Die technische Dokumentation nach dem Cyber Resilience Act

Die technische Dokumentation ist die Akte, mit der Sie belegen, dass Ihr Produkt die Anforderungen des Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, erfüllt. Was mindestens hineingehört, steht in Anhang VII: acht Punkte, von der Produktbeschreibung über die Risikobewertung bis zur SBOM. Sie muss vor dem Verkauf fertig sein und bleibt mindestens zehn Jahre verfügbar.

Rechtsgrundlage ist Artikel 31 der Verordnung (EU) 2024/2847. Die Akte geht nicht an eine Behörde, solange niemand fragt. Fragt aber eine Marktüberwachungsbehörde, müssen Sie liefern können (Artikel 13 Absatz 22).

Die acht Punkte aus Anhang VII

Nr.	Inhalt	Typischer Aufwand
1	Allgemeine Beschreibung: Zweck, sicherheitsrelevante Softwareversionen, bei Hardware Fotos oder Abbildungen von außen, Kennzeichnung und innerem Aufbau, Nutzerinformation nach Anhang II	Mittel, viel davon existiert schon
2	Entwurf, Entwicklung, Herstellung und Schwachstellenbehandlung (Details unten)	Hoch
3	Bewertung der Cybersicherheitsrisiken nach Artikel 13, auch wie die Anforderungen aus Anhang I Teil I zutreffen	Hoch
4	Informationen, mit denen Sie den Supportzeitraum bestimmt haben	Gering
5	Angewandte harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungen, sonst Beschreibung Ihrer eigenen Lösungen für Anhang I Teil I und II	Mittel bis hoch
6	Berichte der Tests, mit denen Sie die Erfüllung von Anhang I Teil I und II geprüft haben	Mittel
7	Kopie der EU-Konformitätserklärung	Gering
8	Die SBOM, wo zutreffend, auf begründeten Antrag einer Marktüberwachungsbehörde	Gering, wenn die SBOM existiert

Punkt 2 im Detail

Hier steckt die meiste Arbeit. Anhang VII Nr. 2 verlangt drei Teile:

a) Entwurf und Entwicklung. Wo nötig mit Zeichnungen und einer Beschreibung der Systemarchitektur: wie die Softwarebauteile aufeinander aufbauen, sich gegenseitig Daten liefern und in die Gesamtverarbeitung eingebunden sind. Für ein typisches Gerät heißt das ein Bild mit Bootloader, Betriebssystem, Ihren Diensten, der Cloud-Anbindung und der App, dazu ein paar Absätze.

b) Schwachstellenbehandlung. Ihre Prozesse, inklusive der SBOM, Ihrer Richtlinie zur koordinierten Offenlegung von Schwachstellen, dem Nachweis einer Kontaktadresse für Meldungen und einer Beschreibung, wie Sie Updates sicher verteilen.

c) Herstellung und Überwachung. Wie Sie Produktion und Überwachung organisieren und wie Sie diese Prozesse prüfen.

Die Risikobewertung (Punkt 3)

Die Risikobewertung ist das Herz der Akte. Artikel 13 Absatz 3 verlangt mindestens eine Analyse der Risiken anhand des Zwecks, der vorhersehbaren Nutzung und der Einsatzbedingungen, etwa der Umgebung und der zu schützenden Werte. Sie zeigt für jede der dreizehn Anforderungen aus Anhang I Teil I Nr. 2, ob sie zutrifft und wie Sie sie umsetzen.

Trifft eine Anforderung nicht zu, begründen Sie das (Artikel 13 Absatz 4). Ein Gerät ohne Nutzerdaten braucht keine Funktion zum Löschen von Nutzerdaten, aber den Satz, der das erklärt.

Wann und wie lange

Was	Wann	Wo im CRA
Erstellen	Vor dem Inverkehrbringen	Artikel 31 Absatz 2, Artikel 13 Absatz 12
Aktualisieren	Laufend, mindestens während des Supportzeitraums	Artikel 31 Absatz 2
Aufbewahren	10 Jahre nach dem Inverkehrbringen oder Supportzeitraum, der längere Wert gilt	Artikel 13 Absatz 13

Ist Ihr Produkt zugleich ein Hochrisiko-KI-System nach der KI-Verordnung (Artikel 12) und verlangen andere EU-Gesetze dafür eine eigene technische Dokumentation, führen Sie eine gemeinsame Akte (Artikel 31 Absatz 3).

Sprache

Ist eine benannte Stelle beteiligt (im Verordnungstext: notifizierte Stelle), schreiben Sie die Akte in einer Amtssprache des Landes, in dem diese Stelle sitzt, oder in einer Sprache, die sie akzeptiert (Artikel 31 Absatz 4). Gegenüber einer Behörde muss die Information in einer Sprache vorliegen, die diese leicht versteht (Artikel 13 Absatz 22).

Erleichterung für kleine Unternehmen

Kleinst- und Kleinunternehmen dürfen die Inhalte aus Anhang VII in einem vereinfachten Format liefern (Artikel 33 Absatz 5). Das Formular legt die Kommission per Durchführungsrechtsakt fest, und benannte Stellen müssen es akzeptieren. Wer das vereinfachte Format nutzt, muss genau dieses Formular verwenden. Ob es schon veröffentlicht ist, prüfen Sie auf der Seite der EU-Kommission. Die Inhalte bleiben dieselben, nur die Form wird leichter.

Was ein Werkzeug liefern kann und was nicht

Ein Teil der Akte lässt sich aus der Software selbst ableiten: die SBOM, die Liste bekannter Schwachstellen in den Bauteilen, Hinweise auf Schutzmechanismen gegen Exploits. Für die Punkte 2 b, 6 und 8 ist das brauchbares Material.

Anderes kann nur Ihr Team schreiben. Die Methode der Risikobewertung, die Architekturbeschreibung und die Beschreibung Ihrer Produktion (Anhang VII Nr. 2 Buchstaben a und c) kennt nur, wer das Produkt baut. Auch Laufzeitverhalten wie das Logging von Sicherheitsereignissen oder die Widerstandsfähigkeit gegen Überlastung lässt sich aus einer Datei nicht beweisen.

Was Proofsheet hier erstellt

Die Web-App Proofsheet erstellt das Paket „The Paperwork“ automatisch aus Ihrer Datei. Es kostet 249 € und enthält einen Index für die technische Dokumentation nach Anhang VII. Er zeigt, welche Teile der erstellte Bericht abdeckt und was Sie noch ergänzen müssen. Dazu kommen die Stückliste als CycloneDX 1.5 und SPDX 2.3, die Zuordnung zu den 22 Punkten aus Anhang I (belegt, teilweise oder offen), eine Vorlage für den Supportzeitraum, eine Checkliste für die Konformitätserklärung und Vorlagen für Ihre Richtlinien zu Schwachstellenbehandlung und Updates.

Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Wie das konkret aussieht, zeigt der Beispielbericht. Weiter lesen: Konformitätserklärung und SBOM.