Cyber Resilience Act

Kunden, die Produkte für den europäischen Markt entwickeln, fragen uns, wie sich der Cyber Resilience Act auf Software auswirkt, die unsere Komponenten einbettet. Diese Seite legt dar, wo die Verordnung steht, welche Pflichten auf uns und welche auf Sie entfallen, und was wir bereitstellen, damit Sie Ihre eigene Sorgfaltspflichtakte vervollständigen können.

Wo der CRA heute steht

Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten, ihre Pflichten greifen jedoch gestaffelt:

• 11. Juni 2026. Die Regeln zur Notifizierung von Konformitätsbewertungsstellen treten in Kraft, damit beginnt die Bewertungsinfrastruktur überhaupt zu existieren.
• 11. September 2026. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die ENISA und das zuständige CSIRT melden, mit einer Frühwarnung binnen 24 Stunden, einer ausführlicheren Meldung binnen 72 Stunden und einem Abschlussbericht, sobald eine Abhilfemaßnahme vorliegt.
• 11. Dezember 2027. Die grundlegenden Cybersicherheitsanforderungen, die Anforderungen an die Schwachstellenbehandlung, die technische Dokumentation, die EU-Konformitätserklärung und die CE-Kennzeichnung gelten vollumfänglich.

Bis Dezember 2027 trägt kein Produkt auf dem Markt eine CRA-Konformitätserklärung, weil der Rahmen, der sie ausstellt, erst aufgebaut wird. Jeder Anbieter, der heute eine abgeschlossene CRA-Konformitätsbewertung behauptet, beschreibt etwas, das es noch nicht gibt. Was wir jetzt tun können, und dafür ist diese Seite da, ist Ihnen die Nachweise zu liefern, die Ihre eigene Bewertung braucht.

Fallen die eSeGeCe-Komponenten in den Anwendungsbereich?

Ja. Eine kommerziell bereitgestellte Softwarebibliothek ist selbst ein Produkt mit digitalen Elementen, damit fallen die eSeGeCe-Komponenten in den Anwendungsbereich der Verordnung und wir sind deren Hersteller. Das ist unabhängig von Ihren eigenen Pflichten für das Produkt, das Sie in Verkehr bringen.

Produktklassifizierung

Die eSeGeCe-Komponentenbibliotheken sind weder in Anhang III noch in Anhang IV der Verordnung aufgeführt. Sie sind keine Betriebssysteme, Hypervisoren, Container-Laufzeitumgebungen, Firewalls, Angriffserkennungssysteme, VPN, Identitätsverwaltungssysteme, Passwortmanager, Bootmanager, Public-Key-Infrastrukturen, Netzverwaltungssysteme oder eine sonstige wichtige oder kritische Klasse.

Sie fallen daher in die Standardkategorie, in der die Konformität vom Hersteller im Verfahren der internen Kontrolle nach Modul A festgestellt wird und nicht von einer notifizierten Stelle. Für Ihre Akte bedeutet das, dass die Integration unserer Komponenten Ihr Produkt nicht schon dadurch in eine höhere Konformitätsbewertungsklasse zieht. Wie Ihr eigenes Produkt eingestuft wird, hängt davon ab, was es tut.

Wer wofür verantwortlich ist

Sie sind Hersteller des Produkts, das Sie auf dem EU-Markt in Verkehr bringen, und die CE-Kennzeichnung sowie die Konformitätserklärung für dieses Produkt liegen bei Ihnen. Zwei Artikel regeln das Verhältnis zwischen uns:

• Artikel 13(5). Sie müssen bei der Integration von Komponenten Dritter die gebotene Sorgfalt walten lassen, damit sie die Cybersicherheit Ihres Produkts nicht beeinträchtigen. Das Folgende stellen wir zu diesem Zweck bereit.
• Artikel 13(6). Finden Sie eine Schwachstelle in einer integrierten Komponente, müssen Sie sie demjenigen melden, der diese Komponente betreut. Für unseren Code ist dieser Kanal in unserer Richtlinie zur Schwachstellenoffenlegung beschrieben.

Was wir für Ihre Sorgfaltsprüfung bereitstellen

• Vollständiger Quellcode. Jede Lizenz enthält den vollständigen Delphi- und C++ Builder-Quellcode der von Ihnen genutzten Komponenten. Sie müssen keinem Binärprogramm vertrauen, Sie können alles, was Sie ausliefern, prüfen, auditieren, instrumentieren und neu bauen. Für eine Bewertung nach Anhang I ist das der stärkste Nachweis, den ein Komponentenlieferant bieten kann, und die meisten kommerziellen Komponentenanbieter bieten ihn nicht.
• Eine SBOM auf Anfrage. Anhang I Teil II Nummer 1 verlangt von uns, eine Stückliste zu erstellen, die mindestens die Abhängigkeiten der obersten Ebene abdeckt, und sie in unserer technischen Dokumentation vorzuhalten, eine Veröffentlichung verlangt er nicht. Wir pflegen unsere im CycloneDX-Format für jede Version und stellen sie auf Anfrage bereit, sodass sie direkt in Ihr Inventar übernommen werden kann. Fordern Sie sie über unsere Sicherheitsseite an.
• Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen. Veröffentlicht, mit einer einzigen Anlaufstelle, Zielvorgaben für Empfangsbestätigung und Bewertung sowie einem Offenlegungsfenster, wie es Anhang I Teil II Nummer 5 verlangt.
• Eine dokumentierte Änderungshistorie. Jede Version liefert eine Historiendatei mit, die festhält, was sich geändert hat, einschließlich sicherheitsrelevanter Änderungen, sodass Sie einen schriftlichen Nachweis darüber haben, was wann behoben wurde.
• Ein Unterstützungszeitraum. Sicherheitskorrekturen für eine Hauptversion bleiben mindestens fünf Jahre ab ihrer Veröffentlichung verfügbar, womit das Mindestmaß aus Artikel 13(8) erfüllt ist.

Sicher in der Voreinstellung

Anhang I Teil I verlangt, dass ein Produkt mit einer sicheren Standardkonfiguration ausgeliefert wird, dass es sich gegen Denial of Service schützt und dass seine Angriffsfläche minimiert ist. Diese Arbeit ist im Produkt bereits sichtbar. Jüngere Versionen haben dafür gesorgt, dass der WebSocket-Server eingehende Steuerframes in ihrer Rate begrenzt, dass er die Zahl gleichzeitiger Verbindungen begrenzt, statt eine unbegrenzte Zahl anzunehmen, dass der HTTP/2-Server eine maximale Größe des Anfragekörpers erhielt und dass die Browser-Ursprünge eingeschränkt wurden, die einen MCP-Server aufrufen dürfen. Transportsicherheit steht über OpenSSL zur Verfügung oder unter Windows über SChannel ganz ohne auszuliefernde Fremdbibliothek. Diese Voreinstellungen wurden verschärft, weil es die richtigen Voreinstellungen sind, nicht weil eine Frist es verlangt hätte.

Was wir vorbereiten

Im Hinblick auf die genannten Fristen arbeiten wir an der technischen Dokumentation nach Anhang VII, der EU-Konformitätserklärung nach Anhang V, der CE-Kennzeichnung, soweit sie uns betrifft, den Informationen und Anleitungen für den Nutzer nach Anhang II sowie dem internen Prozess für die Meldepflichten nach Artikel 14, die im September 2026 beginnen. Wir veröffentlichen die Ergebnisse hier, sobald sie vorliegen. Die harmonisierten Normen zur Verordnung werden noch erarbeitet, wir richten uns danach aus, sobald sie verfügbar sind.

Lieferantenfragebögen

Wenn Ihre Compliance-Abteilung einen Lieferantenbewertungsbogen, einen Komponentenfragebogen oder eine SBOM-Anforderung hat, senden Sie diese über unser Kontaktformular mit Angabe von Produkt, Edition und Version, die Sie einsetzen, dann füllen wir sie mit den konkreten Antworten für Ihren Build aus.

Hinweis

Diese Seite dient der Unterstützung Ihrer eigenen Bewertung. Sie enthält Informationen über unsere Produkte und unsere Praxis, keine Rechtsberatung zu Ihren Pflichten nach der Verordnung.