Der Cyber Resilience Act, erklärt aus dem Text.

Kurze Leitfäden für alle, die Software oder Geräte in die EU liefern. Jede Aussage nennt den Artikel oder Anhang, aus dem sie stammt; nichts hier ist aus Anbieter-Blogs übernommen. Weitere Texte gibt es auf Englisch.

• Gilt der EU Cyber Resilience Act für SaaS?
  Meist nein: reine Cloud-Dienste liegen außerhalb des CRA und fallen unter NIS2. Hybride Produkte mit ausgelieferter Client-Komponente sind aber erfasst. Der genaue Test, mit den Fundstellen.
• SBOM-Anforderungen im CRA: was die Verordnung tatsächlich verlangt
  Der Cyber Resilience Act macht die Software-Stückliste zur Pflicht. Was sie enthalten muss, die vom EU-Gesetzgeber noch offene Formatfrage, wer sie sehen darf und wo sie in Ihrer technischen Dokumentation steht.
• Artikel 14 des Cyber Resilience Act: die 24-Stunden-Meldepflicht, erklärt
  Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden an ENISA und ihr CSIRT melden. Was die Pflicht auslöst, die 24/72/14-Uhr und wer wovon ausgenommen ist.
• Fristen des Cyber Resilience Act: 11. September 2026 und 11. Dezember 2027
  Der CRA hat zwei Geltungsbeginne, die sehr Unterschiedliches bewirken. Welche Pflichten wann beginnen, was Bestandsschutz genießt, der fünfjährige Supportzeitraum und die Bußgelder hinter jedem Datum.

Quellen, ausschließlich Primärquellen: Verordnung (EU) 2024/2847 (EUR-Lex) · Europäische Kommission, CRA-Überblick · Europäische Kommission, CRA-Meldepflichten · ENISA, Single Reporting Platform. Keine Rechtsberatung; maßgeblich ist der Verordnungstext.

← Alle Erklärtexte