EU-CRA-Plattform für Hersteller mit vielen Produkten
Hundert Varianten. Einmal gepflegt.
Ob 50 oder 500 Produktvarianten, mit oder ohne Regulierungsexperten im Haus: Kunnus führt jedes Produkt durch die Einstufung, kennt die Komponenten, die Ihre Produkte teilen, und begleitet jede Variante bis zur EU-Konformitätserklärung.
Der EU Cyber Resilience Act gilt für jede Variante in Ihrem Portfolio: Meldepflichten seit dem 11. September 2026, auch für Produkte, die schon im Markt sind. Volle Anwendung ab dem 11. Dezember 2027. Alle Fristen im Überblick
Warum eine Plattform
Je Produkt. Laufend. Auf Abruf.
Drei Eigenschaften des EU Cyber Resilience Act machen aus der Compliance eines Portfolios eine Managementaufgabe: Die Pflichten gelten je Produkt, sie laufen über den gesamten Unterstützungszeitraum, und jede davon muss auf Abruf belegt werden.
Je Produkt
Einstufung, Risikoanalyse, SBOM, technische Dokumentation und EU-Konformitätserklärung gelten für jedes Produkt mit digitalen Elementen einzeln (Art. 13, Anhang VII, Art. 28). Zwei Varianten sind zwei Nachweise.
Laufend
Schwachstellenbehandlung und Sicherheitsupdates gelten über den gesamten Unterstützungszeitraum, mindestens fünf Jahre (Art. 13 Abs. 8). Die SBOM ändert sich mit jedem Release, und die Meldefrist von 24 Stunden nach Kenntnis läuft seit dem 11. September 2026 (Art. 14).
Auf Abruf
Die Marktaufsicht kann die technische Dokumentation jedes einzelnen Produkts anfordern; sie ist mindestens zehn Jahre aufzubewahren (Art. 13 Abs. 13). Der Nachweis muss je Variante vorliegen, am Tag der Anfrage.
Bei 200 Varianten sind das 1.200 Nachweise, bevor das erste Release dazukommt. Ihre Stückliste führen Sie aus genau diesem Grund im ERP. Der EU-CRA-Nachweis braucht denselben Ort: ein System, das Produkte, Komponenten und Pflichten kennt und zusammenhält.
Ohne Regulierungsexperten im Haus
Kunnus kennt die Verordnung. Sie kennen Ihre Produkte.
Was für ein Produkt gilt, entscheidet seine Einstufung. Kunnus führt durch den Einstufungsassistenten nach Anhang III und IV, leitet daraus die Pflichten ab, die für genau dieses Produkt gelten, und macht jede davon zur Aufgabe mit verantwortlicher Person und Frist. Zu jedem Schritt zeigt Kunnus, welcher Artikel ihn verlangt und was als Nachweis zählt.
- Einstufung mit dokumentierter Begründung, Bewertungsweg inklusive: Selbstbewertung oder notifizierte Stelle
- Fahrplan je Produkt: nur die Schritte, die für dieses Produkt gelten, in der Reihenfolge der Verordnung
- Meldekaskade an das koordinierende CSIRT und die ENISA mit Fristen hinterlegt: 24 Stunden, 72 Stunden, 14 Tage
- Eine feste Ansprechperson bei Kunnus und die offene Wissensdatenbank zu jedem Artikel
Hunderte Varianten
Eine Komponente, jede Variante, die sie enthält.
Bei vielen Varianten ist die Software geteilt, die Pflicht bleibt je Produkt. Kunnus bildet Familien und Varianten als Hierarchie ab und weiß zu jeder Komponente, in welchen Produkten sie steckt. Aus dieser Zuordnung entstehen SBOM-Stände und Aufgaben je Variante.
- Produktfamilien als Hierarchie: SBOM-Basis und Schwachstellenprozess vererbt, Risikoklasse und Unterstützungszeitraum je Variante
- Komponenten-Updates landen in den SBOMs aller betroffenen Varianten
- Welche Produkte enthalten log4j 2.14? Die Antwort liegt in Sekunden vor, über alle Familien hinweg
- Vor einer Änderung an einer geteilten Komponente zeigt die Hierarchie, welche Varianten betroffen sind und welche Konformitätsbewertung neu zu prüfen ist
Wie weit sind wir?
Ein Stand für das ganze Portfolio.
Die Frage kommt aus der Geschäftsführung, vom OEM-Kunden und von der notifizierten Stelle. Kunnus beantwortet sie je Produkt und für das ganze Portfolio: welche Produkte konform sind, was offen ist, wer es bis wann erledigt, und was bis zur vollen Anwendung am 11. Dezember 2027 noch ansteht.
- Konformitätsstand je Produkt und je Familie
- Offene Aufgaben mit Verantwortlichen und Fristen
- Audit-Trail: wer was wann geändert hat
So kommt Ihr Portfolio in die Plattform
Produktliste
Familien und Varianten entstehen als Hierarchie im Inventar, inklusive Einstufung.
SBOMs je Build
Der quelloffene Scanner erzeugt SBOMs je Build-Artefakt, CycloneDX oder SPDX, und ordnet sie den Varianten zu.
Schwachstellen-Triage
Neue CVEs werden über das Portfolio abgeglichen, Aufgaben entstehen je betroffener Variante, mit Frist aus Ihrem SLA.
Nachweis je Variante
Dokumentation und EU-Konformitätserklärung, je Variante abrufbar.
Häufige Fragen
Brauchen wir für den EU Cyber Resilience Act einen Regulierungsexperten im Haus?+
Die Einstufung nach Anhang III und IV läuft als geführter Assistent, die Pflichten je Produkt stehen als Fahrplan mit Fundstelle, die technische Dokumentation ist nach Anhang VII vorstrukturiert, und die Meldewege nach Art. 14 tragen ihre Fristen. Eine feste Ansprechperson bei Kunnus beantwortet, was der Assistent offenlässt. Für wichtige Produkte (Klasse I ohne vollständig angewandte harmonisierte Normen sowie Klasse II) bleibt eine notifizierte Stelle an der Konformitätsbewertung beteiligt.
Ab wann lohnt sich eine Plattform für mehrere Produktvarianten?+
Sobald mehrere Produkte dieselben Komponenten teilen. Von da an betrifft jede neue Schwachstelle und jedes Komponenten-Update mehrere Varianten gleichzeitig, während jede Variante nach dem EU Cyber Resilience Act weiterhin eigene SBOM, eigene Einstufung und eigene Nachweise braucht.
Was passiert beim Wechsel von Excel zur Plattform mit der bestehenden Compliance-Historie?+
Das Onboarding beginnt mit dem Import des bestehenden Stands: Produktliste, vorhandene SBOMs und Dokumente. Ab dem Import protokolliert die Plattform jede Änderung mit Zuordnung, und die Historie bleibt für die zehnjährige Aufbewahrungspflicht des EU Cyber Resilience Act abrufbar.
Gelten die Pflichten je Variante, wenn Komponenten geteilt sind?+
Die Herstellerpflichten nach Art. 13 EU CRA gelten für jedes Produkt mit digitalen Elementen einzeln, auch wenn Varianten dieselben Komponenten enthalten. Eine Schwachstelle in einer geteilten Komponente ist deshalb in jedem Produkt zu behandeln, das sie enthält.
Wie geht Varianten-Vererbung mit Produkten unterschiedlicher Risikoklasse um?+
Varianten-Vererbung greift bei gemeinsamen Attributen (SBOM-Basis, Schwachstellenbehandlung, Regel für den Unterstützungszeitraum). Die Risikoklasse wird je Variante gesetzt, weil die Einstufung nach Anhang III von produktspezifischen Faktoren abhängt: Konnektivität, bestimmungsgemäßer Gebrauch, Kritikalität.
Wie hängt der Multi-Produkt-Ansatz mit dem Kunnus-Enterprise-Plan zusammen?+
Die hier beschriebenen Multi-Produkt-Fähigkeiten sind in allen Plänen enthalten. Der Kunnus-Enterprise-Plan ergänzt rollenbasierte Zugriffsebenen, Workflows für mehrere Teams, die Integration in PLM- und CI/CD-Systeme und eine feste Begleitung bei der Einführung, für Portfolios mit hunderten Varianten und mehreren Entwicklungsteams.
Kunnus EnterpriseSehen Sie Kunnus an Ihrem Portfolio.
Wir modellieren Ihre Produktfamilien, bilden die geteilten Komponenten ab und zeigen, wie eine Änderung durch die Varianten läuft.
Eine Produktliste genügt für den Anfang.