Produkt · in Entwicklung · selbst gehostet
CRA-Akte: die Nachweise zum Cyber Resilience Act im eigenen Netz
CRA-Akte führt die Unterlagen, die der Cyber Resilience Act von einem Hersteller verlangt — Einordnung, Produktakte, Schwachstellenbehandlung, Meldungen. Und zwar dort, wo sie hingehören: auf einem Rechner im eigenen Netz, ohne Cloud und ohne Verbindung nach außen.
- Läuft ohne Internetzugang — drei Container, ein Befehl
- Freigegebene Nachweise werden auf Datenbankebene versiegelt
- Keine Telemetrie, keine gehostete Fassung, kein Selbst-Update
Ehrlich zum Stand: in Entwicklung
Das Fundament und der weit überwiegende Teil der Module laufen und werden bei Techlogia selbst eingesetzt. Was steht und was fehlt, ist unten offen aufgelistet — mit Absicht: Ein Compliance-Werkzeug, das mehr verspricht, als es kann, richtet mehr Schaden an als keines.
Warum das Thema jetzt drängt
Der Cyber Resilience Act — Verordnung (EU) 2024/2847 — gilt in Stufen. Die mittlere ist die, die zuerst wirklich jeden Hersteller trifft:
- 11. Juni 2026Kapitel IV: Vorschriften über Konformitätsbewertungsstellen (Art. 35–51)
- 11. September 2026Artikel 14: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle
- 11. Dezember 2027Die Verordnung im Übrigen — Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung
Die Meldepflicht ab September 2026 gilt auch für Produkte, die bereits ausgeliefert sind. Und sie hat kurze Fristen: 24 Stunden bis zur Frühwarnung, 72 Stunden bis zur ergänzenden Meldung. Wer erst im Ernstfall anfängt zu suchen, welches Produkt betroffen ist, seit wann es im Verkehr ist und wer es verantwortet, verbrennt die Frist mit der Suche.
Was CRA-Akte heute kann
Gebaut, im Einsatz, Stand 11. August 2026.
Rechtskontext
Die einschlägigen Artikel und Fristen als nachschlagbarer Bestand, zweisprachig. Ändert sich die Rechtslage, wird der Bestand ausgetauscht — nicht der Code.
Anwendungsbereichsprüfung
Geführter Fragebogen nach Art. 2 und 3. Ergebnis: betroffen, nicht betroffen oder unklar — mit Angabe, welches Kriterium entschieden hat.
Produkte und Versionen
Produktlinien mit Klassifizierung, Supportzeitraum und Versionshistorie samt Datum des Inverkehrbringens.
Risikobewertung
Vorhersehbare Fehlanwendungen und Risiken mit Wahrscheinlichkeit, Auswirkung, Maßnahme, Bezug zu Anhang I und ausgewiesenem Restrisiko.
Stücklisten (SBOM)
Import im CycloneDX-Format, geprüft gegen hinterlegte Qualitätsregeln — fehlende Lizenzen, Prüfsummen oder Dokument-Metadaten werden benannt, statt stillschweigend übernommen.
Schwachstellen und Triage
Eingehende Hinweise bewerten und entscheiden, mit VEX-Aussage je betroffener Komponente. Die Begründung bleibt später belegbar.
Meldevorgänge nach Artikel 14
Vorgänge mit den drei Stufen und ihren Fristen — Frühwarnung, ergänzende Meldung, Abschlussbericht.
Korrekturmaßnahmen
Was aus einem Befund folgt, wer es verantwortet und wann es erledigt war.
Nachweispaket
Der Stand der Anforderungen aus Anhang I je Version, freigegeben und als Paket abrufbar. Grundlage der Konformitätserklärung nach Anhang V.
Konten und Rollen
Fünf Rollen, Vergabe und Entzug protokolliert. Die Liste weist ausdrücklich darauf hin, wenn es weniger als zwei Konten mit Freigabebefugnis gibt.
Unveränderlichkeit
Freigegebene Datensätze werden versiegelt und sind danach auf Datenbankebene nicht mehr änderbar. Jede Änderung davor steht im Änderungsprotokoll.
Archiv
Die technische Dokumentation ist nach Anhang VII zehn Jahre aufzubewahren. Abgelöste Stände bleiben abrufbar, statt überschrieben zu werden.
Was noch nicht geht
Eine Gesamtübersicht mit anstehenden Fälligkeiten über alle Produktlinien hinweg ist noch nicht gebaut. Fristen stehen heute am jeweiligen Vorgang, nicht auf einer gemeinsamen Startseite.
Was es zum Betrieb braucht
Ein Rechner im eigenen Netz
Ein kleiner Server oder eine VM genügt.
Docker mit Compose
Sonst nichts — kein Python, kein Node, keine Datenbank auf dem Host. Drei Container, alle Images auf den Digest festgenagelt.
Ein Name im Netz
`cra.firma.intern` im DNS oder ein `.local`-Name. TLS richtet sich selbst ein.
Kein Internetzugang
Ausdrücklich nicht erforderlich. Die Installation ist ein Befehl, danach fragt ein Einrichtungsdialog Stammdaten und das erste Verwaltungskonto ab.
Was es bewusst nicht tut
Nach außen telefonieren
Keine Telemetrie, keine Nutzungszahlen, keine Fehlerberichte. Verbindungen nach draußen gibt es nur zu Quellen, die der Betreiber selbst freischaltet — etwa einen Schwachstellen-Feed.
Sich selbst aktualisieren
Ein neues Release spielt der Betreiber ein, wenn er Zeit hat. Ein Compliance-System, das sich unbemerkt ändert, ist ein Widerspruch in sich.
In die Cloud gehen
Die Unterlagen eines Herstellers gehören dem Hersteller. Es gibt keine gehostete Fassung.
Wir sind der erste Anwender
Die Produktakte der Techlogia App liegt in CRA-Akte — Einordnung, Versionen, Risikobewertung, Stückliste und das freigegebene Nachweispaket. Erfasst und freigegeben haben es zwei verschiedene Personen; das Vier-Augen-Prinzip ist damit nicht beschrieben, sondern im Einsatz. Was daraus öffentlich gehört, steht auf unserer Seite zur CRA-Bereitschaft.
Unsere eigenen Angaben nach dem CRA ansehenUnd bis dahin?
Der Meldeassistent für Artikel 14 ist fertig, kostenlos und ohne Anmeldung nutzbar — er deckt genau die Frist ab, die am 11. September 2026 beginnt. Wenn Sie wissen wollen, ob CRA-Akte zu Ihrem Fall passt: Schreiben Sie uns. Wir sagen offen, was heute trägt und was noch nicht.
Keine Rechtsberatung
CRA-Akte ordnet ein, was sich aus den Angaben und den hinterlegten Kriterien ergibt, und macht die Begründung nachvollziehbar. Die rechtliche Bewertung und die Verantwortung für Richtigkeit, Vollständigkeit und Fristwahrung bleiben beim Hersteller.
Häufige Fragen
Fragen, die uns oft gestellt werden
Ist CRA-Akte fertig und kaufbar?
Das Produkt ist in Entwicklung. Das Fundament und der weit überwiegende Teil der Module laufen und werden bei Techlogia selbst eingesetzt; eine Gesamtübersicht mit Fälligkeiten über alle Produktlinien fehlt noch. Ob es für Ihren Fall trägt, sagen wir Ihnen auf Anfrage offen — einen veröffentlichten Preis gibt es derzeit nicht.
Läuft CRA-Akte in der Cloud?
Nein, und es ist auch keine gehostete Fassung geplant. Die Anwendung läuft als drei Container per Docker Compose auf einem Rechner im eigenen Netz. Die Unterlagen eines Herstellers gehören dem Hersteller.
Braucht die Installation einen Internetzugang?
Nein. Für den Betrieb ist kein Internetzugang erforderlich. Verbindungen nach draußen gibt es nur zu Quellen, die der Betreiber selbst freischaltet — etwa einen Schwachstellen-Feed. Telemetrie, Nutzungszahlen und Fehlerberichte werden nicht übertragen.
Kann ich Einträge nachträglich ändern?
Bis zur Freigabe ja, und jede Änderung steht im Änderungsprotokoll. Freigegebene Datensätze werden versiegelt und sind danach auf Datenbankebene nicht mehr änderbar. Ein Nachweis, den man nachträglich anpassen kann, ist bei einer Prüfung wenig wert — deshalb liegt die Sperre nicht in der Anwendung, sondern eine Ebene tiefer.
Wie wird das Vier-Augen-Prinzip umgesetzt?
Über fünf Rollen, deren Vergabe und Entzug protokolliert wird. Die Kontenliste weist ausdrücklich darauf hin, wenn es weniger als zwei Konten mit Freigabebefugnis gibt. Bei Techlogia selbst sind Erfassung und Freigabe auf zwei verschiedene Personen verteilt.
Deckt CRA-Akte die Meldepflicht ab dem 11. September 2026 ab?
Meldevorgänge nach Artikel 14 mit ihren drei Stufen und Fristen sind in der Anwendung gebaut. Unabhängig davon steht auf techlogia.de ein kostenloser Meldeassistent bereit, der ohne Anmeldung nutzbar ist und einen einreichungsfertigen Meldetext samt Protokoll erzeugt. Die Einreichung selbst nimmt in beiden Fällen der Hersteller vor.
Ist das eine Rechtsberatung?
Nein. CRA-Akte ordnet ein, was sich aus den Angaben und den hinterlegten Kriterien ergibt, und macht die Begründung nachvollziehbar. Die rechtliche Bewertung und die Verantwortung für Richtigkeit, Vollständigkeit und Fristwahrung bleiben beim Hersteller.