← Zurück zu Cybiq

Für KI-Agenten: Anwendbarkeit der Cyberresilienz-Verordnung über HTTP prüfen

Cybiq lässt sich von einer Software vollständig prüfen, ohne Verkaufsgespräch und ohne dass ein Mensch ein Formular ausfüllt. Es gibt drei Wege hinein, und alle drei nutzen dieselbe Entscheidungslogik: einen laufenden Endpunkt unter POST /api/classify, einen MCP-Server unter POST /mcp und die gesamte Entscheidungslogik vorab berechnet als statisches JSON-Artefakt, für Agenten, die lieber im Wörterbuch nachschlagen als eine Anfrage zu stellen. Für keinen der drei Wege braucht es ein Konto oder einen Schlüssel.

Agenten-Skill (Installation): npx skills add maticijus/hexenkraft-agent-skills --skill cybiq-cra-scope - https://skills.sh/maticijus/hexenkraft-agent-skills/cybiq-cra-scope. Ein Mensch zahlt bei Stripe; die Ausgabe ist keine Rechtsberatung.

Diese Seite ist die menschenlesbare Fassung des Agentenabschnitts von llms.txt. Die maschinenlesbare Beschreibung steht in openapi.json, die Serverkarte für MCP unter /.well-known/mcp.json, und was die Pakete kosten und zu welchen Bedingungen, steht in /api/offers.json. Jede Seite hier trägt alle drei in einem Link-Kopffeld, es muss also nichts von dem erraten werden, was unten steht.

Was angeboten wird

• Kostenlose Einstufung der Anwendbarkeit (das Artefakt weiter unten): Ergebnis, Begründungen, Pflichten mit wörtlichen Fundstellen aus dem Amtsblatt, regulatorischer Fahrplan und nächste Schritte für Grauzonen. Kein Konto, keine Zahlung.
• Paket Verifizierungs-Prüfliste, einmalig 49 EUR: rollenbezogene Prüfliste für Einführer und Händler, eine Verifizierungstabelle vor dem Inverkehrbringen (Art. 19 Abs. 2) oder vor der Bereitstellung auf dem Markt (Art. 20 Abs. 2), ein Selbsttest nach Art. 21 zum Inverkehrbringen unter eigenem Namen oder eigener Marke und zur wesentlichen Änderung, dazu die Meldepflichten bei Schwachstellen nach den Artikeln 19 und 20.
• Compliance-Paket zur Cyberresilienz-Verordnung, einmalig 199 EUR: Einstufungsmemo, Verfahren zur Behandlung von Schwachstellen, Protokoll der Kenntniserlangung, vier Meldevorlagen nach Artikel 14 (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen bei einer aktiv ausgenutzten Schwachstelle sowie die Vorlagen für schwerwiegende Sicherheitsvorfälle), jeweils mit den Feldern und Zeichengrenzen der ENISA-Meldeplattform neben den von der Verordnung verlangten Inhalten, Abschnitt zur Meldeführung nach Art. 14 Abs. 7 und Art. 16 Abs. 1, Konzept zur Software-Stückliste (SBOM), Prüfliste zu sicheren Voreinstellungen, Erklärung zum Unterstützungszeitraum, Verzeichnis zur Konformitätserklärung nach Anhang V, Verzeichnis der technischen Dokumentation nach Anhang VII (erstellt nach Art. 31), ein Arbeitsblatt zur Bewertung der Cybersicherheitsrisiken, eine Anforderungsmatrix zu Anhang I, ein Arbeitsblatt zum Meldeprozess (wer was tut, Entscheidungsprotokoll, Checkliste für einen Probelauf), eine Vorlage für das Konzept zur koordinierten Offenlegung von Schwachstellen mit einem Beispiel für security.txt und ein Leitfaden zur Bereitschaft für die Konformitätsbewertung, der jedes Verfahren nach Artikel 32 abdeckt. Vorlagen und Verzeichnisse füllen Sie selbst aus: Cybiq reicht nichts ein und übermittelt nichts für Sie.
• Lizenz für Agentur-Co-Branding, 490 EUR pro 90 Tage: Für Agenturen und Beratungen, die Arbeiten zur Cyberresilienz-Verordnung für Mandanten erbringen: ein signiertes Token, das Ihren Namen auf jedes hier erzeugte Dokument setzt, für 490 EUR pro 90 Tage, ein Agenturname, keine Begrenzung der Berichtszahl. Nur Co-Branding: Der Hinweis auf Cybiq, die Fundstellen und der Haftungsausschluss bleiben unverändert. Das Token ist ein Inhaberausweis: Wer es besitzt, kann co-gebrandete Dokumente erzeugen. Es ist eine Freischaltung für das Co-Branding, keine Bezahlschranke: Die Maschine läuft in Ihrem Browser, und jedes Dokument lässt sich auch ohne Token kostenlos erzeugen. Ohne Serverteil ist keine Zählung pro Bericht möglich, deshalb ist dies eine Laufzeitlizenz und niemals ein Preis pro Bericht. Nachvollziehbarkeit statt Verhinderung: Die Token-Kennung steht in jedem damit erzeugten Dokument, sodass sich ein weitergegebenes Token im Nachhinein zuordnen lässt. Widerruf bedeutet, den veröffentlichten öffentlichen Schlüssel zu wechseln, was jedes damit signierte Token ungültig macht; Schlüssel werden daher pro Gruppe ausgegeben.

Angebot ausschließlich für Unternehmer.

Eine Software kann einen Kauf mit dem Werkzeug start_pack_checkout weiter unten anstoßen. Der Aufruf kostet nichts. Der Handelsweg in v1 ist der Stripe-Zahlungslink: Das Werkzeug kann einen Zahlungslink übergeben, den ein Mensch öffnet und bezahlt, und die heutige Antwort 422 checkout_creation_not_permitted mit dem Link im Feld detail ist der vorgesehene Weg in v1, kein vorübergehender Notbehelf. Denselben Link trägt jedes Paket als payment_link in /api/offers.json, sodass eine Software ihn ohne den Fehlerpfad lesen kann. Eine spätere Installation kann weiterhin eine Checkout-Sitzung anlegen; dieser Weg ist optional. Der menschliche Käufer öffnet die URL, zahlt mit seiner eigenen Karte und setzt auf der Seite von Stripe das Häkchen bei den Bedingungen. Mit diesem Häkchen stimmt er der sofortigen Bereitstellung der digitalen Inhalte zu und verzichtet dadurch auf das Widerrufsrecht von 14 Tagen. Keine Software darf es an seiner Stelle setzen, und dieser Dienst liefert eine Sitzung ohne diese Zustimmung nicht aus. check_order_status braucht die Kennung einer Checkout-Sitzung und verfolgt keinen Kauf über den Zahlungslink; solche Käufe verfolgt der Mensch. Preis, umsatzsteuerliche Behandlung, Lieferumfang und die Bedingungen für eine Erstattung stehen sämtlich in /api/offers.json: Lesen Sie die Datei, bevor Sie jemanden zu einer Kasse schicken. Die Agenturlizenz wird weiterhin per E-Mail unter hello@cybiq.eu bestellt.

Die Endpunkte

Die beiden Schnittstellen mit Mengenbegrenzung haben getrennte Kontingente. Wer zwanzig Produkte einstuft, verbraucht also nie das Kontingent, das ein Käufer für die Rückkehr von Stripe braucht. Wird eines überschritten, lautet die Antwort 429 in dem Umschlag, der unter Fehler beschrieben ist.

POST /api/classify

Senden Sie eine beliebige Teilmenge der sechs Antworten. Ein unvollständiger Satz ist kein Fehler: Die Maschine antwortet mit needs_review und nennt in missing, was ihr noch fehlt. Ein unbekannter Schlüssel oder ein unbekannter Wert wird mit 422 abgelehnt, statt stillschweigend verworfen zu werden.

curl -s https://cybiq.eu/api/classify \
  -H 'Content-Type: application/json' \
  -d '{"answers":{"market":"commercial","ossMonetized":false,
       "productKind":"installable_software","otherRegime":"none",
       "role":"manufacturer","category":"vpn"},"locale":"en"}'

Die Antwort trägt das Ergebnis, die geordneten reasons, die obligations mit ihren Artikeln der Cyberresilienz-Verordnung, den Fahrplan in timeline, den Weg zur Konformitätsbewertung, das passende packTier und sources: Kennungen aus dem Zitatbestand, die jede Aussage an ein wörtliches Zitat aus dem Amtsblatt binden. locale: "de" ändert nur die Prosa; Ergebnis, Artikel, Fundstellen und Daten sind in beiden Sprachen identisch.

POST /api/deadlines

Senden Sie kind (vulnerability oder incident) und awareness, den Zeitpunkt der Kenntniserlangung des Herstellers, als ISO 8601 mit Z oder Zeitzonenversatz. Mit measureAvailable (nur Schwachstelle) oder notificationSubmitted (nur Sicherheitsvorfall) lassen Sie die Frist für den Abschlussbericht beginnen; ohne diese Angabe steht der Abschlussbericht mit dueBy: null in der Liste. Die Antwort nennt jede Frist in zeitlicher Reihenfolge mit der Kennung basis aus dem Zitatbestand und der Fundstelle, die verwendete method und einen ics-Kalender mit einem Termin je datierter Frist. Das sind die frühesten Lesarten der äußeren Fristen: Jede Meldung ist in jedem Fall unverzüglich fällig. Dieselbe Berechnung ist das MCP-Werkzeug compute_reporting_deadlines. Nichts wird gespeichert, und Cybiq meldet und übermittelt nie etwas in Ihrem Namen; die Antwort wiederholt das in notice. Ein Zeitpunkt ohne Zeitzonenversatz, ein unmögliches Datum oder ein späterer Zeitpunkt vor awareness wird mit 422 invalid_deadline_input abgelehnt, und das Feld wird genannt.

curl -s https://cybiq.eu/api/deadlines \
  -H 'Content-Type: application/json' \
  -d '{"kind":"vulnerability","awareness":"2027-03-10T08:30:00+01:00",
       "measureAvailable":"2027-03-12T00:00:00Z","locale":"de"}'

POST /mcp

Model Context Protocol über Streamable HTTP: zustandslos, JSON-Antworten statt eines SSE-Stroms, ausschließlich POST. Ein GET wird mit 405 und einem Allow-Kopffeld beantwortet und nicht mit 404, denn ein Client, der einen Strom geöffnet hat, hat den richtigen Endpunkt gefunden. Es gibt keine Sitzungskennung, jede Anfrage steht also für sich. Sammelaufrufe nach JSON-RPC werden abgelehnt. Die angefragte Fassung des Protokolls wird zurückgegeben, sofern dieser Server sie spricht; andernfalls bietet er die neueste an, die er hat.

curl -s https://cybiq.eu/mcp \
  -H 'Content-Type: application/json' \
  -H 'Accept: application/json, text/event-stream' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

curl -s https://cybiq.eu/mcp \
  -H 'Content-Type: application/json' \
  -d '{"jsonrpc":"2.0","id":2,"method":"tools/call",
       "params":{"name":"classify_cra",
                 "arguments":{"answers":{"market":"commercial",
                   "ossMonetized":false,"productKind":"installable_software",
                   "otherRegime":"none","role":"manufacturer",
                   "category":"vpn"}}}}'

classify_cra führt genau den Handler aus, den auch /api/classify ausführt; es gibt also keinen zweiten Codepfad, der anders antworten könnte. start_pack_checkout nimmt ein tier mit dem Wert verification_checklist_49 oder compliance_pack_199 entgegen, dazu wahlweise ein locale und einen idempotency_key. In v1 kann es mit 422 checkout_creation_not_permitted antworten und den öffentlichen Zahlungslink im Feld detail mitgeben; das ist so vorgesehen. Wenn Sie nur die Zahlungs-URL brauchen, lesen Sie payment_link in /api/offers.json. Eine spätere Installation kann weiterhin checkout_url, session_id, amount und currency aus einer Checkout-Sitzung liefern. Paket, Preis und Betrag werden serverseitig aus der Preiskennung bei Stripe bestimmt: Nichts im Rumpf der Anfrage kann einen Preis benennen. check_order_status braucht die Kennung einer Checkout-Sitzung (Form cs_...) und verfolgt keinen Kauf über den Zahlungslink; solche Käufe verfolgt der Mensch. Gibt es eine Sitzung, sagt das Werkzeug paid, unpaid oder unknown (die Sitzung ist kein Cybiq-Kauf: Der Preis der Sitzung gehört nicht zu Cybiq oder ihr Modus ist nicht payment). Eine bezahlte Sitzung trägt die Freischalt-URL nur, wenn der Käufer die Bedingungen beim Checkout akzeptiert hat; sonst lautet sie paid ohne unlock_url. Rufen Sie die Freischalt-URL nicht selbst auf: Sie wirkt genau einmal, und die Dokumente gehören dem Menschen, der bezahlt hat. compute_reporting_deadlines führt den Handler von /api/deadlines aus und meldet eine Ablehnung als Werkzeugfehler mit demselben Problemdokument. Die verbindlichen Schemata holen Sie mit tools/list, statt sie von dieser Seite abzuschreiben.

Idempotenz

start_pack_checkout nimmt einen idempotency_key entgegen, den Sie selbst wählen. Er ist kein Ausweis und lässt sich auch nicht als einer verwenden. Der Idempotenzschlüssel liegt unter Ihrer eigenen aufrufenden Adresse, ist an einen Prüfwert der Anfrage gebunden, für die er zuerst verwendet wurde, trägt eine serverseitige Einmalzahl, die Sie nie zu sehen bekommen, und verfällt nach 24 Stunden. Innerhalb dieser Frist gilt: Dieselbe Anfrage wiederholt die gespeicherte Sitzung, ohne Stripe erneut aufzurufen; derselbe Schlüssel mit einem anderen Paket oder einer anderen Sprache ergibt 422 idempotency_key_conflict und ist ein Fehler zum Beheben, kein Aufruf zum Wiederholen; dieselbe Anfrage, während die erste noch läuft, ergibt 409 idempotency_key_in_progress, was heißt: kurz warten und erneut versuchen, keinen zweiten Bezahlvorgang starten. Schicken Sie gar keinen Schlüssel, erhalten Sie schlicht eine neue Sitzung; dasselbe Paket absichtlich zweimal zu kaufen, funktioniert also.

GET /api/offers.json

Lesen Sie diese Datei, bevor Sie eine Kasse eröffnen. Sie trägt beide Pakete mit ihrer Plankennung, ihrem Namen, dem Preis in Euro, der Währung, dem Lieferumfang, der Vorlage für die URL zur Kasse und dem veröffentlichten payment_link (dem Stripe-Zahlungslink, den der Mensch öffnet); die umsatzsteuerliche Behandlung, nämlich dass der genannte Preis der gesamte berechnete Betrag ist und an der Kasse nichts hinzukommt; die Bedingungen zu Lieferung und Widerrufsrecht samt der Rechtsgrundlage, auf der sie beruhen; und jeden Fehlercode, den diese Schnittstelle zurückgeben kann, mit seinem Status. Sie wird aus denselben Konstanten erzeugt, die diese Website anzeigt; der Preis, der Ihnen genannt wird, und der Preis, den ein Mensch sieht, können deshalb nicht auseinandergehen.

GET /api/decisions.de.json

Eine Abfrage liefert alle 46 368 vollständigen Antwortkombinationen mit ihren Entscheidungen (816 verschiedene Ergebnisse). Schema: cybiq.decisions/v1. Speichern Sie das Artefakt großzügig zwischen und holen Sie es erneut, sobald sich schema ändert. Die deutsche Datei trägt locale mit dem Wert de; sie hat dieselben Antwortschlüssel und denselben index wie die englische, denn die Kennungen der Ergebnisse werden aus der englischen Entscheidung berechnet. Beide Dateien lassen sich also über die Kennung verbinden, und es unterscheidet sich nur die Prosa. Beschrieben in openapi.json; gegen die laufende Maschine geprüft von der Testsuite dieser Website bei jeder Auslieferung.

Nachschlagen

Das Objekt index bildet ein Antworttupel auf die Kennung eines Ergebnisses ab; das Objekt outcomes enthält die Entscheidungen. Aufbau des Schlüssels:

market|ossMonetized|productKind|otherRegime|role|category

mit diesen Werten:

• market: commercial | internal_only | free_oss
• ossMonetized: true | false
• productKind: installable_software | hardware_with_software | standalone_hardware | pure_saas
• otherRegime: none | medical_devices | in_vitro_diagnostics | aviation | marine_equipment | road_vehicles | high_risk_ai
• role: manufacturer | importer | distributor
• category: general_app | browser | password_manager | identity_access_management | anti_malware | vpn | network_management | siem | boot_manager | pki_certificate_issuance | operating_system | security_microprocessor_microcontroller | smart_home_assistant_or_security | connected_toy | health_wearable | network_device | network_critical_infrastructure | firewall_ids_ips | tamper_resistant_chip | hypervisor_container_runtime | hsm_secure_element | industrial_control | other

Beispiel: ein gewerblich vertriebenes, installierbares Netzwerkgerät eines Herstellers einstufen.

curl -s https://cybiq.eu/api/decisions.de.json \
  | node -e '
    let raw = "";
    process.stdin.on("data", (c) => (raw += c));
    process.stdin.on("end", () => {
      const d = JSON.parse(raw);
      const key = ["commercial","false","installable_software","none",
                   "manufacturer","network_device"].join("|");
      console.log(d.outcomes[d.index[key]].headline);
    });'

Jede Entscheidung trägt sources: Kennungen aus dem Zitatbestand, die jede Aussage an den Wortlaut der Verordnung (EU) 2024/2847 binden (CELEX 32024R2847), wöchentlich von der CI gegen die aktuelle Fassung auf EUR-Lex geprüft. Ein Ergebnis zu übernehmen, ohne seine reasons zu lesen, ist ein Fehlgebrauch: Grauzonen wie reine Cloud-Dienste oder sich überschneidende Regelungen geben bewusst needs_review oder likely_out_of_scope mit konkreten nextSteps zurück statt einer selbstsicheren Vermutung.

Fehler

Jeder Fehlschlag, auf jeder Route, ist ein Problemdokument nach RFC 9457, ausgeliefert als application/problem+json. Die MCP-Werkzeuge geben dasselbe Dokument im structuredContent des Werkzeugergebnisses zurück, neben isError: true, und Ablehnungen auf Protokollebene tragen es im Feld error.data von JSON-RPC. Ein Vokabular deckt also beide Transportwege ab.

{
  "type": "https://cybiq.eu/for-agents.html#error-invalid_answer_value",
  "title": "Unknown answer value",
  "status": 422,
  "detail": "Invalid value for \"market\". Allowed values: ...",
  "code": "invalid_answer_value",
  "field": "market",
  "instance": "/api/classify"
}

Lesen Sie code, statt die URI in type zu zerlegen, auch wenn diese URI auflöst: Sie zeigt auf die Zeile dieses Codes weiter unten. status ist eine Eigenschaft des Codes und wird serverseitig einmal festgelegt; keine zwei Routen geben einem Code also zwei Bedeutungen, und die Zahl steht auch in einem Werkzeugergebnis über MCP, das keinen eigenen HTTP-Status hat. instance ist die Route und nie die URL der Anfrage; die Kennung einer Checkout-Sitzung kann so nicht in einem Fehlerdokument landen, das Sie protokollieren. Jede JSON-Antwort dieser Schnittstelle trägt außerdem X-Robots-Tag: noindex; die beiden Entscheidungsartefakte bewusst nicht, denn sie sind ein Datensatz, der gefunden werden soll.

Der gesamte Ablauf

1. Klären Sie so viele der sechs Antworten über das Produkt, wie Sie können.
2. Einstufen: POST /api/classify, das Werkzeug classify_cra oder ein Nachschlagen in /api/decisions.de.json. Alle drei sind dieselbe Maschine.
3. Steht in verdict der Wert needs_review, lesen Sie missing und holen Sie diese Antworten nach. Die Maschine rät nie, um eine Lücke zu füllen.
4. Steht in verdict der Wert in_scope, so nennt packTier das passende Paket. Lesen Sie /api/offers.json. Geben Sie payment_link an den Menschen weiter, oder rufen Sie start_pack_checkout auf (in v1 kann dieselbe URL in 422 checkout_creation_not_permitted stehen).
5. check_order_status braucht die Kennung einer Checkout-Sitzung und verfolgt keinen Kauf über den Zahlungslink; solche Käufe verfolgt der Mensch. Gibt es später eine Sitzung, fragen Sie ab, bis dort paid steht, und geben Sie die Freischalt-URL an den Menschen weiter; öffnen Sie sie nicht selbst.
6. Fällt das Produkt nicht in den Anwendungsbereich, geben Sie nextSteps weiter: Das ist die ehrliche Antwort, und es gibt nichts zu verkaufen.

Grundregeln

• Geben Sie reasons und sources mit weiter, nicht nur das Ergebnis.
• Die Ausgabe ist automatisch erzeugte Compliance-Dokumentation und keine Rechtsberatung; daran ändert sich nichts, wenn eine Software sie weitergibt. Kein Sprachmodell schreibt irgendeinen Teil der rechtlichen Ausgabe.
• Stimmen Sie den Bedingungen niemals für einen Käufer zu. Das Häkchen auf der Seite von Stripe ist die Stelle, an der ein Mensch auf ein gesetzliches Recht verzichtet, und es zu setzen ist seine Sache.
• Öffnen Sie niemals eine Freischalt-URL. Sie wirkt genau einmal, und die Dokumente gehören dem Käufer.
• Vier Pfade unter /api/ haben eine öffentliche Zusage: classify, offers.json und die beiden decisions-Artefakte. Alles Übrige dort ist in robots.txt gesperrt.
• Nennen Sie beim Zitieren von Daten die Felder celex und schema des Artefakts, damit Veralten erkennbar bleibt.

Kostenlose Prüfungen im Browser

Zwei weitere Prüfungen laufen als Webseiten im Browser der Besucherin oder des Besuchers. Sie sind keine Endpunkte der Schnittstelle und keine MCP-Werkzeuge: Ihre Antworten werden nicht an einen Server gesendet und nichts wird gespeichert, und Cybiq reicht nie etwas im Namen eines anderen ein oder übermittelt es. Ein Mensch öffnet sie; ein Agent kann den Menschen mit der Adresse dorthin schicken.

• /de/report-check.html: „Ist diese Schwachstelle oder dieser Sicherheitsvorfall meldepflichtig? Prüfung nach Artikel 14“. Der Pfad für Schwachstellen fragt, ob die Schwachstelle aktiv ausgenutzt wird und im Produkt enthalten ist, der Pfad für Sicherheitsvorfälle, ob der Vorfall schwerwiegend ist. Das Ergebnis lautet, dass die Angaben eine aktiv ausgenutzte Schwachstelle (Artikel 14) oder einen schwerwiegenden Sicherheitsvorfall (Artikel 14) beschreiben oder nicht beschreiben, mit den Gründen, den folgenden Fristen und den zitierten Quellen. Es kann auch lauten, dass die Schwachstelle nach den Angaben nicht im Produkt enthalten ist (Artikel 14 Absatz 1) oder dass eine Prüfung erforderlich ist. Orientierung, keine Rechtsberatung.
• /de/rdps-check.html: „Ist mein Cloud-Backend Teil des Produkts? Prüfung der Datenfernverarbeitung“. Drei Fragen zu Artikel 3 Nummer 2, ein Ergebnis mit Gründen und die Leitlinien der Kommission, Abschnitt 8.1 (nicht verbindlich).

Zum Weiterlesen

• llms.txt (EN): diese Website in einer maschinenlesbaren Datei.
• openapi.json (EN): Beschreibung der laufenden Schnittstelle nach OpenAPI 3.1.
• /.well-known/mcp.json (EN): die Serverkarte für MCP.
• /api/offers.json (EN): die Zusage zum Angebot, Preise und Bedingungen.
• Impressum, Datenschutz und Nutzungsbedingungen.

Kontakt

Betreiber: HEXENKRAFT s.r.o., IČO 29665931, V zahradách 2462/31, Libeň, 180 00 Praha 8, Tschechien. Fragen, Schwierigkeiten bei der Anbindung oder ein falsches Ergebnis: hello@cybiq.eu.

Cybiq erzeugt automatisch Compliance-Dokumentation aus der Verordnung (EU) 2024/2847 in ihrer veröffentlichten Fassung. Das ist keine Rechtsberatung, und daran ändert sich nichts, wenn eine Software sie für jemanden auswertet.