Das CRA Glossar

Der Auslöser der Meldepflicht: der einzige Schwachstellenzustand, bei dem eine 24-Stunden-Frist zu laufen beginnt.

Die nationale Stelle, an die Hersteller ihre Pflichtmeldungen richten. Benannt wird sie nicht durch den CRA, sondern nach Artikel 12 Absatz 1 der NIS-2-Richtlinie.

Die Summe aller Stellen, an denen ein Angreifer mit dem Produkt in Kontakt treten kann. Anhang I verlangt, sie klein zu halten, gemessen am Risiko.

Die mittlere von drei Stufen. Sie löst keine Meldung aus, steht aber jeder weiteren Auslieferung im Weg, solange sie bekannt und unbehoben ist.

Das Ereignis, das ein Sicherheitsvorfall hätte werden können: nach Artikel 14 nicht meldepflichtig, nach Artikel 15 freiwillig meldbar.

Jede Abgabe zum Vertrieb oder zur Verwendung im Rahmen einer Geschäftstätigkeit, entgeltlich oder nicht.

Die schriftlich beauftragte Vertretung in der Union, die bestimmte Aufgaben übernimmt, ausdrücklich aber nicht die Kernpflichten des Herstellers.

Die Erklärung des Herstellers, dass Produkt und Prozesse den Anforderungen entsprechen. Keine Behörde bescheinigt sie: Es ist eine Eigenerklärung, für die er haftet.

Die eindeutige Kennung für öffentlich bekannte Schwachstellen. Unverzichtbar für den Abgleich mit der Stückliste, aber keine Risikoaussage.

Das verbreitete Punktesystem für den Schweregrad von Schwachstellen, das seine Aussagekraft erst durch den eigenen Kontext gewinnt.

Der Maßstab, an dem sich entscheidet, ob eine Schwäche eine Schwachstelle ist. Melden lassen sich Cyberbedrohungen nur freiwillig.

Den Zweck der ganzen Verordnung formuliert der CRA nicht selbst aus. Er übernimmt den Wortlaut des Rechtsakts zur Cybersicherheit, und gemeint sind Tätigkeiten, kein erreichter Zustand.

Ausmaß und Eintrittswahrscheinlichkeit eines Sicherheitsvorfalls ergeben zusammen den Maßstab dafür, welche Anforderungen aus Anhang I für ein Produkt überhaupt gelten.

Eines der beiden etablierten Austauschformate für Software-Stücklisten. Der CRA nennt es nicht, die Anforderung aus Anhang I erfüllt es dennoch.

Ob ein Backend mitreguliert wird, entscheidet sich an diesem Begriff. Er relativiert die verbreitete Annahme, SaaS sei nicht betroffen.

Artikel 2 Absatz 1 hängt den gesamten Anwendungsbereich des CRA an ein einziges Merkmal. Vier Verbindungsformen sind vorgesehen, und eine davon genügt.

Wer Produkte aus Drittstaaten erstmals auf den Unionsmarkt bringt, trägt echte Prüfpflichten, aber nicht die Entwicklungsverantwortung des Herstellers.

Der von der ENISA betriebene Meldeweg des CRA. Eine Meldung, ein nationaler Endpunkt, und dahinter die Verteilung an alle betroffenen CSIRTs und Behörden.

Der technische Grundbegriff des CRA. Er begründet für sich genommen keine Herstellerpflicht, trägt aber die Definitionen von Software, Hardware und Komponente.

Zum Endpunkt wird ein Gerät durch seine Rolle im Netz, nicht durch seine Bauform. Der CRA definiert den Begriff, knüpft daran aber keine eigene Pflicht.

Die Agentur der Europäischen Union für Cybersicherheit. Der CRA errichtet sie nicht, macht sie aber zur zweiten Empfängerin jeder Pflichtmeldung und zur Betreiberin der Meldeplattform.

Die Schwelle, an der aus einem Risiko ein Verfahren wird: hohe Wahrscheinlichkeit eines Sicherheitsvorfalls und schwerwiegende Folgen müssen zusammentreffen.

Die verbindliche Erklärung des Herstellers, dass ein Produkt die Anforderungen erfüllt. Ohne sie keine CE-Kennzeichnung; mit ihr übernimmt er die Verantwortung.

Der Oberbegriff, aus dem harmonisierte Normen hervorgehen. Angenommen von CEN, Cenelec oder ETSI, freiwillig in der Anwendung und ohne eigene Konformitätsvermutung.

Das von der ENISA geführte Verzeichnis bekannter Schwachstellen. Der CRA richtet es nicht ein, nutzt es aber an beiden Enden des Schwachstellenprozesses.

Der vierte Weg der Konformitätsbewertung: ein Zertifikat nach dem Rechtsakt zur Cybersicherheit, das für kritische Produkte verpflichtend werden kann.

Die Definition steht in Artikel 3 Nummer 48, über den Anwendungsbereich entscheidet sie aber nicht. Erfasst ist quelloffene Software erst, wenn sie im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt wird.

Der Ausweichweg des CRA, wenn die Normung nicht liefert: von der Kommission erlassene technische Vorgaben mit derselben Wirkung wie eine harmonisierte Norm.

Anhang I des CRA: dreizehn Anforderungen an das Produkt und acht an die Verfahren des Herstellers. Ohne beide darf ein Produkt nicht auf den Markt.

Das Koordinierungsgremium der nationalen Marktüberwachungsbehörden. Es ordnet gegenüber Unternehmen nichts an, steuert aber, woran diese Behörden messen.

Die leichteste Rolle der Lieferkette. Allerdings nur, solange die Eigenschaften des Produkts unangetastet bleiben.

Der physische Gegenpol zur Software. Die Einordnung entscheidet mit darüber, wo Kennzeichen und CE-Zeichen angebracht werden und was in die technische Dokumentation gehört.

Freiwillig anzuwenden, aber mit einem erheblichen Vorteil: Wer sie einhält, dessen Produkt gilt insoweit als konform.

Der Sammelbegriff für das EU-Produktrecht, in das sich der CRA einreiht. Er entscheidet über CE-Kennzeichnung, einzige Konformitätserklärung und die Reichweite notifizierter Stellen.

Die Rolle mit den weitaus meisten Pflichten: Man nimmt sie schneller ein, als viele erwarten, schon durch den Vertrieb unter eigenem Namen.

Der Begriff, der Produkte ohne eigenen Netzanschluss in den Anwendungsbereich zieht, sobald das System um sie herum verbunden werden kann.

Das Informationspaket, das nach Anhang II jedem Produkt beiliegen muss, von der Kontaktstelle für Schwachstellen bis zum Enddatum des Unterstützungszeitraums.

Über die europäische Normungsverordnung eingebunden und auf drei Organisationen beschränkt: brauchbar als Arbeitsgrundlage, ohne Konformitätsvermutung.

Die erstmalige Bereitstellung auf dem Unionsmarkt: der Zeitpunkt, zu dem Bewertung, Dokumentation und Kennzeichnung vorliegen müssen.

Keine eigene Pflichtenklasse, sondern eine Größeneinstufung aus der Empfehlung 2003/361/EG. Sie entscheidet über vereinfachte Dokumentation, ermäßigte Gebühren und eine schmale Ausnahme bei Geldbußen.

Software oder Hardware zum Einbau, solange sie eingebaut bleibt. Getrennt vermarktet, wird daraus ein eigenes Produkt mit vollem Pflichtenkatalog.

Der Nachweis, dass ein Produkt die grundlegenden Anforderungen erfüllt: je nach Produktkategorie in Eigenregie oder mit notifizierter Stelle.

Die Prüforganisation, die Artikel 39 erfüllen muss, bevor ein Mitgliedstaat sie als notifizierte Stelle benennen darf. Den Begriff selbst übernimmt der CRA aus dem Akkreditierungsrecht.

Die vier Wege des Artikels 32, auf denen ein Hersteller die Konformität nachweist: von der Bewertung in eigener Verantwortung bis zum überwachten Qualitätssicherungssystem.

Wer eines der drei Regelwerke des Artikels 27 anwendet, muss die Erfüllung der Anforderungen nicht mehr einzeln herleiten, aber nur, soweit das Regelwerk sie abdeckt.

Das festgelegte Verfahren dafür, wie Schwachstellenmeldungen von außen ankommen, behandelt und am Ende veröffentlicht werden. Für Hersteller ist es Pflicht, nicht Kür.

Die drei Produktkategorien aus Anhang IV, die als einzige einer verpflichtenden europäischen Zertifizierung unterworfen werden können. Bis dahin gelten die Verfahren des Artikels 32 Absatz 3.

Die Auslegungshilfe, die die Kommission nach Artikel 26 veröffentlicht. Sie erleichtert die Anwendung des CRA, ersetzt aber keine Norm und begründet keine Konformitätsvermutung.

Die Verbindungsart, die ohne Kabel und Stecker auskommt. Für reine Software ist sie der Weg in den Anwendungsbereich des CRA.

Die nationale Stelle, die den CRA durchsetzt: Sie fordert Unterlagen an, ordnet Korrekturmaßnahmen an und verhängt die Geldbußen.

Die zeitkritischste Anforderung des CRA: zwei Meldetatbestände, drei Stufen, und eine Frist, die kalendarisch läuft.

Das Konformitätsbewertungsverfahren, das der Hersteller allein durchführt: keine notifizierte Stelle, keine Bescheinigung, dafür die Pflichten der Nummern 2, 3 und 4 des Anhangs VIII Teil I.

Der Teil des Konformitätsbewertungsverfahrens, in dem eine notifizierte Stelle das Baumuster prüft und bescheinigt. Für den Marktzugang reicht er allein nicht.

Der zweite Schritt nach der EU-Baumusterprüfung. Hier sorgt der Hersteller allein dafür, dass jedes gefertigte Exemplar dem geprüften Baumuster entspricht.

Das einzige Verfahren des CRA, in dem eine notifizierte Stelle kein Baumuster prüft, sondern das Qualitätssicherungssystem des Herstellers zulässt und überwacht.

Die nationale Instanz hinter den notifizierten Stellen. Sie bewertet, benennt, notifiziert und überwacht die Prüforganisationen eines Mitgliedstaats.

Die unabhängige Prüforganisation hinter der Konformitätsbewertung wichtiger und kritischer Produkte, vom Mitgliedstaat benannt und von der Kommission gelistet.

Ein Begriff, den der CRA aus der DSGVO übernimmt: Er entscheidet selten darüber, ob eine Anforderung aus Anhang I greift, wohl aber darüber, wie schwer das Risiko wiegt.

Elektrische, optische und mechanische Schnittstellen, Drähte und Funkwellen: Der CRA fasst die physische Verbindung weit, und Funk steht dabei in derselben Reihe wie das Kabel.

Der Begriff entscheidet, ob der CRA für ein Produkt überhaupt gilt. Er ist deutlich weiter gefasst, als der Wortlaut zunächst vermuten lässt.

Kontrollierte Prüfumgebungen vor dem Inverkehrbringen, die ein Mitgliedstaat einrichten kann, aber nicht muss. Sie erleichtern die Vorbereitung auf die Konformität und ersetzen sie nicht.

Die Korrekturmaßnahme, die den Nachschub stoppt: Sie erfasst alles, was den Endnutzer noch nicht erreicht hat, vom Lagerbestand über das Handelsregal bis zum Downloadangebot.

Die schärfste Korrekturmaßnahme des CRA: Sie zielt auf die Rückgabe von Produkten, die den Endnutzer bereits erreicht haben, sei es auf Betreiben des Herstellers oder auf behördliche Anordnung.

Drei Bußgeldstufen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, im CRA gedeckelt und nach nationalem Recht verhängt.

Die Eskalationsstufe der CRA-Durchsetzung. Sie klärt, ob die Maßnahme eines Mitgliedstaats gegen ein Produkt unionsweit gilt oder zurückgenommen werden muss.

Der bewusst weit gefasste Ausgangsbegriff des gesamten Schwachstellenmanagements, keineswegs deckungsgleich mit „Fehler“.

Die Korrektur, die der CRA unverzüglich und kostenlos verlangt, möglichst getrennt von Funktionsaktualisierungen. Nach ihrer Bereitstellung muss sie noch zehn Jahre abrufbar bleiben.

Der zweite Meldetatbestand neben der aktiv ausgenutzten Schwachstelle, definiert über die NIS-2-Richtlinie und enger gefasst, als der Alltagsbegriff vermuten lässt.

Ein Vorfall, der die Schutzfähigkeit eines Produkts beeinträchtigt oder beeinträchtigen kann. Gemeldet werden muss er nur, wenn er nach Artikel 14 Absatz 5 als schwerwiegend gilt.

Im CRA kein eigenständiger Gegenstand, sondern der Teil eines Systems, der aus Computercode besteht. Pflichten löst Software erst als Produkt oder Komponente aus.

Das maschinenlesbare Verzeichnis aller Komponenten eines Produkts. Jede Schwachstellenanalyse setzt darauf auf, und der CRA verlangt es ausdrücklich.

Artikel 13 Absatz 5 macht Hersteller für Bausteine mitverantwortlich, die sie nicht selbst geschrieben haben. Wie tief die Prüfung reichen muss, hängt am Risiko der einzelnen Komponente.

Das aus der Lizenz-Compliance stammende Stücklistenformat. Im CRA wird es nirgends genannt und ist trotzdem eine tragfähige Wahl für die Pflicht aus Anhang I.

Der Nachweis hinter der Konformitätserklärung, der vor dem Inverkehrbringen vorliegen und mindestens zehn Jahre verfügbar bleiben muss.

Der CRA ist seit Dezember 2024 in Kraft, entfaltet seine Pflichten aber gestaffelt: Kapitel IV seit Juni 2026, Artikel 14 ab September 2026, alles Übrige ab Dezember 2027.

Die Pflicht, betroffene Nutzer über aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu unterrichten. Sie tritt neben die Meldung an die Behörden, und diese erledigt sie nicht.

Der Zeitraum, in dem Schwachstellen behandelt werden müssen. Mindestens fünf Jahre, bemessen an der voraussichtlichen Nutzungsdauer des Produkts.

Der CRA übernimmt den klassischen Verbraucherbegriff, knüpft daran aber nur wenige Regelungen. Für die Pflichten des Herstellers ist er selten entscheidend.

Die Verwendung, die der Zweckbestimmung widerspricht und mit der trotzdem zu rechnen ist. Im Verordnungstext hat sie genau eine Stelle: die Informationen für die Nutzer.

Die Verwendung, die nicht unbedingt der Zweckbestimmung entspricht und mit der der Hersteller trotzdem rechnen muss. Sie entscheidet über den Anwendungsbereich mit und gehört in die Risikobewertung.

Eine eigene Rolle für Stiftungen und Einrichtungen, die die Entwicklung quelloffener Software dauerhaft tragen, ohne Hersteller zu sein. Der Pflichtenkatalog dafür fällt deutlich kürzer aus.

Die maschinenlesbare Aussage, ob eine bekannte Schwachstelle Ihr Produkt tatsächlich betrifft. Sie ist die Antwort auf die Fehlalarme aus dem Stücklisten-Abgleich.

Die Schwelle, ab der ein bereits vermarktetes Produkt erneut bewertet werden muss. Wer sie überschreitet, kann als Händler zum Hersteller werden.

Anhang III des CRA führt 19 Kategorien in Klasse I und vier in Klasse II auf. Wessen Produkt deren Kernfunktion aufweist, der kann die Konformität nicht mehr frei in Eigenregie bewerten.

Der Sammelbegriff, mit dem der CRA alle Rollen mit Pflichten zugleich anspricht, von Hersteller und Bevollmächtigtem bis zu Einführer und Händler.

Die vom Hersteller festgelegte Verwendung, an der Anwendungsbereich, Risikobewertung und Pflichtenumfang ausgerichtet werden.