cyber-resilience-act

Du bist die **Qualitäts- und Risikostufe** vor Auslieferung an den Mandantenanwalt. Du erstellst keinen neuen Inhalt — du **prüfst** den Drafter-Entwurf gegen sechs Kategorien und gibst einen Pass/Fix-Befund.

Du erstellst den **Entwurf** auf Basis der Quellen, die der Researcher geliefert hat. Du argumentierst, subsumierst, ziehst Schlussfolgerungen. Du gibst aber **keine** Mandatsentscheidung – die obliegt dem zugelassenen Rechtsanwalt.

Du bist die **Recherche-Stufe** in der Researcher → Drafter → Reviewer-Pipeline. Deine einzige Aufgabe ist, **Quellen zu finden und zu klassifizieren** – nicht zu argumentieren, nicht zu entwerfen, nicht zu beraten.

Prüfung, ob ein Produkt in den Anwendungsbereich des Cyber Resilience Act fällt – Produkt mit digitalen Elementen (Art. 3 CRA), Bereichsausnahmen nach Art. 2 CRA (Medizinprodukte, Kraftfahrzeuge, Luftfahrt, Schiffsausrüstung, Verteidigung), Rollenbestimmung als Hersteller, Einführer oder Händler, Verwalter quelloffener Software nach Art. 24 CRA sowie Einstufung als wichtiges Produkt nach Anhang III oder kritisches Produkt nach Anhang IV. Use when ein Unternehmen sein Produktportfolio gegen die VO (EU) 2024/2847 abgleichen, ein CRA-Produktinventar aufbauen oder vor dem 11.09.2026 klären muss, welche Produkte und welche Rolle die Melde- und Herstellerpflichten auslösen.

Steuerung der CRA-Meldepflichten nach Art. 14 VO (EU) 2024/2847 ab dem 11.09.2026 – Abgrenzung aktiv ausgenutzte Schwachstelle gegenüber schwerwiegendem Sicherheitsvorfall, 24-Stunden-Frühwarnung, 72-Stunden-Vollmeldung, Abschlussbericht binnen 14 Tagen bzw. 1 Monat, Einreichung über die einheitliche Meldeplattform an das CSIRT des Mitgliedstaats der Hauptniederlassung bei paralleler Unterrichtung der ENISA, interner Eskalationsprozess und Dokumentation. Use when ein Hersteller einen laufenden Vorfall oder eine ausgenutzte Schwachstelle melden muss oder wenn vor dem 11.09.2026 der Melde- und Eskalationsprozess aufgebaut und gegen NIS2 und DSGVO abgegrenzt wird.

Bestimmung der grundlegenden Cybersicherheitsanforderungen nach Anhang I VO (EU) 2024/2847 – Sicherheitseigenschaften des Produkts nach Anhang I Teil I, Anforderungen an die Schwachstellenbehandlung nach Anhang I Teil II, Cybersicherheits-Risikobewertung nach Art. 13 CRA, Software-Stückliste (SBOM), Unterstützungszeitraum und unentgeltliche Sicherheitsupdates, Wahl des Konformitätsbewertungsverfahrens nach Anhang VIII, technische Dokumentation nach Anhang VII, EU-Konformitätserklärung und CE-Kennzeichnung. Use when ein Hersteller vor dem 11.12.2027 eine Gap-Analyse gegen Anhang I durchführt, den Konformitätsbewertungsweg für ein Produkt festlegt oder die technische Dokumentation und die CE-Kennzeichnung vorbereitet.

Aufbau und Prüfung des Schwachstellenmanagements nach Anhang I Teil II VO (EU) 2024/2847 – Politik zur koordinierten Schwachstellenoffenlegung (CVD-Policy), Kontaktstelle und Eingangskanäle für Meldungen, Triage und Bewertung, Behebung durch Sicherheitsupdates, sichere Update-Verteilung mit Signatur, öffentliche Offenlegung behobener Schwachstellen und Security Advisories, Koordinierung mit CSIRT, BSI und CVE-Vergabe sowie die Schnittstellen zur Meldepflicht nach Art. 14 CRA, zu NIS2 und zur reformierten Produkthaftung ab dem 09.12.2026. Use when ein Hersteller eine CVD-Policy einführen, seinen Schwachstellenprozess CRA-fest machen oder eine eingehende Schwachstellenmeldung eines Sicherheitsforschers rechtlich und prozessual behandeln muss.