Bereit für den Cyber Resilience Act in einem Nachmittag.

Noch nicht. Der Generator erstellt die 13 Dokumente auf Englisch oder Französisch. Beide Versionen geben jeweils den Artikel der Verordnung an, aus dem die jeweilige Klausel stammt, sodass eine Prüfung durch Ihren gewohnten Rechtsberater kurz bleibt.

Reine SaaS-Angebote, Websites und Online-Dienste sind keine „Produkte mit digitalen Elementen“ (Erwägungsgrund 12). Für sie gilt stattdessen möglicherweise NIS2. Liefern Sie jedoch einen Client aus (Mobil-App, Desktop-App, Agent, SDK, Gerät) und ist Ihr Backend von Ihnen entworfen und für eine seiner Funktionen erforderlich, fällt diese „Fernverarbeitung von Daten“ zusammen mit dem Produkt in den Anwendungsbereich. Führen Sie den Geltungsbereichstest durch, er erklärt die Begründung.

Freie und Open-Source-Software, die außerhalb einer gewerblichen Tätigkeit bereitgestellt wird, fällt nicht in den Anwendungsbereich (Erwägungsgrund 18). Monetarisierung bringt sie zurück in den Anwendungsbereich. Das bedeutet: kostenpflichtiger Support, Doppellizenzierung oder ein Unternehmen, das das Projekt kontrolliert und drumherum verkauft. Stiftungen und Paket-Verwalter unterliegen einer erleichterten Regelung (Artikel 24). Das Kit bietet einen eigenen Weg für die Rolle des „Open-Source-Software-Stewards“.

Artikel 14 wird anwendbar. Angenommen, Sie stellen fest, dass eine Schwachstelle in Ihrem Produkt aktiv ausgenutzt wird, oder dass ein schwerer Vorfall die Sicherheit Ihres Produkts beeinträchtigt. Sie übermitteln dann eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht über die zentrale Meldeplattform von ENISA, und informieren die betroffenen Nutzer. Passiert nichts, muss auch nichts gemeldet werden. Aber Konto, Rollen, Verfahren und Vorlagen müssen vorher bereitstehen. Der Rest der Verordnung gilt ab dem 11. Dezember 2027.

Artikel 64 gilt ab dem 11. Dezember 2027. Kleinst- und Kleinunternehmen fallen in den Anwendungsbereich und werden verhältnismäßig mit Bußgeldern belegt. Für das bloße Verpassen der 24-Stunden-Frühwarnung können sie nicht mit einem Bußgeld belegt werden (Artikel 64(10)), die 72-Stunden-Meldung und der Abschlussbericht binden sie jedoch weiterhin. Auch Unternehmen außerhalb der EU, die in die EU verkaufen, fallen in den Anwendungsbereich. Die genauen Beträge stehen im Leitfaden.

Der Auslöser des CRA ist „aktiv ausgenutzt“. Der Katalog der Known Exploited Vulnerabilities ist die vollständigste öffentliche Liste von Schwachstellen mit bestätigter Ausnutzung. Eine im KEV-Katalog gelistete Schwachstelle in einer ausgelieferten Komponente ist nicht automatisch meldepflichtig, da Sie zunächst prüfen müssen, ob Ihr Produkt davon betroffen ist. Sie ist aber das Signal, noch am selben Tag den Entscheidungsbaum zu starten.

Nein und nein. CRA Kit erstellt einsatzfähige Dokumente aus dem Text der Verordnung und Ihren Antworten, mit Artikelverweisen, damit Sie jeden einzelnen prüfen können. Konformität ist das, was Sie damit tun. Sie veröffentlichen die Dokumente, besetzen den Prozess, führen das Protokoll, beheben, was defekt ist, und melden, wenn Sie es müssen. Bei wichtigen oder kritischen Produkten (Anhang III/IV) oder in jeder Situation mit echtem rechtlichem Risiko sollten Sie die Ausgabe von einem Rechtsanwalt prüfen lassen.

Nirgendwohin. Der Scanner analysiert Ihre Dateien im Browser und sendet nur Paketnamen und Versionen an OSV.dev. Das Kit-Formular wird im Local Storage Ihres Browsers gespeichert. Die Dokumentenerstellung erfolgt lokal. Lizenzschlüssel werden von einer kleinen Funktion auf dieser Website geprüft, die Creem abfragt. Wir betreiben keine Datenbank.

Sie können drei Dokumente vollständig und von den anderen den Anfang vor dem Kauf ansehen, und die kostenlosen Tools stehen Ihnen ohnehin zur Verfügung. Das Kit wird an Unternehmer verkauft, daher gilt das 14-tägige Widerrufsrecht für Verbraucher nicht: Die Freischaltung setzt voraus, dass Sie bestätigen, im Rahmen Ihrer gewerblichen Tätigkeit zu kaufen, und die sofortige Lieferung verlangen. Der erstellte Plan hält diese Erklärung fest. Sollte etwas nicht funktionieren, schreiben Sie uns, und wir beheben es oder erstatten Ihnen den Betrag.