Leitfäden
Die Cyberresilienz-Verordnung, einfach erklärt
Geschrieben für kleine Teams ohne eigene Compliance-Abteilung. Jeder Leitfaden nennt die Artikel der Verordnung, auf die er sich stützt.
Grundlagen · 7 min
CRA und NIS-2: wer was tun muss
Der Cyber Resilience Act erfasst Produkte, NIS-2 erfasst Einrichtungen. Wie sich beide unterscheiden, wo sie sich treffen und was gilt, wenn beide greifen.
Grundlagen · 7 min
CRA-Zeitplan: alle Termine der Cyberresilienz-Verordnung
Wann der Cyber Resilience Act beschlossen wurde, was seit Juni und September 2026 gilt, was sich am 11. Dezember 2027 ändert und was noch kommt.
Grundlagen · 9 min
Was ist der Cyber Resilience Act? Die CRA einfach erklärt
Die Cyberresilienz-Verordnung der EU auf einen Blick: was sie erfasst, wer was tun muss, die grundlegenden Anforderungen, Meldungen an die ENISA, Fristen und Bußgelder.
Anwendungsbereich · 9 min
Wichtige und kritische Produkte im CRA: Klassen und Konformität
Die Produkte der Klassen I und II und die kritischen Produkte aus den Anhängen III und IV des Cyber Resilience Act, mit dem jeweiligen Konformitätsverfahren.
Anwendungsbereich · 8 min
CRA und Open Source: Maintainer, Verwalter und Hersteller
Wann der Cyber Resilience Act für Open-Source-Software gilt, wer ausgenommen ist, was Verwalter quelloffener Software tun und was Hersteller schulden.
Anwendungsbereich · 6 min
CRA und SaaS: wann Cloud-Software erfasst ist
Reines SaaS fällt nicht unter den Cyber Resilience Act, das Cloud-Backend eines Produkts schon. Was Datenfernverarbeitung bedeutet und wo NIS-2 übernimmt.
Anwendungsbereich · 8 min
Gilt der Cyber Resilience Act für Ihr Produkt?
Anwendungsbereich, Ausnahmen und Produktklassen der Cyberresilienz-Verordnung, erklärt für kleine Software- und Gerätehersteller, mit den wichtigen Fristen.
Meldung · 9 min
CRA-Meldepflicht: 24 Stunden, 72 Stunden, 14 Tage erklärt
Was nach Artikel 14 der Cyberresilienz-Verordnung die Meldeuhr startet, was jede Meldung an die ENISA enthalten muss und wie Sie vorher bereit sind.
SBOM · 7 min
CycloneDX oder SPDX? Das richtige SBOM-Format wählen
Die beiden SBOM-Standards im Vergleich: Herkunft, Versionen, Stärken, VEX und Lizenzen, Werkzeuge und welches Format sich für den Cyber Resilience Act eignet.
SBOM · 8 min
Was ist eine SBOM? Bedeutung, Formate, Beispiel und Werkzeuge
Die Software-Stückliste erklärt: was sie auflistet, die Formate CycloneDX und SPDX, ein kurzes Beispiel, die Mindestfelder und die Werkzeuge, die eine erzeugen.
SBOM · 7 min
SBOM für den Cyber Resilience Act: was zu erstellen ist
Was die Cyberresilienz-Verordnung von einer Software-Stückliste verlangt, welches Format Sie wählen, wer sie sieht und wie Sie sie Version für Version aktuell halten.
Schwachstellen · 8 min
Eine Offenlegungsstrategie aufstellen
Was eine Strategie für die koordinierte Offenlegung von Schwachstellen enthält, warum der CRA sie verlangt, Fristen, Safe Harbour und Veröffentlichung.
Schwachstellen · 8 min
CVSS, EPSS und KEV: welche Schwachstelle zuerst beheben
Schwere, Wahrscheinlichkeit und Nachweis der Ausnutzung: was CVSS, EPSS und der KEV-Katalog messen, wie man sie kombiniert und welches Signal die CRA-Meldeuhr startet.
Schwachstellen · 6 min
security.txt und die CRA-Kontaktstelle für Schwachstellen
Was eine security.txt-Datei ist, die Felder nach RFC 9116, ein Beispiel, ihr Ort, ihre Gültigkeit und wie sie die Kontaktstellen-Pflicht des CRA erfüllt.
Schwachstellen · 8 min
Was ist VEX? Sagen, dass eine Schwachstelle Sie nicht betrifft
Vulnerability Exploitability eXchange erklärt: die vier Status, die fünf Begründungen, die Formate CSAF, CycloneDX und OpenVEX, ein Beispiel und der Bezug zum CRA.
Dokumentation · 7 min
CE-Kennzeichnung und EU-Konformitätserklärung nach dem CRA
Ab dem 11. Dezember 2027 brauchen Produkte eine EU-Konformitätserklärung und die CE-Kennzeichnung: Inhalt der Erklärung und Ort der Kennzeichnung.
Methode · 12 min
CRA Anhang I: die grundlegenden Anforderungen im Einzelnen
Jede grundlegende Anforderung aus Anhang I der Cyberresilienz-Verordnung, für Produkt und Schwachstellen: was sie bedeutet und wie Sie sie belegen.
Ökosysteme · 7 min
SBOM für Docker- und Container-Images nach dem CRA
Wann ein Container-Image zu einem CRA-Produkt gehört und wie Sie es beschreiben: Syft, Trivy, BuildKit-SBOM-Attestierungen, Basis-Images und OS-Pakete.
Ökosysteme · 6 min
SBOM für .NET- und NuGet-Projekte nach dem CRA
So erstellen Sie eine CRA-SBOM für ein .NET-Produkt: NuGet-Lock-Dateien, CycloneDX für .NET, das SBOM-Tool von Microsoft und die mitgelieferte Laufzeit.
Ökosysteme · 6 min
SBOM für Go-Module und -Binaries nach dem CRA
So erstellen Sie eine CRA-SBOM für ein Go-Produkt: go.mod, cyclonedx-gomod, die Build-Informationen in Binaries, die Standardbibliothek und govulncheck.
Ökosysteme · 7 min
SBOM für Java: Maven und Gradle nach dem CRA
So erstellen Sie eine CRA-SBOM für ein Java-, Kotlin- oder Scala-Produkt mit den CycloneDX-Plugins für Maven und Gradle, Spring Boot und Fat-Jars.
Ökosysteme · 7 min
SBOM für npm-, pnpm- und Yarn-Projekte nach dem CRA
So erstellen Sie eine CRA-SBOM für ein JavaScript- oder TypeScript-Produkt: welche Lock-Datei zählt, npm sbom, pnpm sbom, Dev-Abhängigkeiten und Bundles.
Ökosysteme · 7 min
SBOM für Python-Projekte: pip, Poetry und uv nach dem CRA
So erstellen Sie eine CRA-SBOM für ein Python-Produkt: Lock-Dateien, uv export, cyclonedx-py, die C-Bibliotheken in Wheels und PEP 770.
Ökosysteme · 6 min
SBOM für Rust- und Cargo-Projekte nach dem CRA
So erstellen Sie eine CRA-SBOM für ein Rust-Produkt: Cargo.lock, cargo-cyclonedx, cargo-auditable, -sys-Crates mit gebündeltem C-Code und RustSec.
Vergleiche · 6 min
Provetry oder sbomify: Was passt für den CRA?
sbomify und Provetry im Vergleich für den Cyber Resilience Act: SBOM-Verwaltung, VEX und CSAF, Trust Center, Meldefristen nach Artikel 14, Hosting und Preise.
Vergleiche · 6 min
Provetry oder Verimu: Was passt für den CRA?
Verimu und Provetry im Vergleich für den Cyber Resilience Act: SBOM, ausgenutzte Schwachstellen, Meldefristen nach Artikel 14, VEX, Dokumente, Tarife und Preise.
Vergleiche · 6 min
Provetry oder Dependabot: Reicht GitHub für den CRA?
Dependabot von GitHub und Provetry im Vergleich für den Cyber Resilience Act: Warnungen, Update-Pull-Requests, SBOM-Export und was der CRA darüber hinaus verlangt.
Vergleiche · 6 min
Provetry oder Dependency-Track: Was passt für den CRA?
OWASP Dependency-Track und Provetry im Vergleich für den Cyber Resilience Act: SBOM, ausgenutzte Schwachstellen, ENISA-Meldungen, Hosting und Kosten.
Vergleiche · 6 min
Provetry oder Snyk: eine Snyk-Alternative für den CRA?
Snyk und Provetry im Vergleich für den Cyber Resilience Act: Was beide abdecken, SBOM und Erreichbarkeit, ENISA-Meldungen, Tarife und Preise.