Gilt die Cyberresilienz-Verordnung für Ihr Produkt?

In der Regel nein. Ein Dienst, der vollständig auf Ihrer eigenen Infrastruktur läuft, ist kein Produkt mit digitalen Elementen. Liefern Sie Client-Software, eine App, einen Agenten oder einen Konnektor aus, können diese installierten Teile für sich in den Anwendungsbereich fallen. Die Prüfung fragt, was Ihre Kunden tatsächlich erhalten, weil dort die Grenze liegt.

Die Schwelle ist die Entgeltlichkeit, nicht die Lizenz. Artikel 3 Nummer 48 bestimmt freie und quelloffene Software, und die Prüfung, ob sie auf dem Markt bereitgestellt wird, ergibt sich aus den Erwägungsgründen 15 und 18 in Verbindung mit der Begriffsbestimmung in Artikel 3 Nummer 22. Cybiq zitiert diese Erwägungsgründe, statt auf einen Artikel zu verweisen, der diese Prüfung nicht enthält.

Einführer und Händler haben Prüf- und Sorgfaltspflichten nach der Verordnung. Die Prüfung fragt nach Ihrer Rolle in der Lieferkette und nennt die Artikel, die für diese Rolle gelten.

Das ist eine der Fragen. Cybiq fragt nach überschneidenden Rechtsakten der Union und zitiert den Text, der zu Ihrer Antwort passt; die Ausnahme entscheidet es nicht für Sie.

Artikel 32 Absätze 1 bis 5 legt die Verfahren fest: Modul A, B+C, H oder ein europäisches Schema für die Cybersicherheitszertifizierung. Welches davon Ihnen offensteht, hängt von der Produktkategorie ab; die Regeln für Klasse I, Klasse II und die Produkte des Anhangs IV unterscheiden sich. Die Prüfung nennt das Verfahren, das aus Ihren Antworten folgt.

Ein Ergebnis zum Anwendungsbereich, das Verfahren, auf das Ihre Antworten zeigen, die Pflichten dazu, die Stichtage und zu jedem Punkt eine Fundstelle. Sie erhalten einen Link, den Sie an eine Kollegin oder einen Kollegen schicken können. Ohne Anmeldung und ohne Karte.

Eine Prüfliste für Einführer und Händler, als Dokument, das Sie selbst ausfüllen. Sie folgt dem Ergebnis der kostenlosen Prüfung für Ihre Rolle.

Es ist der Herstellersatz: Einstufungsmemo, Verfahren zur Behandlung von Schwachstellen, Protokoll der Kenntniserlangung, vier Meldevorlagen nach Artikel 14 jeweils mit den Feldern und Zeichengrenzen der ENISA-Meldeplattform, Abschnitt zur Meldeführung nach Art. 14 Abs. 7 und Art. 16 Abs. 1, Konzept für die Software-Stückliste, Prüfliste für die sichere Standardkonfiguration, Erklärung zum Unterstützungszeitraum, Verzeichnis der EU-Konformitätserklärung nach Anhang V, Verzeichnis der technischen Dokumentation nach Anhang VII, ein Arbeitsblatt zur Bewertung der Cybersicherheitsrisiken, eine Anforderungsmatrix zu Anhang I, ein Arbeitsblatt zum Meldeprozess, eine Vorlage für das Konzept zur koordinierten Offenlegung von Schwachstellen mit einem Beispiel für security.txt und ein Leitfaden zur Bereitschaft für die Konformitätsbewertung. Es sind Vorlagen, die Sie mit eigenen Produktangaben ausfüllen; Cybiq reicht nichts für Sie ein.

Nein. Die Pakete sind Vorlagen und Verzeichnisse, die Sie ausfüllen. Cybiq reicht nichts ein und übermittelt nichts für Sie und unterschreibt nichts. Wo die Verordnung ein Urteil Ihnen oder Ihrer Rechtsberatung überlässt, sagen die Dokumente das, statt eine Vermutung einzusetzen.

Die Lizenz zur Mitmarkierung kostet 490 EUR je 90 Tage für einen Agenturnamen, ohne Begrenzung der Berichtszahl, per E-Mail und Rechnung statt Kartenzahlung. Sie setzt Ihren Namen auf die Dokumente, die Sie hier erzeugen. Der Hinweis auf Cybiq, die Fundstellen und der Haftungsausschluss bleiben genau so, wie sie sind.

Die volle Geltung beginnt am 11. Dezember 2027. Die Meldepflichten nach Artikel 14, die Hersteller treffen, gelten seit dem 11. September 2026 und erfassen auch Produkte im Anwendungsbereich, die bereits in Verkehr gebracht wurden. Der Rahmen für notifizierte Stellen nach Kapitel IV gilt seit dem 11. Juni 2026 und legt Ihnen keine Pflichten auf.

Bei einer aktiv ausgenutzten Schwachstelle setzt Artikel 14 Absatz 2 Buchstaben a, b und c eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht spätestens 14 Tage nach Vorliegen einer Korrektur- oder Risikominderungsmaßnahme. Bei einem schwerwiegenden Sicherheitsvorfall setzt Artikel 14 Absatz 4 Buchstaben a, b und c dieselben Schritte von 24 und 72 Stunden, mit einem Abschlussbericht binnen eines Monats nach Übermittlung der Meldung des Vorfalls.

Gleichzeitig an das als Koordinator benannte CSIRT und an ENISA, über die einheitliche Meldeplattform, nach Artikel 14 Absätze 1, 3 und 7 und Artikel 16. Am 11. September 2026, dem Tag, an dem die Pflichten nach Artikel 14 begannen, gab ENISA bekannt, dass sie die anfängliche Betriebsfähigkeit der einheitlichen Meldeplattform (SRP) bereitgestellt hat. Klären Sie den aktuellen Stand der Plattform mit ENISA, bevor Sie sich für eine konkrete Meldung darauf verlassen.

Ja, sobald die Verordnung am 11. Dezember 2027 voll gilt. Artikel 30 Absatz 1 verlangt, dass die CE-Kennzeichnung sichtbar, lesbar und dauerhaft angebracht wird; bei einem Produkt in Form von Software wird sie entweder auf der EU-Konformitätserklärung nach Artikel 28 oder auf der Website angebracht, die das Softwareprodukt begleitet. Das Konformitätspaket enthält das Verzeichnis nach Anhang V.

Artikel 13 Absatz 8 sieht mindestens fünf Jahre vor oder die voraussichtliche Nutzungsdauer, wenn diese kürzer ist. Der Zeitraum wird angegeben, und während dieses Zeitraums werden Sicherheitsaktualisierungen bereitgestellt.

Ein maschinenlesbares Verzeichnis dessen, woraus Ihr Produkt besteht. Anhang I Teil II Nummer 1 verlangt eines in einem allgemein gebräuchlichen, maschinenlesbaren Format, das zumindest die obersten Abhängigkeiten abdeckt. Das Konformitätspaket enthält das Konzept; die Datei zu erzeugen ist Sache Ihrer Build-Pipeline, nicht unsere.

Aus dem Amtsblatttext der Verordnung (EU) 2024/2847, CELEX 32024R2847. Unser Corpus wird wöchentlich durch automatisierte Tests gegen den Live-Text geprüft, der vom CELLAR-Endpunkt des Amts für Veröffentlichungen geholt wird. Driftet ein Zitat vom Ausgangstext ab, zeigt der Test das an.

Nein. Es ist eine Orientierung, gestützt auf das Amtsblatt, mit einer wörtlichen Fundstelle zu jedem Punkt, damit Sie selbst nachprüfen können. Für eine verbindliche Beurteilung wenden Sie sich an eine qualifizierte Rechtsberatung. Cybiq gibt Ihnen den Text und die Struktur; die Bewertung liegt bei Ihnen.

Ihre Antworten im Assistenten bleiben in Ihrem Browser, nur im Seitenlink. Wir speichern sie nicht. Unser Server speichert Zugriffsprotokolle (IP-Adresse, Uhrzeit, Seite) 30 Tage lang. Die Seite läuft auf Servern von Hetzner in Deutschland. Die Reichweitenmessung betreiben wir selbst. Kartendaten erreichen uns nie; Stripe wickelt die Zahlung ab.

Artikel 64 setzt die Spannen, in denen die Mitgliedstaaten arbeiten, jeweils als Eurobetrag oder als Anteil am gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist: bis zu 15 Millionen EUR oder 2,5 Prozent für die grundlegenden Anforderungen in Anhang I und die Pflichten aus den Artikeln 13 und 14, bis zu 10 Millionen EUR oder 2 Prozent für die übrigen Pflichten der Wirtschaftsakteure, zu denen die EU-Konformitätserklärung, die CE-Kennzeichnung, die technische Dokumentation und die Konformitätsbewertung ebenso zählen wie die Pflichten der Einführer und Händler, und bis zu 5 Millionen EUR oder 1 Prozent für die Übermittlung unrichtiger, unvollständiger oder irreführender Angaben an eine notifizierte Stelle oder eine Marktüberwachungsbehörde. Das ist die Form der Spanne, keine Prognose zu Ihnen. Nach Artikel 64 Absatz 10 (in der Fassung der Berichtigung, ABl. L 2025/90555 vom 2. Juli 2025) gelten die Geldbußen nach den Absätzen 2 bis 9 nicht für Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, wenn sie die Frist für die Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a oder Absatz 4 Buchstabe a versäumen, und nicht für Verwalter quelloffener Software.