Nachweisfähigkeit ist unter dem Cyber Resilience Act (CRA) ein zentrales Standbei der Cybersicherheit. Hersteller müssen Entscheidungen zur Cybersicherheit nicht nur treffen, sondern begründen und lückenlos dokumentieren. Wir erklären die erwarteten Nachweise, Aufbewahrungsfristen und das Zusammenspiel mit anderen Normen.
In aller Kürze
- Der Cyber Resilience Act (Verordnung (EU) 2024/2847) fordert technische Maßnahmen und deren Dokumentation gleichermaßen.
- Wesentliche Dokumentationen sind die Cyberrisikoanalyse, die technische Dokumentation sowie die Konformitätserklärung.
- Es gelten lange Aufbewahrungsfristen und nur wenige Ausnahmen für kleinere Unternehmen.
Warum ist Dokumentation im CRA eine eigenständige Compliance-Aufgabe?
Viele Hersteller kennen die wesentlichen Cybersicherheitsanforderungen aus Anhang I des CRA als vorwiegend technische Aufgaben. Leicht unterschätzt wird, dass der CRA daneben ein eigenständiges, mehrstufiges Dokumentationssystem mit separaten Pflichten, Formvorgaben und Aufbewahrungsfristen enthält. Compliance entsteht nicht allein durch das Umsetzen von Sicherheitsmaßnahmen, sondern auch durch deren nachvollziehbare, strukturierte Dokumentation, die Behörden auf Anfrage vorgelegt werden kann.
Die Dokumentationspflichten beginnen bereits im Designprozess und begleiten das Produkt bis weit über den Verkauf hinaus, oft zehn Jahre oder länger. Daher lohnt es sich von Anfang an, Dokumentation als eigenständigen Bereich in alle Prozesse bzw. den CRA-Projektplan zu integrieren.
Wie muss die Bewertung der Cybersicherheitsrisiken nach Art. 13 CRA erfolgen?
Art. 13 CRA verlangt von Herstellern eine Bewertung der Cybersicherheitsrisiken, deren Ergebnis in den gesamten Produktlebenszyklus einfließt. Vielfach übersehen wird, dass die Risikobewertung selbst ein Dokument mit konkreten Inhaltspflichten ist. Sie ist nicht nur internes Arbeitsmittel, sondern Teil der technischen Dokumentation und muss Behörden zugänglich gemacht werden können.
Inhalte der Risikoanalyse
Art. 13 Abs. 3 CRA konkretisiert den Mindestinhalt als Analyse der Cybersicherheitsrisiken auf Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung des Produkts, etwa der Betriebsumgebung oder der zu schützenden Anlagen. Dabei ist die voraussichtliche Nutzungsdauer zu berücksichtigen.
Die Risikobewertung muss angeben, ob und wie die produktbezogenen Cybersicherheitsanforderungen aus Anhang I Teil I Nummer 2 auf das Produkt zutreffen und wie sie auf Grundlage der Risikobewertung umgesetzt werden. Sind einzelne Anforderungen nicht anwendbar, etwa weil sie mit der Art des Produkts unvereinbar sind, hat der Hersteller dies eindeutig zu begründen. Bestehen trotz Unanwendbarkeit verbundene Risiken, adressiert der Hersteller sie auf andere Weise, etwa durch Beschränkung auf vertrauenswürdige Umgebungen oder ausdrückliche Nutzerhinweise.
Außerdem muss die Risikobewertung zeigen, wie der Hersteller Anhang I Teil I Nummer 1 umsetzt. Produkte mit digitalen Elementen müssen so konzipiert, entwickelt und hergestellt werden, dass sie ein dem Risiko angemessenes Cybersicherheitsniveau erreichen.
Ebenso berücksichtigt die Risikoanalyse die Anforderungen aus Anhang I Teil II zur Behandlung von Schwachstellen. Hier kann aus Effizienzgründen auf ein zentrales Dokument, welches für alle CRA-Produkte eines Unternehemes gilt, verwiesen werden.
Methodenfreiheit mit Dokumentationspflicht
Der CRA schreibt keine bestimmte Risikobewertungsmethodik vor. Hersteller wählen Framework und Methode selbst. Die Methode muss jedoch alle relevanten Risiken identifizieren und dokumentieren, einschließlich eines nachvollziehbaren Threat-Modelling-Ansatzes, der Verwendungszweck und vorhersehbare Nutzungsszenarien abbildet.
Die FAQ der EU-Kommission zum CRA betonen, dass die gewählte Methode es den Marktüberwachungsbehörden erlauben muss, nachzuvollziehen, wie Risiken identifiziert, bewertet und behandelt wurden. Zu dokumentieren sind also nicht nur Ergebnisse, sondern auch der Weg dorthin.
Für Produkte, die unter mehrere EU-Rechtsakte fallen (etwa zugleich unter die Maschinenverordnung (EU) 2023/1230), ist eine einzige kombinierte Risikobewertung zulässig, sofern die Anforderungen der jeweiligen Rechtsakte darin klar und nachvollziehbar adressiert sind.
Wie hat die technische Dokumentation nach Art. 31 und Anhang VII CRA zu erfolgen?
Die technische Dokumentation ist der zentrale Nachweis der CRA-Konformität. Nach Art. 31 CRA belegt sie, wie der Hersteller sicherstellt, dass Produkt und festgelegte Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I CRA genügen.
Inhalte der technischen Dokumnetation
Anhang VII CRA konkretisiert den Mindestinhalt, soweit er für das jeweilige Produkt relevant ist. Dazu zählen folgende Angaben:
- Allgemeine Produktbeschreibung mit Zweck, Informationen und Anleitungen für Nutzer gemäß Anhang II CRA. Bei Software gehören dazu relevante Softwareversionen, die die Erfüllung der Cybersicherheitsanforderungen beeinflussen, bei Hardware Fotos oder Abbildungen der äußeren Merkmale, Kennzeichnungen und des inneren Aufbaus.
- Beschreibung von Konzeption, Entwicklung und Herstellung des Produkts sowie der Verfahren zum Umgang mit Schwachstellen; insbesondere folgende Angaben:
- Informationen zu Konzeption und Entwicklung, gegebenenfalls mit Zeichnungen, Schemata oder einer Beschreibung der Systemarchitektur, aus der hervorgeht, wie Softwarekomponenten aufgebaut sind, zusammenwirken und in die Gesamtverarbeitung eingebunden sind.
- Informationen zu den Verfahren zur Behandlung von Schwachstellen, einschließlich Software-Stückliste, Konzept zur koordinierten Offenlegung, Kontaktadresse für Schwachstellenmeldungen und Beschreibung der sicheren Bereitstellung von Aktualisierungen.
- Informationen zu Herstellungs- und Überwachungsprozessen sowie zu deren Validierung.
- Dokumentierte Cybersicherheits-Risikobewertung (siehe oben).
- Informationen, die bei der Festlegung des Unterstützungszeitraums (siehe unten) berücksichtigt wurden.
- Aufstellung der angewandten harmonisierten Normen, gemeinsamen Spezifikationen nach Art. 27 CRA oder europäischen Cybersicherheits-Zertifizierungsschemata nach Verordnung (EU) 2019/881 (Cybersecurity Act), etwa des EUCC (European Union Common Criteria-based Cybersecurity Certification Scheme). Werden solche Grundlagen nicht oder nur teilweise angewandt, erklärt die Dokumentation, welche Teile genutzt wurden und mit welchen anderen technischen Lösungen die Anforderungen der Cybersicherheitsanforderungen erfüllt werden.
- Berichte über Tests und Prüfungen, die belegen, dass Produkt und Verfahren zur Schwachstellenbehandlung die grundlegenden Cybersicherheitsanforderungen erfüllen.
- EU-Konformitätserklärung (siehe unten).
- Auf begründetes Verlangen der Marktüberwachungsbehörde (in Deutschland das Bundesamt für Sicherheit in der Informationstechnik – BSI) die SBOM (Software Bill of Materials), soweit sie zur Prüfung der Einhaltung der Cybersecurityanforderungen erforderlich ist.
Synergien mit anderen EU-Rechtsakten
Wurden Teile der technischen Dokumentation bereits aufgrund anderer EU-Rechtsvorschriften erstellt, dürfen diese laut Art. 31 Abs. 3 CRA (soweit einschlägig) in das CRA-Dokumentationspaket einbezogen werden. Das reduziert Doppelarbeit, erfordert aber eine saubere Querverknüpfung, damit für Behörden erkennbar bleibt, welche Anforderung durch welches Dokument aus welchem Regelwerk adressiert wird.
Expertentipp: Mit einem softwaregestützten, integrierten Managementsystem wie activeMind.cloud können Sie eine zentrale Dokumentationsplattform einrichten, um wiederkehrende Anfragen deutlich effizienter zu bearbeiten.
Typische Schnittstellen zeigen sich etwa bei der Maschinenverordnung, hier lassen sich Risikobeurteilungen gemeinsam nutzen, die auch Cyber-Risiken für Sicherheit und Steuerungssysteme umfassen. Beim Data Act (EU) 2023/2854 liegen die Verbindungen oft in der Datensicherheit, da Zugriffskontrollen, Integrität und Vertraulichkeit in beiden Regelwerken adressiert werden.
Sprachanforderung zur Dokumentation
Die technische Dokumentation muss in einer Sprache bereitgestellt werden, die die zuständige notifizierte Stelle akzeptiert (Art. 31 Abs. 4 CRA). Für Hersteller mit EU-weitem Vertrieb bedeutet das, die Sprachstrategie frühzeitig festzulegen, um bei Marktüberwachungsanfragen aus verschiedenen Mitgliedstaaten keine kurzfristigen und aufwändigen Übersetzungen vornehmen zu müssen.
Wie erfolgt das Konformitätsbewertungsverfahren gemäß Art. 32 CRA?
Modulauswahl und Folgen
Art. 32 CRA ordnet die Konformitätsbewertung in ein Modulsystem ein. Die Wahl des Moduls ist eine Dokumentations- und Prozessfrage, denn sie bestimmt die Schritte und Nachweise. Sie richtet sich nach der Klassifizierung des Produkts.
Das CRA-Konformitätsbewertungssystem kennt drei Hauptmodule:
- Modul A (Selbstbewertung, interne Fertigungskontrolle) bedeutet, dass der Hersteller die Konformität eigenverantwortlich prüft, ohne notifizierte Stelle. Zulässig ist es für Standardprodukte sowie für wichtige Produkte der Klasse I, sofern harmonisierte Normen angewendet werden oder das Produkt als freie und quelloffene Software mit öffentlich zugänglicher technischer Dokumentation bereitgestellt wird.
- Modul B+C (EU-Baumusterprüfung) bedeutet, dass eine notifizierte Stelle das Produktmuster prüft und die Konformität bescheinigt. Modul C bezeichnet dann die Serienherstellung auf Basis des geprüften Musters.
- Modul H (Umfassende Qualitätssicherung) bedeutet, dass eine notifizierte Stelle den gesamten Entwicklungs- und Produktionsprozess begutachtet. Es ist das aufwändigste, zugleich umfassendste Modul.
Achtung: Hersteller wichtiger und kritischer Produkte, die keine harmonisierte Norm anwenden oder kein einschlägiges EU-Cybersecurity-Zertifikat (siehe unten) vorweisen, müssen grundsätzlich Modul B+C oder H nutzen und eine notifizierte Stelle einbinden.
Modul A – Interne Kontrolle (Standardprodukte)
Modul A basiert ausschließlich auf einer internen Kontrolle ohne Einbindung einer notifizierten Stelle. Der Hersteller erstellt die technische Dokumentation nach Anhang VII CRA, bewertet die Konformität mit den wesentlichen Cybersicherheitsanforderungen aus Anhang I eigenverantwortlich und stellt anschließend eine EU-Konformitätserklärung aus. Mit der CE-Kennzeichnung bringt er nach außen zum Ausdruck, dass das Produkt den Anforderungen des CRA entspricht, und bewahrt sämtliche Unterlagen mindestens zehn Jahre lang auf.
Im Rahmen von Modul A muss der Hersteller die Konformität mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I CRA tatsächlich bewerten. Dies ist keine reine Formalität. Marktüberwachungsbehörden können eine Selbsterklärung anfechten, wenn die technische Dokumentation unzureichend ist oder das Produkt die Anforderungen nicht erfüllt. Zwar ist keine Einbindung einer Drittstelle erforderlich, doch ist es aus Gründen des Risikomanagements oft ratsam, eine solche (z. B. im Rahmen freiwilliger Prüfungen oder eines Audits) einzubeziehen.
Modul B+C – EU-Baumusterprüfung und interne Fertigungskontrolle (wichtige Produkte, Anhang III CRA)
Hersteller von wichtigen Produkten mit digitalen Elementen (Anhang III CRA) müssen für den Nachweis ihrer Konformität eine notifizierte Stelle einschalten, die im Rahmen des Moduls B eine EU-Baumusterprüfung durchführt und dabei den repräsentativen Prototyp des Produkts auf die Einhaltung der Cybersicherheitsanforderungen prüft.
Ergibt die Prüfung eine positive Bewertung, stellt die notifizierte Stelle eine EU-Baumusterprüfbescheinigung aus, auf deren Grundlage der Hersteller im nachgelagerten Modul C die Übereinstimmung der Serienproduktion mit dem geprüften Baumuster durch interne Fertigungskontrolle sicherstellt.
Erst nach Abschluss beider Verfahrensschritte darf der Hersteller die EU-Konformitätserklärung ausstellen und das CE-Zeichen anbringen.
Modul H – Umfassende Qualitätssicherung (kritische Produkte, Anhang IV CRA)
Modul H ist den Herstellern kritischer Produkte mit digitalen Elementen (Anhang IV CRA) vorbehalten und setzt ein von einer notifizierten Stelle genehmigtes und überwachtes Qualitätsmanagementsystem voraus, das Entwicklung, Produktion und Endkontrolle vollständig abdeckt.
Die notifizierte Stelle bewertet das Qualitätsmanagementsystem, erteilt die Genehmigung und führt regelmäßige Überwachungsaudits durch, um die dauerhafte Wirksamkeit des Systems sicherzustellen. Nach erfolgreicher Prüfung stellt der Hersteller die EU-Konformitätserklärung aus und bringt das CE-Zeichen an; alle Unterlagen sind mindestens zehn Jahre aufzubewahren.
Zusammenspiel mit dem Cybersecurity Act (Art. 32 Abs. 4 CRA)
Ein gültiges EU-Cybersecurity-Zertifikat im Sinne des Cybersecurity Acts (etwa EUCC oder das EU Cybersecurity Certification Scheme for Cloud Services, EUCS) kann bei allen Produkten als Konformitätsnachweis genutzt werden. Für Hersteller, die bereits in EU-Cybersecurity-Zertifizierungen investiert haben, lässt sich diese Investition im CRA-Konformitätssystem doppelt nutzen. Die Dokumentationsanforderungen bleiben jedoch vollständig bestehen, denn ein Zertifikat ersetzt keine technische Dokumentation, sondern ergänzt sie als zusätzlichen Nachweis.
Achtung: Nach Art. 8 CRA kann die EU-Kommission für bestimmte kritische Produkte ein verpflichtendes EU-Cybersecurity-Zertifikat als Marktzugangsvoraussetzung vorschreiben. Ob sie diese Kompetenz nutzt, bleibt abzuwarten.
Was umfasst die EU-Konformitätserklärung nach Art. 28 CRA?
Nach Abschluss der Konformitätsbewertung stellt der Hersteller eine EU-Konformitätserklärung (Declaration of Conformity – DoC) oder eine vereinfachte Fassung aus. Bei der vereinfachten Fassung muss die genaue Internetadresse angegeben sein, unter der die vollständige EU-Konformitätserklärung eingesehen werden kann.
Die DoC ist die formale Erklärung, dass das Produkt die wesentlichen CRA-Anforderungen erfüllt und die erforderlichen Verfahren durchgeführt wurden.
Sie bildet die rechtliche Grundlage für die CE-Kennzeichnung nach Art. 30 CRA und enthält in ihrer vollständigen Version mindestens folgende Angaben:
- Name und Typ sowie alle zusätzlichen Informationen zur eindeutigen Identifizierung des Produkts mit digitalen Elementen
- Name und Anschrift des Herstellers oder seines Bevollmächtigten
- eine Erklärung, dass der Anbieter die alleinige Verantwortung für die Ausstellung der EU-Konformitätserklärung trägt
- den Gegenstand der Erklärung (Bezeichnung des Produkts mit digitalen Elementen zwecks Rückverfolgbarkeit, gegebenenfalls mit Foto)
- eine Erklärung, dass der beschriebene Gegenstand den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht
- Verweise auf die verwendeten harmonisierten Normen, gemeinsamen Spezifikationen oder ein EU-Cybersecurity-Zertifikat, für welche die Konformität erklärt wird
- gegebenenfalls Name und Kennnummer der notifizierten Stelle, eine Beschreibung des Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung
- Ort und Datum der Ausstellung sowie Name, Funktion und Unterschrift
Greifen neben dem CRA weitere EU-Rechtsakte (etwa die KI-Verordnung (AI Act) für Hochrisiko-KI-Systeme), ermöglicht Art. 28 Abs. 7 CRA eine zusammengefasste Konformitätserklärung, die inhaltlich vollständig und für alle betroffenen Rechtsakte konsistent sein muss.
Tipp: Lesen Sie dazu auch unseren Vergleich von CRA und AI Act.
Wie lange müssen die CRA-Dokumentationen aufbewahrt werden?
Aufbewahrungsfristen
Nach Art. 13 Abs. 13 CRA sind die technische Dokumentation und die EU-Konformitätserklärung nach dem Inverkehrbringen mindestens zehn Jahre aufzubewahren, bei längerem Unterstützungszeitraum des Produktes für dessen gesamte Dauer. Bei langlebigen Software-Plattformen oder vernetzten Geräten können das 15 Jahre oder mehr sein (siehe unten).
Die Aufbewahrungspflicht ist nicht rein passiv. Werden Risikobewertungen oder Sicherheitsmaßnahmen im Laufe des Produktlebens angepasst, etwa wegen neuer Schwachstellen oder Produktänderungen, muss die Dokumentation aktualisiert und die Änderungshistorie nachvollziehbar sein.
Gemäß Art. 58 Abs. 1 lit. f CRA legen Hersteller die technische Dokumentation und die DoC auf Anfrage den Marktüberwachungsbehörden vor, auch nach Jahren.
Expertenttipp: Legen Sie Dokumente versioniert ab, statt sie nur zu archivieren, damit auch nach Jahren nachvollziehbar bleibt, welche Dokumentenversion zu welchem Produkt-Release gehört, gerade bei iterativer Softwareentwicklung mit häufigen Releases.
Festlegen des Unterstützungszeitraums
Der Unterstützungszeitraum ist der Zeitraum, in dem der Hersteller Schwachstellewnmanagement und Sicherheitsupdates bereitstellt (Art. 13 Abs. 8 CRA). Seine Festlegung ist nicht nur eine kommerzielle Entscheidung, sondern eine Dokumentationspflicht, denn Art. 13 Abs. 8 CRA verlangt, dass der Hersteller die dabei berücksichtigten Informationen in der technischen Dokumentation festhält.
Der Unterstützungszeitraum muss die voraussichtliche Nutzungsdauer des Produkts widerspiegeln. Nach Art. 13 Abs. 8 CRA und den FAQ der EU-Kommission sind insbesondere folgende Faktoren zu berücksichtigen:
- vernünftige Nutzererwartungen, etwa branchenübliche Support-Laufzeiten
- Art und Verwendungszweck des Produkts
- einschlägige Unionsvorschriften zur Lebensdauer von Produkten mit digitalen Elementen
Optional, aber empfohlen sind Unterstützungszeiträume vergleichbarer Produkte anderer Hersteller, die Verfügbarkeit der Betriebsumgebung, Supportzeiträume wesentlicher integrierter Komponenten sowie Hinweise der CRA-AdCo, einer EU-weiten Arbeitsgruppe zur administrativen Zusammenarbeit der nationalen Marktüberwachungsbehörden im Rahmen des CRA.
Art. 13 Abs. 8 CRA legt einen Mindestsupportzeitraum von fünf Jahren fest, es sei denn, das Produkt wird vernünftigerweise kürzer genutzt. Dann entspricht der Supportzeitraum der erwarteten Nutzungsdauer. Die EU-Kommission betont in ihren Draft Guidance Notes ausdrücklich, dass fünf Jahre kein Standardwert sind. Produkte mit längerer Nutzungsdauer, etwa Industrie-Software oder Embedded-Systeme, brauchen einen entsprechend längeren Supportzeitraum.
Achtung: Bei iterativ entwickelter Software mit regelmäßigen Versions-Releases gilt der Unterstützungszeitraum für jede einzelne auf den Markt gebrachte Version. Hersteller müssen dokumentieren, welche Version welchen Supportzeitraum hat, und dies für Nutzer transparent machen. Nach Art. 13 Abs. 19 CRA sind Käufer beim Erwerb klar über das Enddatum des Unterstützungszeitraums zu informieren (mindestens Monat und Jahr). Mit Supportende informiert der Hersteller die Nutzer und weist, soweit verfügbar, auf Lösungen zur Aufrechterhaltung der Sicherheit hin.
Gibt es Vereinfachungen der CRA-Dokumentationspflichten für kleine Unternehmen?
Der CRA enthält Erleichterungen speziell für Kleinst- und kleine Unternehmen. Sie dürfen die technische Dokumentation in vereinfachter Form vorlegen. Die inhaltlichen Anforderungen des CRA bleiben vollständig bestehen, denn die Vereinfachung betrifft nur Umfang und Darstellungstiefe, nicht die Pflicht zur Konformität.
Ein Kleinstunternehmen muss also keine viele Dutzend Seiten starke Dokumentation nach dem Vorbild großer Hersteller vorlegen, wohl aber eine Dokumentation, die alle inhaltlich relevanten Elemente in angemessenem Umfang abdeckt.
Mittelgroße Unternehmen fallen ausdrücklich nicht unter diese Erleichterung, haben aber Zugang zu anderen Unterstützungsmechanismen, etwa Informationsangeboten der Mitgliedstaaten und der Europäischen Kommission sowie Prüfprogrammen für freie und quelloffene Software.
Wie kann activeMind Unternehmen bei den CRA-Dokumentationspflichten unterstützen?
Wenn wir Unternehmen auf dem Weg zur CRA-Compliance begleiten, setzen wir die relevanten Dokumentationen in unserer auf den CRA spezialisierten Software auf – versioniert, revisionssicher und immer für alle Verantwortlichen an einem Ort verfügbar.
Ihre Vorteile:
- Unsere SaaS-Lösung mit angepassten Vorlagen, Versionierung und automatischen Auswertungen macht Dokumentation leicht und effizient.
- Verantwortliche Mitarbeiter, Auditoren notifizierter Stellen und Prüfer von Aufsichtsbehörden finden alle Informationen mit wenigen Klicks – so sparen Sie Zeit, Geld und Nerven.
CRA-Compliance-Dokumentation mit Excel ist von vornherein zum Scheitern verurteilt. Setzen Sie lieber auf eine softwaregestützte Dokumentation und den effektiven Rat von Experten. Jetzt kostenfreies Erstgespräch vereinbaren!
Fazit: Dokumentation als strategische Aufgabe
Die Dokumentationspflichten des CRA sind weit mehr als bürokratisches Beiwerk. Sie bilden das Nachweissystem, ohne das CRA-Konformität für Behörden und Marktüberwachung nicht sichtbar wird.
Wer früh ein strukturiertes Dokumentationsmanagement mit klarer Versionierung, Verantwortlichkeiten und Schnittstellen zu anderen EU-Rechtsakten aufbaut, schafft die Grundlage für effiziente Konformitätsbewertungen und schnelle Reaktion auf Marktüberwachungsanfragen. Entscheidend ist im Zweifel nicht die technische Umsetzung allein, sondern die dokumentierte Begründung jeder Maßnahme.
