CRA Evidence

CRA Evidence unterstützt Hersteller, Importeure und Händler bei der Einhaltung des EU Cyber Resilience Act. Ab Dezember 2027 gilt das Gesetz uneingeschränkt. Für Produkte mit digitalen Elementen, die auf den EU-Markt gebracht werden, sind dann eine technische Dokumentation gemäß Anhang VII und eine EU-Konformitätserklärung erforderlich. Nach Artikel 13 müssen Unterlagen zehn Jahre lang aufbewahrt und Vorfälle gemäß Artikel 14 an ENISA gemeldet werden. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes. 🔹 SBOM-Verwaltung. CycloneDX 1.4+ und SPDX 2.3+ importieren, anhand von BSI TR-03183 bewerten und HBOMs für eingebettete Systeme verwalten. 🔹 Schwachstellen-Wissensbasis. Eine eigene Datenbank nutzen, die alle 15 Minuten mit Informationen aus NVD, OSV.dev, GitHub Advisories und CISA KEV aktualisiert wird. Ein unabhängiger Scanner ergänzt die Erkennung. 🔹 Priorisierung nach Ausnutzungsrisiko. Befunde mit EPSS-Daten von FIRST.org und CISA KEV anreichern, damit die Behebung sich an der Wahrscheinlichkeit realer Angriffe statt allein an CVSS-Werten orientiert. 🔹 VEX-Automatisierung. Für jeden Befund eine VEX-Erklärung erstellen, nicht ausnutzbare CVEs dokumentieren und die Angaben maschinenlesbar an nachgelagerte Nutzer weitergeben. 🔹 Erstellung technischer Unterlagen. Pakete nach Anhang VII, EU-Konformitätserklärungen, Sicherheitsdatenblätter nach Anhang II und CE-Kennzeichnungsnachweise als signierte PDFs erstellen. 🔹 ENISA-Meldeprozess. Strukturierte Meldefristen von 24 Stunden, 72 Stunden und 14 Tagen verwalten, Termine überwachen und Einreichungsbestätigungen speichern. 🔹 Portal für Lieferanten und Importeure. SBOMs und Konformitätserklärungen von vorgelagerten Lieferanten einholen, damit Importeure und Händler die Vorgaben vor dem Inverkehrbringen in der EU prüfen können. 🔹 CI/CD-Anbindung. Mit der Open-Source-CLI SBOMs und Release-Metadaten direkt aus der Build-Pipeline veröffentlichen. 🔹 Digitale Produktpässe. QR-verknüpfte Pässe zur Kennzeichnung physischer Produkte bereitstellen. Hersteller, Importeure und Händler setzen CRA Evidence ein, um CRA-Pflichten zu erfüllen und zugleich NIS2, RED und die Maschinenverordnung im Blick zu behalten.