Was Cybiq prüft

Die EU-Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der Union verkauft werden. Cybiq stellt sechs Fragen (wie Ihr Produkt zu den Nutzern gelangt, was Ihre Kunden erhalten, welche Rechtsakte der Union sich überschneiden, welche Rolle Sie in der Lieferkette haben und welche Produktkategorie passt) und liefert ein eindeutiges Ergebnis: im Anwendungsbereich oder nicht, welches Konformitätsbewertungsverfahren gilt (internes Kontrollverfahren, Dokumentation nach Anhang III Klasse I oder Bewertung durch eine notifizierte Stelle), welche Pflichten Sie konkret treffen und welche Stichtage zählen.

Jede Aussage ist wörtlich im Amtsblatt belegt (CELEX 32024R2847) und wird wöchentlich durch automatisierte Tests gegen den Live-Text geprüft, der vom CELLAR-Endpunkt des Amts für Veröffentlichungen abgerufen wird.

Die Stichtage, auf die es ankommt

Bei Verstößen gegen die grundlegenden Anforderungen und die Artikel 13 und 14: Geldbußen bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes (Art. 64 Abs. 2). Bei Verstößen gegen die Pflichten der Wirtschaftsakteure: bis zu 10 000 000 EUR oder 2 % (Art. 64 Abs. 3).

Häufige Fragen

Gilt die Verordnung für mein SaaS?

In der Regel nein: Dienste, die vollständig auf Ihrer eigenen Infrastruktur laufen, sind keine „Produkte mit digitalen Elementen“. Liefern Sie jedoch Software an den Kunden (eine App, einen Agenten, einen Konnektor), können diese installierten Teile in den Anwendungsbereich fallen.

Und freie, quelloffene Software?

Quelloffene Software ohne Entgelt liegt außerhalb der Verordnung. Quelloffene Software, mit der Geld verdient wird (entgeltliche Verbreitung, oder Unterstützungsleistungen und Lizenzen, die an das Produkt gebunden sind), wird wie jedes andere gewerbliche Produkt behandelt.

Ab wann gelten meine Pflichten?

Die volle Geltung beginnt am 11. Dezember 2027. Die Meldepflichten nach Art. 14 (nur Hersteller) beginnen am 11. September 2026; der Rahmen für notifizierte Stellen nach Kapitel IV gilt seit dem 11. Juni 2026.

Brauche ich für meine Software eine CE-Kennzeichnung?

Sobald die Verordnung vollständig gilt (11. Dezember 2027), bringen Hersteller im Anwendungsbereich die CE-Kennzeichnung sichtbar, lesbar und dauerhaft an und stellen eine EU-Konformitätserklärung aus.

Was ist eine Software-Stückliste und brauche ich eine?

Ein maschinenlesbares Verzeichnis der Bestandteile Ihres Produkts. Die Verordnung verlangt eines, aus dem zumindest die obersten Abhängigkeiten hervorgehen, in einem gängigen Format wie CycloneDX oder SPDX.

Wie lange muss ich mein Produkt unterstützen?

Mindestens fünf Jahre ab dem letzten Inverkehrbringen, oder die voraussichtliche Nutzungsdauer, wenn davon ausgegangen wird, dass das Produkt weniger als fünf Jahre im Betrieb ist; sichtbar angegeben, mit Sicherheitsaktualisierungen während der gesamten Dauer.

Ich verkaufe Produkte weiter: treffen mich Pflichten?

Ja: Handeln Sie mit der gebührenden Sorgfalt, prüfen Sie, ob die CE-Kennzeichnung angebracht und die Unterlagen vorhanden sind, und stellen Sie keine Produkte bereit, von denen Sie wissen, dass sie nicht konform sind. Einführer trifft zusätzlich eine Prüf- und Kennzeichnungspflicht.

Wie hoch sind die Geldbußen nach der Verordnung?

Bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen und die Artikel 13 und 14; bis zu 10 000 000 EUR oder 2 % bei Verstößen gegen die Pflichten der Einführer und Händler (Art. 64).

Welches Konformitätsbewertungsverfahren gilt für mein Produkt?

Für die meisten Produkte: das interne Kontrollverfahren (Selbstbewertung). Für Produkte des Anhangs III Klasse I (Browser, Passwort-Manager, Router): Selbstbewertung samt vollständiger technischer Dokumentation. Für Anhang III Klasse II (Firewalls, Hypervisoren) und kritische Produkte des Anhangs IV (Sicherheitsboxen, Chipkarten): eine notifizierte Stelle ist erforderlich.

Ist das eine Rechtsberatung?

Nein: eine Orientierung, gestützt auf das Amtsblatt, mit wörtlichen Fundstellen zu jedem Punkt, damit Sie sie nachprüfen können. Für eine verbindliche Beurteilung wenden Sie sich an eine qualifizierte Rechtsberatung.

Mehr Tiefe: die vollständigen häufigen Fragen (34 belegte Antworten) und das Glossar mit wörtlichen Begriffsbestimmungen.

Dokumente nach der Prüfung

• CRA-Prüfliste · 49 EUR: rollenspezifische Prüfliste für Einführer und Händler, eine Prüftabelle nach Art. 19 Abs. 2 oder Art. 20 Abs. 2 für die Zeit vor dem Inverkehrbringen, ein Selbsttest nach Art. 21 zum eigenen Namen und zur wesentlichen Veränderung, dazu ihre Pflichten zur Unterrichtung über Schwachstellen nach den Artikeln 19 und 20.
• CRA-Konformitätspaket · 199 EUR: Einstufungsmemo, Verfahren zur Behandlung von Schwachstellen, Protokoll der Kenntniserlangung mit Zeitstempeln, vier Meldevorlagen nach Art. 14 (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen bei einer aktiv ausgenutzten Schwachstelle sowie der Satz für schwerwiegende Sicherheitsvorfälle), Abschnitt zur Weiterleitung nach Art. 14 Abs. 7 und Art. 16 Abs. 1, Konzept für die Software-Stückliste, Prüfliste für die sichere Standardkonfiguration, Erklärung zum Unterstützungszeitraum, Verzeichnis der EU-Konformitätserklärung nach Anhang V, Verzeichnis der technischen Dokumentation nach Anhang VII (Art. 31) sowie ein Leitfaden zur Vorbereitung der Konformitätsbewertung für jedes Verfahren des Artikels 32. Vorlagen und Verzeichnisse, die Sie selbst ausfüllen: Cybiq reicht nichts ein und übermittelt nichts in Ihrem Namen.
• Lizenz zur Mitmarkierung für Agenturen · 490 EUR: Für Agenturen und Beratungen, die CRA-Projekte für Mandanten bearbeiten: ein signiertes Token, das Ihren Namen auf jedes hier erzeugte Dokument setzt, für 490 EUR je 90 Tage, ein Agenturname, keine Begrenzung der Berichtszahl. Nur Mitmarkierung: Der Hinweis auf Cybiq, die Fundstellen und der Haftungsausschluss bleiben unverändert. Das Token ist ein Inhaberzugang: Wer es besitzt, kann mitmarkierte Dokumente erzeugen. Es ist eine Freischaltung der Mitmarkierung, keine Bezahlschranke: Die Prüfung läuft in Ihrem Browser, und jedes Dokument lässt sich auch ohne Token kostenlos erzeugen. Ohne Serverdienst ist keine Zählung je Bericht möglich, deshalb ist dies eine Lizenz auf Zeit und nie ein Preis je Bericht. Nachvollziehbarkeit statt Verhinderung: Die Kennung des Tokens steht in jedem damit erzeugten Dokument, ein weitergegebenes Token ist also im Nachhinein zuzuordnen. Ein Widerruf bedeutet den Wechsel des veröffentlichten öffentlichen Schlüssels; damit werden alle damit signierten Token ungültig, weshalb Schlüssel je Gruppe ausgegeben werden.

Preise endgültig. Es kommt keine Umsatzsteuer hinzu. Automatisiert erstellte Konformitätsdokumente, keine Rechtsberatung.