Zum Inhalt

CRA-Akte

CRA-Akte ist ein Nachweissystem für Hersteller von Produkten mit digitalen Elementen. Es führt die Unterlagen, die der Cyber Resilience Act verlangt — und zwar dort, wo sie hingehören: im eigenen Netz des Herstellers, ohne Cloud und ohne Verbindung nach außen.

Status: in Entwicklung (Stand August 2026)

Das Fundament und die ersten Module laufen und werden bei Techlogia selbst eingesetzt. Was heute steht und was folgt, steht weiter unten offen aufgelistet — mit Absicht: Ein Compliance-Werkzeug, das mehr verspricht, als es kann, richtet mehr Schaden an als keines.

Warum das Thema jetzt drängt

Der Cyber Resilience Act — Verordnung (EU) 2024/2847 — gilt in Stufen:

Ab wann Was gilt
11. Juni 2026 Kapitel IV: Vorschriften über Konformitätsbewertungsstellen (Art. 35–51)
11. September 2026 Artikel 14: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle
11. Dezember 2027 Die Verordnung im Übrigen — Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung

Die Meldepflicht ab September 2026 gilt auch für Produkte, die bereits ausgeliefert sind. Sie ist die erste Stufe, die wirklich jeden Hersteller trifft — und sie hat kurze Fristen:

  • 24 Stunden nach Kenntniserlangung: Frühwarnung
  • 72 Stunden: ergänzende Meldung, soweit verfügbar
  • Abschlussbericht: bei Schwachstellen spätestens 14 Tage nach dem Sicherheitsupdate, bei Vorfällen einen Monat nach der ersten Meldung

24 Stunden sind kein Verwaltungsvorgang. Wer erst im Ernstfall anfängt zu suchen, welches Produkt betroffen ist, seit wann es im Verkehr ist und wer es verantwortet, verbrennt die Frist mit der Suche.

Was der CRA von einem Hersteller verlangt

Vier Dinge, die dauerhaft belegbar sein müssen:

Einordnung. Fällt das Produkt überhaupt unter die Verordnung? Der Maßstab sind Art. 2 und 3 — ausgeliefert oder nur betrieben, mit oder ohne Datenverbindung, und ob eine Fernverarbeitungslösung dazugehört. Die Antwort ist kein Bauchgefühl, sondern eine begründete Prüfung.

Produktakte. Je Produkt: Klassifizierung, Supportzeitraum, Versionen mit dem Datum des Inverkehrbringens, Risikobewertung, Stückliste der Fremdkomponenten (SBOM), Stand der Anforderungen aus Anhang I. Die technische Dokumentation nach Anhang VII ist zehn Jahre aufzubewahren.

Schwachstellenbehandlung. Eingehende Hinweise triagieren, entscheiden, begründen — und die Entscheidung später belegen können.

Meldung. An das zuständige CSIRT und an die ENISA, in Deutschland über CERT-Bund beim BSI. Ab September 2026 läuft das über die zentrale Meldeplattform der ENISA.

Was CRA-Akte heute kann

Ehrlich getrennt nach fertig und geplant.

Fertig und im Einsatz

Baustein Was es tut
Rechtskontext Die einschlägigen Artikel und Fristen als nachschlagbarer Bestand, zweisprachig. Ändert sich die Rechtslage, wird der Bestand ausgetauscht — nicht der Code
Anwendungsbereichsprüfung Geführter Fragebogen nach Art. 2 und 3. Ergebnis: betroffen, nicht betroffen oder unklar — mit Angabe, welches Kriterium entschieden hat
Produkte und Versionen Produktlinien mit Klassifizierung, Supportzeitraum und Versionshistorie samt Datum des Inverkehrbringens
Stammdaten Die Herstellerangaben, die wörtlich in die Konformitätserklärung nach Anhang V gehen
Konten und Rollen Fünf Rollen, Vergabe und Entzug protokolliert. Grundlage für das Vier-Augen-Prinzip
Unveränderlichkeit Freigegebene Datensätze werden versiegelt und sind danach auf Datenbankebene nicht mehr änderbar. Jede Änderung davor steht im Änderungsprotokoll

Der letzte Punkt ist der eigentliche Kern. Ein Nachweis, den man nachträglich anpassen kann, ist bei einer Prüfung wenig wert — deshalb liegt die Sperre nicht in der Anwendung, sondern eine Ebene tiefer.

Geplant

Risikobewertung · Stücklisten (SBOM) · Schwachstellen und Triage mit VEX · Meldevorgänge nach Artikel 14 · Korrekturmaßnahmen · Nachweispaket und Konformitätserklärung · Archiv · Übersicht mit Fälligkeiten.

Was heute noch nicht geht

Die Meldevorgänge nach Artikel 14 sind noch nicht Teil der Anwendung. Wer die Frist im September 2026 abdecken muss, braucht bis dahin einen weiteren Weg — sprechen Sie uns an, wir sagen Ihnen offen, was bis wann trägt.

Was es braucht

Voraussetzung Anmerkung
Ein Rechner im eigenen Netz Ein kleiner Server oder eine VM genügt
Docker mit Compose Sonst nichts — kein Python, kein Node, keine Datenbank auf dem Host
Ein Name im Netz cra.firma.intern im DNS oder ein .local-Name. TLS richtet sich selbst ein
Kein Internetzugang Ausdrücklich nicht erforderlich

Die Installation ist ein Befehl. Danach fragt ein Einrichtungsdialog die Herstellerstammdaten und das erste Verwaltungskonto ab.

Was es bewusst nicht tut

  • Nach außen telefonieren. Keine Telemetrie, keine Nutzungszahlen, keine Fehlerberichte. Verbindungen nach draußen gibt es nur zu Quellen, die der Betreiber selbst freischaltet — etwa einen Schwachstellen-Feed.
  • Sich selbst aktualisieren. Ein neues Release spielt der Betreiber ein, wenn er Zeit hat. Ein Compliance-System, das sich unbemerkt ändert, ist ein Widerspruch in sich.
  • In die Cloud gehen. Die Unterlagen eines Herstellers gehören dem Hersteller. Es gibt keine gehostete Fassung.

Was es nicht ist

Keine Rechtsberatung. CRA-Akte ordnet ein, was sich aus den Angaben und den hinterlegten Kriterien ergibt, und macht die Begründung nachvollziehbar. Die rechtliche Bewertung und die Verantwortung für Richtigkeit, Vollständigkeit und Fristwahrung bleiben beim Hersteller.

Kein Ersatz für einen Prozess. Das Werkzeug hält fest, wer was wann entschieden hat. Wer im Ernstfall meldet — und wer vertritt, wenn diese Person im Urlaub ist — bleibt eine organisatorische Entscheidung.

Quellen

Interesse?

CRA-Akte entsteht bei Techlogia und wird dort auch selbst eingesetzt — die eigene Produktakte liegt im eigenen System. Wenn Sie vor derselben Frist stehen: Schreiben Sie uns. Wir sagen Ihnen, was heute trägt und was noch nicht.