Cyber Resilience Act (CRA) — Produktsicherheit von Anfang an
Der Cyber Resilience Act macht Produktsicherheit zur gesetzlichen Pflicht für alles mit digitalem Element, das in der EU verkauft wird. CYBORA verwandelt die wesentlichen Anforderungen aus Anhang I in Schwachstellennachweise vor der Veröffentlichung, einen kontinuierlichen Bearbeitungsprozess über den gesamten Support-Zeitraum und ein auf die Meldefristen des CRA abgestimmtes Monitoring — damit die Unterlagen widerspiegeln, was Ihr Produkt tatsächlich tut.
Der Standard, einfach erklärt
Die Verordnung (EU) 2024/2847 legt EU-weite Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest — Hardware wie Software. Sie verpflichtet Hersteller, bekannte ausnutzbare Schwachstellen vor der Markteinführung zu beseitigen, ein wirksames Schwachstellenmanagement über den gesamten Support-Zeitraum des Produkts (mindestens fünf Jahre bei den meisten Produkten) zu betreiben und aktiv ausgenutzte Schwachstellen der ENISA nach einem strengen Zeitplan zu melden. Die vollständige Anwendung beginnt am 11. Dezember 2027; die Meldepflicht nach Artikel 14 gilt bereits früher, ab dem 11. September 2026.
Lesen Sie den Gesetzestext, Artikel für Artikel, einfach erklärt →Betrifft es Sie?
Jeder Hersteller, Importeur oder Händler, der Hardware oder Software mit digitalem Element auf dem EU-Markt bereitstellt — von eingebetteten IoT-Geräten bis zu SaaS-Komponenten —, wobei die größte Nachweislast bei demjenigen liegt, der die Konformitätserklärung unterzeichnet.
Anforderungen im Überblick
Keine bekannten ausnutzbaren Schwachstellen bei Markteinführung
Anhang I, Teil I, Nummer 2 verlangt, dass Produkte ohne bekannte ausnutzbare Schwachstellen in Verkehr gebracht werden — das bedeutet eine dokumentierte Schwachstellenbewertung vor der Veröffentlichung, keine bloße Grundsatzerklärung.
Regelmäßige Sicherheitstests
Anhang I, Teil II, Nummer 7 erwartet wirksame, regelmäßige Tests und Überprüfungen über den gesamten Produktlebenszyklus — Auditoren wollen eine Testfrequenz und echte Ergebnisse sehen, nicht nur eine schriftliche Richtlinie.
Schwachstellenmanagement über den gesamten Support-Zeitraum
Artikel 13(8) macht das Schwachstellenmanagement zu einer kontinuierlichen Pflicht über den gesamten Support-Zeitraum — bei den meisten Produkten mindestens fünf Jahre — nicht zu einer einmaligen Prüfung bei Markteinführung.
Ein strenger Meldefristenplan
Artikel 14 verlangt, aktiv ausgenutzte Schwachstellen über die zentrale Meldeplattform der ENISA zu melden: eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach Veröffentlichung der Behebung.
From gap to Cyber Resilience Act (CRA), on one platform
Jede Kontrolle wird einmal erfasst, Nachweise werden fortlaufend gesammelt, und ein Team ist von der Gap-Analyse bis zum Audit verantwortlich.
Schwachstellennachweise vor Markteinführung
Offensive-Security-Engagements und geplante Scans erzeugen die dokumentierten, datierten Nachweise, dass ein Release ohne bekannte ausnutzbare Schwachstellen ausgeliefert wurde — kein Häkchen, sondern eine Prüfspur.
Bestätigte Befunde statt Scanner-Rauschen
Befunde werden manuell mit Proof-of-Concept-Nachweisen validiert, bevor sie in Ihre Behebungswarteschlange gelangen, und nach der Behebung erneut getestet — die mehrschichtige Tiefe, die die Testanforderung aus Anhang I über reines automatisiertes Scannen hinaus erwartet.
Kontinuierliches Management über den gesamten Support-Zeitraum
HybridSOC beobachtet das Produkt auch nach der Markteinführung weiter, und Agentic GRC hält die Aufzeichnungen zum Schwachstellenmanagement über das gesamte Support-Fenster aktuell, nicht nur zum Veröffentlichungsdatum.
Gebaut für die Meldefristen
Die Alarmierung von HybridSOC bei aktiv ausgenutzten CVEs und die exportierbaren Nachweispakete von Agentic GRC sind darauf ausgelegt, schnell genug für die 24-Stunden-Frühwarnung zu reagieren — die Meldung an die ENISA nehmen Sie weiterhin selbst vor, wir sorgen dafür, dass Sie etwas zu melden haben.
Häufig gestellte Fragen
Erstellt CYBORA die vom CRA geforderte SBOM (Anhang I, Teil II, Nummer 1)?
Nein — CYBORA ist eine Schwachstellenbewertungs- und Nachweisebene, kein SBOM-Generator. Kombinieren Sie Ihr vorhandenes SBOM-Tooling mit dem Testing und Monitoring von CYBORA, um beide Pflichten abzudecken.
Führt CYBORA den vom CRA geforderten koordinierten Schwachstellen-Offenlegungsprozess (CVD) durch?
CYBORA erstellt die CVD-Richtlinie und die security.txt als Teil unserer Richtlinienvorlagen, aber die Annahme- und Triage-Infrastruktur betreiben Sie selbst — wir übergeben Ihnen validierte Befunde, kein öffentliches Meldepostfach.
Macht das Testing mit CYBORA unser Produkt CRA-konform?
Nein. Die vollständige Konformität erfordert weiterhin die Konformitätsbewertung, eine Konformitätserklärung und die CE-Kennzeichnung, durchgeführt vom Hersteller (mit einer benannten Stelle, wo der CRA dies verlangt). CYBORA liefert die technischen Schwachstellennachweise, auf denen diese Bewertung beruht — kein Ersatz dafür.
Wie hilft CYBORA bei der Meldefrist nach Artikel 14?
Auf zwei Wegen: HybridSOC alarmiert in dem Moment, in dem ein überwachtes Asset mit einer aktiv ausgenutzten CVE übereinstimmt, und Agentic GRC exportiert die Nachweiskette als PDF, DOCX oder JSON, damit Sie innerhalb der 24-Stunden-Frühwarnfrist handeln können. Die eigentliche Meldung an die zentrale Meldeplattform der ENISA bleibt Aufgabe des Herstellers.
Kann CYBORA eingebettete, On-Premises- oder isolierte Produktumgebungen testen?
Ja — Engagements werden auf Ihre tatsächliche Umgebung zugeschnitten, einschließlich interner Netzwerke und On-Premises-Installationen, nicht nur auf das aus dem Internet Erreichbare.
Erfüllt automatisiertes Scannen allein die Anforderung an "regelmäßige Tests"?
Nein. Anhang I, Teil II, Nummer 7 erwartet mehrschichtiges Testen — kontinuierliches automatisiertes Scannen, periodische manuelle Penetrationstests und Bedrohungsmodellierung zur Entwurfszeit. CYBORA führt die automatisierte und manuelle Schicht gemeinsam durch; Bedrohungsmodellierung ist als Teil des Engagements vorgesehen.
Sehen Sie es in Ihrem eigenen Perimeter
Tell us where you are today. A CYBORA engineer — not a salesperson — will come back with what actually applies to your situation.
- Reply within one business day
- Scoped to your regulatory frameworks
- No obligation, no sales pitch
Take control of your perimeter
Register for a pilot demonstration of the CYBORA GRC and HybridSOC platform. One team, accountable for your full cyber security lifecycle.