CRA-Meldepflicht: in 10 Tagen bereit für die 24-Stunden-Frist

Ja. Art. 69 Abs. 3 erstreckt sie auf alle Produkte im Anwendungsbereich, auch wenn sie vor dem 11. Dezember 2027 in Verkehr kamen. Laut Leitfaden der Kommission gilt sie sogar nach Ende des Unterstützungszeitraums weiter.

Der kostenlose CVE-Watch läuft mit einer SBOM, die Sie uns schicken; Zugriff auf den Code brauchen wir nicht. Haben Sie keine, erzeugen wir sie im 10-Tage-Paket aus Ihren Repositories und binden die Erzeugung an Ihren Release-Prozess an.

Sie als Hersteller (Art. 14 Abs. 1). Wir richten SBOM, Überwachung, Ablauf und Vorlagen ein und helfen beim Ausfüllen jeder Meldung. Die rechtliche Bewertung bleibt bei Ihrer Kanzlei.

An das CSIRT im Mitgliedstaat des Bevollmächtigten, Einführers oder Händlers, sonst im Mitgliedstaat mit den meisten Nutzern des Produkts (Art. 14 Abs. 7).

Hersteller, die Open Source in ihre Produkte einbauen, melden für ihr Produkt schon jetzt. Verwalter quelloffener Software (Open-Source-Stewards) melden ab dem 11. Dezember 2027, soweit sie an der Entwicklung beteiligt sind (Art. 24 Abs. 3 und Art. 71 Abs. 2).

Verstöße gegen Art. 14 können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2).

Die ersten 30 Tage CVE-Watch sind kostenlos, mit Ihrer SBOM und ohne Zugriff auf den Code. Das 10-Tage-Paket kostet ab 3.900 € zzgl. MwSt., der laufende CVE-Watch ab 390 € im Monat. Den Festpreis bekommen Sie nach dem ersten Gespräch schriftlich.

„CRA-Meldepflicht erfüllt in 10 Tagen“ (ab 3.900 €) deckt nur die Meldepflicht ab, die schon gilt: SBOM in der CI, CVE-Watch, Ablauf, Vorlagen, EU-Login-Konten und eine Übung. Die „CRA-Vorbereitung in 6 Wochen“ (ab 7.900 €) bereitet das ganze Produkt auf den 11. Dezember 2027 vor und enthält den Meldeablauf über die ENISA-Plattform ebenfalls. Im Betrieb gleichen „CVE-Watch im Betrieb“ (ab 390 € im Monat) und „CRA im Betrieb“ (ab 590 € im Monat) täglich mit neuen CVEs ab, bewerten Treffer als OpenVEX und helfen bei Meldungen; „CRA im Betrieb“ erzeugt zusätzlich bei jedem Release die SBOM und aktualisiert Risikobeurteilung und Dokumentation. Alle Preise zzgl. MwSt.