Copla startet Compliance-Rahmen für den Cyber Resilience Act

Copla teilt die Anforderungen des CRA an sichere Entwicklung und Schwachstellenmanagement in einzelne Aufgaben auf und ergänzt einen strukturierten Bereitschaftsplan. Dazu kommen Vorlagen für die technische Dokumentation und die EU-Konformitätserklärung. Der CRA-Rahmen reiht sich in die bestehende Unterstützung von Copla für DORA, NIS2, ISO 27001, SOC 2 und PCI DSS ein.

Auch andere Anbieter haben Werkzeuge für die CRA-Konformität im Programm. ArmorCode kündigte im Juni 2026 CRA-Funktionen in seiner Agentic AI Platform an, darunter SBOM- und VEX-Unterstützung sowie Workflows für Offenlegungen. exida brachte am 3. November 2026 exSILentia CRA auf den Markt, ein Werkzeug für Produktrisikobewertungen und technische Dokumentation.

Das Verkaufsverbot ab 2027

Ab dem 11. Dezember 2027 dürfen Produkte ohne gültige Konformitätserklärung und CE-Kennzeichnung in der EU nicht mehr rechtmäßig verkauft werden. Nationale Marktüberwachungsbehörden können dann Rücknahmen oder Rückrufe anordnen. Die CE-Kennzeichnung, die man von Spielzeug, Wasserkochern und Ladegeräten kennt, gilt dann auch für Software. Hersteller müssen eine EU-Konformitätserklärung unterzeichnen, bevor sie die Kennzeichnung anbringen. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten; ihr Kapitel über notifizierte Konformitätsbewertungsstellen gilt seit dem 11. Juni 2026.

Die Meldepflichten gelten bereits

Nach Angaben der Europäischen Kommission gilt Artikel 14 seit dem 11. September 2026. Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle, muss er innerhalb von 24 Stunden eine Frühwarnung abgeben und innerhalb von 72 Stunden eine ausführliche Meldung. Ein Abschlussbericht ist innerhalb von 14 Tagen nach Behebung der ausgenutzten Schwachstelle fällig, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung. Die Meldungen laufen über die Single Reporting Platform von ENISA. Sie leitet eine einzige Meldung an die Agentur und an den CSIRT-Koordinator weiter, der sich nach dem Sitz der EU-Hauptniederlassung des Herstellers richtet. Die Plattform startete ohne API, deshalb wird jeder Bericht von Hand über ein Webportal eingereicht.

Artikel 69 Absatz 3 dehnt die Meldepflichten aus Artikel 14 auf bereits im EU-Markt befindliche Produkte im Geltungsbereich aus, obwohl die meisten übrigen CRA-Anforderungen für Produkte von vor 2027 Bestandsschutz genießen. Die Meldepflichten gelten auch weiter, wenn ein Produkt nicht mehr unterstützt wird. Dadurch bleiben Alt-Systeme und Komponenten von Drittanbietern im Geltungsbereich. Verstöße gegen die zentralen Sicherheitsregeln können bis zu 15.000.000 Euro oder 2,5 Prozent des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist.

ENISA findet eine Vorbereitungslücke

ENISA veröffentlichte im Juni 2026 ihre erste CRA-Studie mit Fokus auf kleine und mittlere Unternehmen. Befragt wurden 194 Organisationen in 31 Ländern. 66 Prozent der Befragten kannten die Verordnung, doch nur etwa jeder Dritte nutzte eine Software-Stückliste. Vorfallreaktion und Produktlebenszyklusmanagement schnitten unabhängig von der Unternehmensgröße am schwächsten ab. ENISA schränkte ein, die Teilnahme sei freiwillig gewesen und dürfte eher Unternehmen angezogen haben, die sich schon mit dem Thema befassten. Die tatsächliche Bereitschaft könnte also noch niedriger liegen.

Aurimas Bakas, Chief Executive und Mitgründer von Copla, sagte: "Die Ergebnisse von ENISA zeigen, dass das Bewusstsein da ist, aber die praktische Grundlage oft noch fehlt. Eine SBOM, ein Prozess für den Umgang mit Schwachstellen und ein Plan für die Vorfallreaktion brauchen Zeit, bis sie richtig stehen, und die Meldepflichten gelten schon heute. Wer jetzt anfängt, hat noch ein realistisches Zeitfenster bis Dezember 2027, und dabei wollen wir helfen."

Dokumentation und Leitfäden

Hersteller müssen außerdem eine Software-Stückliste erstellen, ein strukturiertes Verzeichnis der Komponenten in einem Produkt. Veröffentlichen müssen sie sie nicht, doch Marktüberwachungsbehörden können Einsicht verlangen. Die BSI TR-03183 aus Deutschland bietet eine Vorlage für die Formatierung. Sie ist ausdrücklich unverbindlich und begründet keine rechtliche Vermutung der Konformität. Die Europäische Kommission hat Umsetzungshinweise veröffentlicht, die Produktumfang, wesentliche Änderungen, Support-Zeiträume und Meldepflichten abdecken.