Cyber Resilience Act, CRA-Meldepflicht und SBOM: kurz beantwortet
Die häufigsten Fragen von Herstellern zum CRA - jeweils in wenigen Sätzen beantwortet, mit offizieller Quelle.
Was ist der Cyber Resilience Act, und für wen gilt er?
Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847, das EU-Gesetz über Cybersicherheitsanforderungen an Produkte mit digitalen Elementen. Er gilt für Hardware mit Software und für Softwareprodukte, die in der EU auf den Markt gebracht werden; seine Pflichten treffen vor allem die Hersteller, unabhängig von ihrer Größe. Bereiche mit eigenen Regeln wie Medizinprodukte, Kraftfahrzeuge und die zivile Luftfahrt sind ausgenommen, und reines Software-as-a-Service ohne Produkt fällt in der Regel nicht darunter. Die Verordnung trat am 10. Dezember 2024 in Kraft.
Die CRA-Meldepflicht im Detail →
Quelle: Verordnung (EU) 2024/2847, EUR-Lex, Cyber Resilience Act, Europäische Kommission
Was regelt die CRA-Meldepflicht?
Seit dem 11. September 2026 müssen Hersteller jede aktiv ausgenutzte Schwachstelle in ihrem Produkt und jeden schwerwiegenden Vorfall, der seine Sicherheit beeinträchtigt, melden - auch für Produkte, die bereits auf dem Markt sind. Fällig sind eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist (Schwachstellen), bzw. innerhalb eines Monats nach der Meldung (Vorfälle). Die Schwachstellenmeldung läuft über die zentrale Meldeplattform der ENISA an das koordinierende CSIRT und an die ENISA; die Plattform bietet Herstellern keine API, deshalb wird jede Meldung von Hand im Browser eingereicht.
CRA-Meldepflicht: Auslöser, Fristen, Empfänger → Video ansehen: Der CRA-Meldeworkflow (4 Min.)
Quelle: Verordnung (EU) 2024/2847, Artikel 14, EUR-Lex, ENISA
Wie kann ich eine SBOM erstellen?
Erzeugen Sie die SBOM automatisch in Ihrer Build-Pipeline, statt sie von Hand zu schreiben. Verwenden Sie eines der beiden verbreiteten maschinenlesbaren Formate, CycloneDX oder SPDX, und erstellen Sie eine SBOM pro ausgelieferter Version. Für die meisten Umgebungen gibt es Generatoren, zum Beispiel Syft oder cdxgen für Container und Dateisysteme, die CycloneDX-Plugins für Maven, Gradle und npm und die SPDX-Ausgabe des Yocto Project für Embedded Linux.
- Format wählen. CycloneDX oder SPDX - beide sind maschinenlesbar.
- In der CI erzeugen. Den SBOM-Generator Ihrer Umgebung bei jedem Release-Build ausführen.
- Eine SBOM pro Release aufbewahren. Mit dem Release als Teil der technischen Dokumentation ablegen.
- Gegen Schwachstellendaten prüfen. Kernwatch prüft Komponenten mit Paketkennung (purl) täglich in bezahlten Tarifen, wöchentlich im Free-Tarif.
SBOM für den CRA → Video ansehen: Produkte, Releases und SBOMs (4 Min.) Video ansehen: SBOMs aus der CI mit einem API-Schlüssel hochladen (2 Min.)
Quelle: CycloneDX, SPDX
Ab wann ist eine SBOM nach dem CRA Pflicht?
Die SBOM gehört zu den CRA-Anforderungen, die ab dem 11. Dezember 2027 gelten: Ab dann brauchen Produkte mit digitalen Elementen CRA-Konformität und CE-Kennzeichnung, um in der EU in Verkehr gebracht zu werden. Anhang I verlangt eine SBOM in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt. Sie ist Teil der technischen Dokumentation - sie muss nicht veröffentlicht werden, aber Marktüberwachungsbehörden können sie anfordern. Seit dem Start der Meldepflicht am 11. September 2026 ist eine aktuelle SBOM außerdem der schnellste Weg festzustellen, ob eine ausgenutzte Schwachstelle Ihre Produkte betrifft.
Was der CRA von einer SBOM verlangt →
Quelle: Verordnung (EU) 2024/2847, Anhang I, EUR-Lex
Was leistet ein Tool für die CRA-Schwachstellenmeldung?
Es macht aus Monitoring-Ergebnissen und Fristen Aufgaben. In Kernwatch wird ein Befund auf einer Liste aktiv ausgenutzter Schwachstellen zu einer Aufgabe in der Aufgaben-Inbox, einen Meldefall zu eröffnen - fällig 24 Stunden nach Kenntnis -, und Frühwarnung, Meldung und Abschlussbericht werden aus Ihren Produkt-, Release- und Bewertungsdaten zur Freigabe vorbereitet. Sie reichen selbst auf der ENISA-Plattform ein und erfassen die Referenz; enthält ein neueres Release die verwundbare Version nicht mehr, schlägt Kernwatch das Datum der Korrektur vor, mit dem die 14-Tage-Frist für den Abschlussbericht beginnt. Aufgaben erscheinen in jedem Tarif; das Freigeben von Meldefällen und Meldungen erfordert Starter oder höher.
Tarife und Preise → Video ansehen: Die Aufgaben-Inbox (6 Min.)