Zeitplan
Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Der Rest der Verordnung gilt ab dem 11. Dezember 2027.
Verordnung (EU) 2024/2847 · CRA
Bereiten Sie den Cyber Resilience Act nach Ihrer Rolle und Produktklasse vor.
Geben Sie an, ob Sie herstellen, importieren, vertreiben oder Open-Source-Software verwalten, und welcher Klasse Ihr Produkt angehört. Audexa zeigt Ihnen nur die Kontrollen, die für Sie gelten: grundlegende Anforderungen, Schwachstellenbehandlung, SBOM, Meldung an die ENISA, technische Dokumentation und CE-Kennzeichnung, mit einem Maßnahmenplan für jede Lücke.
- 67 Kontrollen in 10 Abschnitten
- Profil nach Rolle und Produktklasse
- Zuordnungen zu ISO 27001 und NIS2
CRA-SelbstbewertungHersteller · Wichtig Klasse I
47%
VorbereitungsgradBeispieldaten
- Grundlegende Anforderungen (Anhang I, Teil I)58%
- Schwachstellenbehandlung (Anhang I, Teil II)44%
- SBOM und Unterstützungszeitraum36%
- Meldung an ENISA und CSIRT52%
- Technische Dokumentation und Konformität39%
67 Kontrollen mit Bewertungs- und Umsetzungshinweisen
10 Abschnitte, vom Produktumfang bis zur Marktüberwachung
57 Zuordnungen zu ISO/IEC 27001:2022
44 Zuordnungen zu NIS2, um Vorhandenes wiederzuverwenden
Was der CRA verlangt
Cybersicherheit wird zur Voraussetzung, um Ihr Produkt in der EU zu verkaufen.
Der Cyber Resilience Act legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, vom Design bis zum Ende des Unterstützungszeitraums. Die Pflichten hängen von der Rolle jedes Wirtschaftsakteurs und der Klasse des Produkts ab.
Grundlegende Anforderungen
Anhang I legt Anforderungen an das Produkt (sichere Standardkonfiguration, Datenschutz, Updates) und an die Schwachstellenbehandlung während des Unterstützungszeitraums fest.
Meldung
Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die zentrale Meldeplattform, mit einer Frühwarnung innerhalb von 24 Stunden und einer Meldung innerhalb von 72 Stunden.
Produktklasse
Wichtige Produkte der Klassen I und II sowie kritische Produkte durchlaufen strengere Konformitätsbewertungsverfahren als Standardprodukte.
Dokumentation und CE-Kennzeichnung
Technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung, bevor das Produkt in Verkehr gebracht wird.
Importeure und Händler
Sie müssen prüfen, ob das Produkt konform ist, die CE-Kennzeichnung und die Dokumentation trägt, und handeln, wenn sie ein Risiko erkennen.
Quellen: Verordnung (EU) 2024/2847 (EUR-Lex)
So hilft Audexa
Vom Produktprofil zum Maßnahmenplan.
Derselbe Ablauf wie bei allen Audexa-Audits, zugeschnitten auf Unternehmen, die digitale Produkte auf den europäischen Markt bringen.
Eingrenzen
Nur was für Sie gilt.
Profilfrage
Wählen Sie eine oder mehrere Rollen und die Produktklasse und sehen Sie, wie viele Fragen Ihr Fragebogen haben wird.
Anwendbarkeit mit Begründung
Legen Sie fest, welche Kontrollen gelten, welche nicht und welche außerhalb des Geltungsbereichs liegen, und halten Sie den Grund fest.
Was Sie schon haben
Beim Anlegen des Audits sehen Sie, wie viel Ihre ISO-27001- oder NIS2-Audits bereits abdecken.
Bewerten und handeln
Jede Lücke mit dem nächsten Schritt.
Geführter Fragebogen
Ja, Teilweise, Nein oder Nicht anwendbar für jede Kontrolle, mit Hinweisen zur Bewertung.
So erfüllen Sie jede Kontrolle
Konkrete Schritte, erwartete Nachweise, vorgeschlagene Verantwortliche, Abschlusskriterium und Überprüfungstermin.
Aufgabenplan
Feststellungen als Aufgaben mit Unteraufgaben, Verantwortlichen und Terminen.
Nachweisen
Alle Nachweise an einem Ort.
Nachweistresor
SBOMs, Testberichte, Meldeverfahren oder technische Dokumentation mit Überprüfungs- und Ablaufdatum.
Richtlinien
Eine Bibliothek mit 67 Vorlagen. 6 sind mit dem CRA verknüpft: „Richtlinie zur Produktsicherheit und koordinierten Offenlegung von Schwachstellen“, „Verfahren zur Produktkonformität und CE-Kennzeichnung (CRA)“, „Sichere Entwicklungsrichtlinie“, „Richtlinie zur Schwachstellen- und Patch-Verwaltung“, „Verfahren zur Meldung von Vorfällen an Behörden“ und „Verfahren für Anfragen von Behörden und die Offenlegung von Daten“. Sie sind ein Ausgangspunkt, den Sie anpassen und freigeben.
Berichte und Re-Audit
Bewertung, Feststellungen und Bericht als PDF und Excel. Erneut bewerten und die Entwicklung vergleichen.
Einige Funktionen hängen vom gebuchten Plan und den aktiven Modulen ab.
Profilfrage
Ein Hersteller und ein Händler beantworten nicht dieselben Fragen.
Vor dem Fragebogen geben Sie Ihre Rolle an, gern auch mehrere, denn viele Unternehmen stellen einige Produkte her und importieren oder vertreiben andere. Danach wählen Sie die Klasse Ihres Hauptprodukts, die das Konformitätsbewertungsverfahren bestimmt. Wenn Sie sie noch nicht kennen, starten Sie mit dem Produkt als nicht eingestuft und ändern die Klasse später.
- Rollen: Hersteller, Importeur, Händler, Verwalter quelloffener Software
- Klassen: nicht eingestuft (Standard), wichtig Klasse I, wichtig Klasse II oder kritisch
- Ein Abschnitt zur Einstufung des Produkts, falls noch nicht erfolgt
- Anzahl der Fragen vor dem Start sichtbar
ProduktprofilCRA
- HerstellerAusgewählt
- ImporteurAusgewählt
- HändlerNein
- ProduktklasseWichtig Klasse I
Meldung
Schwachstellen und Vorfälle, mit klaren Fristen.
Ein Abschnitt prüft, ob Sie eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall erkennen und über die zentrale Meldeplattform an das koordinierende CSIRT und die ENISA melden können. Ein weiterer behandelt die Schwachstellenbehandlung: SBOM, koordinierte Offenlegung, Sicherheitsupdates und Unterstützungszeitraum.
- Frühwarnung, Meldung und Abschlussbericht
- Information der betroffenen Nutzer
- SBOM und angegebener Unterstützungszeitraum
- Zuordnungen zu NIS2, um Ihr Vorfallverfahren wiederzuverwenden
CRA-MeldungArt. 14
- Frühwarnung24 h
- Meldung72 h
- Abschlussbericht14 Tage nach der Korrektur
- Verfahren freigegebenGültiger Nachweis
So funktioniert es
Drei Schritte zur Vorbereitung auf den CRA.
Profil festlegen
Wählen Sie Ihre Rollen und die Produktklasse und sehen Sie, wie viel Ihre bisherige Arbeit abdeckt.
Mit Anleitung beantworten
Bewerten Sie die geltenden Kontrollen und prüfen Sie die aus ISO 27001 oder NIS2 vorgeschlagenen Antworten.
Umsetzen und erneut prüfen
Arbeiten Sie den Aufgabenplan ab, sammeln Sie Nachweise und bewerten Sie vor jedem Meilenstein erneut.
Pläne
Verfügbar ab dem Premium-Plan.
Der Cyber Resilience Act ist in Premium und Diamond enthalten, nicht in Free oder Core. In der Demo erhalten Sie ein verbindliches Angebot.
Premium
EmpfohlenFür Produkt- und Sicherheitsteams, die den ganzen Zyklus abbilden wollen.
- CRA und die übrigen neuen Frameworks
- 10 Audits pro Monat und 3 Benutzer
- 200 Assets pro Bereich
- Richtlinien, Nachweise, Risiken, Aufgaben und Assistent Aude
Diamond
Für Hersteller mit vielen Produkten oder große Teams.
- Unbegrenzte Audits und Benutzer
- Alles aus Premium
Häufige Fragen
Was uns zu Cyber Resilience Act häufig gefragt wird.
Ab wann gilt der Cyber Resilience Act?
Die Verordnung ist im Dezember 2024 in Kraft getreten. Die Pflichten zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle gelten seit dem 11. September 2026, der Rest, einschließlich der grundlegenden Anforderungen und der CE-Kennzeichnung, ab dem 11. Dezember 2027.
Ich bin Importeur oder Händler, kein Hersteller. Betrifft mich das?
Ja, mit anderen Pflichten. In der Profilfrage geben Sie Ihre Rolle an, und der Fragebogen enthält den Abschnitt für Importeure und Händler. Wenn Sie ein Produkt wesentlich verändern oder unter Ihrer Marke verkaufen, können Sie Herstellerpflichten übernehmen: Eine Kontrolle hilft, das zu prüfen.
Führt Audexa die Konformitätsbewertung oder die CE-Kennzeichnung durch?
Nein. Audexa hilft Ihnen bei der Vorbereitung: Selbstbewertung, Maßnahmenplan und Nachweise. Die Konformitätsbewertung führen Sie selbst oder eine benannte Stelle durch, je nach Produktklasse, und die CE-Kennzeichnung liegt in der Verantwortung des Herstellers. Das Ergebnis von Audexa dient der Orientierung und ist keine Rechtsberatung.
Was ändert sich je nach Produktklasse?
Die Klasse bestimmt das Konformitätsbewertungsverfahren. Deshalb fragt das Profil nach der Klasse Ihres Hauptprodukts, und ein Abschnitt des Fragebogens prüft die passende Bewertung. Wenn Sie die Klasse noch nicht kennen, starten Sie mit dem Produkt als nicht eingestuft und ändern sie später.
Wir arbeiten bereits mit ISO 27001 und NIS2. Hilft das?
Ja. Es gibt 57 Zuordnungen zu ISO 27001:2022 und 44 zu NIS2. Antworten mit hoher Abdeckung kommen als Vorschlag mit dem Hinweis „Prüfen Sie es“, und eine Person bestätigt sie. Es handelt sich nicht um rechtliche Gleichwertigkeiten.
In welchen Sprachen ist es verfügbar?
Auf Spanisch, Englisch, Französisch, Italienisch und Deutsch, wie alle Audexa-Frameworks.
Demo anfragen
Wir zeigen Ihnen, wie Sie den CRA mit Audexa vorbereiten.
In 30 Minuten gehen wir das Profil nach Rolle und Klasse, den Fragebogen, den Aufgabenplan und die Nachweise durch.
- Wir prüfen Ihre Rolle und die Klasse Ihres Produkts.
- Wir zeigen Ihnen Kontrollen, Feststellungen und Aufgaben.
- Wir erklären, welcher Plan zu Ihrem Team passt.