Zum Inhalt springen
EU Rules Finder
Deutsch (Sprache)

CRA-Dokumentenpaket: technische Dokumentation, Risikobewertung und Erklärungen als Word-Dateien

Ab dem 11. Dezember 2027 braucht jedes in der EU verkaufte Produkt mit digitalen Elementen eine technische Dokumentation, eine Risikobewertung der Cybersicherheit und eine EU-Konformitätserklärung; die Meldepflichten nach Artikel 14 gelten schon jetzt. Geben Sie Ihr Unternehmen und Ihre Produkte einmal ein; das Paket erstellt die Unterlagen, die die Cyberresilienz-Verordnung aufzählt, als Word-Dateien zum Bearbeiten und Aufbewahren.

Am 16. Oktober 2026 mit den Quellen abgeglichen

Hersteller (Ihr Unternehmen)
Bevollmächtigter in der EU (optional)

Nur wenn Sie einen mit schriftlichem Auftrag benannt haben (Artikel 18). Sonst leer lassen.

Umgang mit Schwachstellen
Eine E-Mail-Adresse oder ein Webformular: Ihre zentrale Anlaufstelle (Artikel 13 Absatz 17). Sie kommt auch in die security.txt.
Eine Webseite, zum Beispiel https://example.com/security.
Zum Beispiel: signierte Firmware über HTTPS, standardmäßig automatisch, Hinweis an Nutzer in der App.

Produkte

Produkt 1
Wie auf dem Produkt angegeben, zum Beispiel R-200.
Wie auf dem Produkt oder seiner Verpackung angegeben, damit es identifiziert werden kann.
Firmware- oder App-Versionen, für die diese Unterlagen gelten.
Wofür es bestimmt ist und wer es nutzt, zum Beispiel eine WLAN-Kamera für Privathaushalte.
Was es zuverlässig leisten muss und wie es sich und seine Daten schützt, zum Beispiel Videostreaming, verschlüsselte Speicherung, signierte Updates.
Betriebsumgebung, Netzwerk, Daten und Funktionen, auf die ein Angreifer zielen könnte.
Auch vernünftigerweise vorhersehbare Fehlanwendung.
Zum Beispiel: 7 Jahre.
Mindestens fünf Jahre oder die kürzere voraussichtliche Nutzungsdauer (Artikel 13 Absatz 8).
Zum Beispiel: wie lange Nutzer es erwartungsgemäß verwenden, und die erwartete Lebensdauer der Hardware.

Unsicher? Die kostenlose Klassenprüfung auf der Seite zur Cyberresilienz-Verordnung sagt es Ihnen.

Leer lassen, wenn keine; die Datei sagt dann TO COMPLETE.
Wer geprüft hat, Berichtsnummer, Datum.
Name und Kennnummer der Stelle und die Bescheinigung, falls eine beteiligt war.
Zum Beispiel die Funkanlagenrichtlinie 2014/53/EU.
Die vereinfachte Konformitätserklärung nennt diese Adresse (Anhang VI).
Eine Webseite mit den Informationen und Anleitungen für Nutzer, falls Sie diese online veröffentlichen.
Nur wenn Sie sie Nutzern zugänglich machen.
Grundlegende Anforderungen (Anhang I Teil I)

Für jede Anforderung: Gilt sie für dieses Produkt, und wie haben Sie sie umgesetzt, oder warum gilt sie nicht? Unbeantwortete werden mit TO COMPLETE markiert. Die Unterlagen zitieren die Anforderungen vollständig.

Sprachen der EU-Konformitätserklärung (Ihre Verkaufsländer)

Ihre Eingaben werden nirgendwohin gesendet. Ihre Firmenangaben bleiben für das nächste Mal in diesem Browser.

Was in den Dateien steht

  • die technische Dokumentation jedes Produkts, Punkt für Punkt nach Anhang VII;
  • die Risikobewertung der Cybersicherheit nach Artikel 13, mit jeder grundlegenden Anforderung aus Anhang I Teil I im vollen Wortlaut und Ihrer Antwort daneben: gilt und wie, oder gilt nicht und warum;
  • die EU-Konformitätserklärung (Anhang V) und die vereinfachte Erklärung (Anhang VI) in jeder gewählten Sprache, im Wortlaut des Amtsblatts in dieser Sprache;
  • die Informationen und Anleitungen für Nutzer nach Anhang II, mit dem Ende des Unterstützungszeitraums als Monat und Jahr;
  • für das Unternehmen: eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, ein Verfahren zum Umgang mit Schwachstellen nach Anhang I Teil II, das Meldeverfahren nach Artikel 14 mit seinen Fristen, ein Schwachstellenprotokoll und eine security.txt-Datei für Ihre Website.

Was das Paket nicht tut

Es entscheidet nichts für Sie. Die Kategorie Ihres Produkts und das Konformitätsbewertungsverfahren wählen Sie; das Paket bietet nur die Verfahren an, die Artikel 32 für die gewählte Kategorie zulässt. Was Sie leer lassen, wird mit TO COMPLETE markiert. Das Paket schreibt nie, dass eine Anforderung erfüllt, eine Prüfung bestanden oder eine Norm angewandt ist: Das zeigt Ihre Konformitätsbewertung, bei wichtigen und kritischen Produkten durch eine notifizierte Stelle.

Ob die Verordnung für Ihr Produkt gilt und in welcher Kategorie es ist: die kostenlose Prüfung auf der Seite zur Cyberresilienz-Verordnung. Meldung einer ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls: das kostenlose CRA-Melderegister.

Nichts, was Sie eingeben, verlässt Ihren Browser; die Dateien entstehen auf Ihrem Gerät. Vorlagen, keine Rechtsberatung. Die Erklärungen zitieren das Amtsblatt; alles, was Sie eingeben, bleibt wie eingegeben und wird nicht übersetzt.

Quellen