Wie lange müssen wir die Dokumentation aufbewahren?

Mindestens zehn Jahre ab dem Inverkehrbringen. Ist der Unterstützungszeitraum länger, zählt dessen Dauer. Dasselbe gilt für die EU-Konformitätserklärung. Bei langlebigen Produkten kann das deutlich über zehn Jahre hinausgehen.

Reicht unsere vorhandene Entwicklungsdokumentation?

In der Regel nicht ohne Ergänzung. Entwicklungsdokumentation beschreibt, wie etwas gebaut wurde; die technische Dokumentation muss belegen, dass die grundlegenden Anforderungen erfüllt sind. Der Unterschied liegt im Bezug: Jede Anforderung aus Anhang I braucht eine nachvollziehbare Zuordnung. Vorhandene Artefakte lassen sich einbinden, ersetzen die Zuordnung aber nicht.

Muss die Dokumentation aktualisiert werden?

Ja. Artikel 31 Absatz 2 verlangt, sie gegebenenfalls laufend zu aktualisieren, und zwar zumindest während des Unterstützungszeitraums. Das betrifft insbesondere die Risikobewertung und die Behandlung von Schwachstellen, die sich beide über die Lebensdauer eines Produkts laufend verändern. Eine Dokumentation, die den Stand zum Marktstart einfriert, erfüllt den Zweck nicht.

Cyber Resilience Act

Technische Dokumentation

Praxisbegriff

Die technische Dokumentation ist der Beleg hinter der Konformitätserklärung. Artikel 31 des Cyber Resilience Acts (CRA) verlangt, sie vor dem Inverkehrbringen zu erstellen. Sie ist damit Voraussetzung des Marktzugangs und nicht dessen Nachbereitung.

Ihr Zweck ist eng gefasst: Sie muss nachvollziehbar machen, dass das Produkt und die Verfahren des Herstellers die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen. Alles, was diesen Nachweis nicht trägt, gehört nicht hinein.

Was hineingehört

Anhang VII gibt den Rahmen vor, und zwar für jede Angabe nur, soweit sie für das betreffende Produkt von Bedeutung ist. Im Kern sind das:

eine allgemeine Beschreibung des Produkts, einschließlich Zweckbestimmung, der Softwareversionen, die sich auf die Erfüllung der Anforderungen auswirken, und der Informationen für die Nutzer nach Anhang II
Entwurfs- und Herstellungsangaben sowie die Architektur, soweit sie für die Sicherheit von Bedeutung sind
die Bewertung der Cybersicherheitsrisiken, gegen die das Produkt entwickelt wurde
die Beschreibung, wie jede einzelne Anforderung aus Anhang I erfüllt wird
Angaben zum Umgang mit Schwachstellen, einschließlich der Software-Stückliste (SBOM)
die vollständig oder teilweise angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht wurden, und, wenn keine angewandt wurden, die Beschreibung der stattdessen gewählten Lösungen
die Prüfberichte, die die Erfüllung belegen
eine Kopie der EU-Konformitätserklärung

Die Zuordnung ist die eigentliche Arbeit

Der häufigste Fehler besteht darin, vorhandene Artefakte zu sammeln und als technische Dokumentation zu deklarieren. Architekturdiagramme, Testberichte und Backlogs sind wertvolle Bausteine, aber erst die nachvollziehbare Zuordnung zu den einzelnen Anforderungen macht daraus einen Nachweis.

Praktisch bewährt sich eine schlichte Übersicht: In einer Spalte die Anforderungen aus Anhang I, in der anderen der Verweis darauf, wo im Produkt und in welchem Dokument die Erfüllung belegt ist. Diese Übersicht ist es, die bei einer Nachfrage der Marktüberwachung zuerst gebraucht wird.

Aufbewahrung und Aktualität

Technische Dokumentation und EU-Konformitätserklärung sind den Marktüberwachungsbehörden nach dem Inverkehrbringen mindestens zehn Jahre zur Verfügung zu halten, bei einem längeren Unterstützungszeitraum für dessen Dauer.

„Zur Verfügung halten“ heißt dabei mehr als „archivieren“: Die Dokumentation ist nach Artikel 31 Absatz 2 gegebenenfalls laufend zu aktualisieren, und zwar zumindest während des Unterstützungszeitraums, weil sich Risikobewertung und Schwachstellenlage ändern.

Wer sie noch bereithalten muss

Hat ein Hersteller einen Bevollmächtigten benannt, gehört das Bereithalten der Dokumentation für die Marktüberwachungsbehörden zu dessen Mindestaufgaben. Einführer wiederum müssen sich vor dem Inverkehrbringen vergewissern, dass der Hersteller die Dokumentation überhaupt erstellt hat.

Die Dokumentation ist damit kein internes Papier, sondern eine Voraussetzung, die entlang der Lieferkette geprüft wird.

Fragen aus der Praxis

: Mindestens zehn Jahre ab dem Inverkehrbringen. Ist der Unterstützungszeitraum länger, zählt dessen Dauer. Dasselbe gilt für die EU-Konformitätserklärung. Bei langlebigen Produkten kann das deutlich über zehn Jahre hinausgehen.
: In der Regel nicht ohne Ergänzung. Entwicklungsdokumentation beschreibt, wie etwas gebaut wurde; die technische Dokumentation muss belegen, dass die grundlegenden Anforderungen erfüllt sind. Der Unterschied liegt im Bezug: Jede Anforderung aus Anhang I braucht eine nachvollziehbare Zuordnung. Vorhandene Artefakte lassen sich einbinden, ersetzen die Zuordnung aber nicht.
: Ja. Artikel 31 Absatz 2 verlangt, sie gegebenenfalls laufend zu aktualisieren, und zwar zumindest während des Unterstützungszeitraums. Das betrifft insbesondere die Risikobewertung und die Behandlung von Schwachstellen, die sich beide über die Lebensdauer eines Produkts laufend verändern. Eine Dokumentation, die den Stand zum Marktstart einfriert, erfüllt den Zweck nicht.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.