA?Die Einstufung nach Anhang I und II bestimmt die Konformitätsroute, nicht die Meldepflicht.Wie läuft eine CRA-Meldung von der Kenntnis bis zum Abschlussbericht ab?Drei Stufen, zwei Stränge, ein Kenntniszeitpunkt. Mit den Pflichten, die daneben laufen.Wie lange muss ein Hersteller Sicherheitsupdates nach dem CRA liefern?Über den gesamten Unterstützungszeitraum. Was das für Supportenden und Altprodukte bedeutet.Was verlangt der CRA für die sichere Entwicklung von Software?Artikel 13: Sorgfalt bei Komponenten, Schutz der Entwicklungsumgebung, Schwachstellenbehandlung.Was ist eine SBOM und wie erstelle ich sie für den CRA?Das Komponentenverzeichnis des Produkts, mit CycloneDX und SPDX und dem Nutzen im Meldefall.Worin unterscheidet sich der CRA von NIS-2, DORA und der DSGVO?Vier Vorschriften, vier Anknüpfungspunkte. Was bei Doppelbefassung zu melden ist.Gilt der CRA für Open-Source-Software, SaaS und Cloud-Dienste?Drei Grenzfälle, eine Logik: Der CRA erfasst, was ausgeliefert und in Verkehr gebracht wird.Wie hoch sind die Bußgelder des CRA und wer haftet?Bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes. Die Auslöser und die Fallakte.Was gilt ab dem 11. Dezember 2027 und wie bereitet man sich vor?Der Vorbereitungsplan in drei Stufen nach Aufwand, für kleine Softwareunternehmen.