Zum Inhalt springen
Demo buchen
Cyber Resilience Act

Technische Dokumentation

Die technische Dokumentation ist der Nachweiskern des CRA. Sie muss belegen, dass ein Produkt die grundlegenden Anforderungen erfüllt, und Inhalte nach Anhang VII abdecken: Produktbeschreibung, Risikobewertung, Angaben zum Support-Zeitraum, zum Schwachstellenmanagement und zu den angewandten Normen. Die Unterlagen sind der Marktüberwachung auf Verlangen vorzulegen.

CRAArt. 31 CRA, Anhang VII

Warum diese Pflicht wichtig ist

Ohne vollständige technische Dokumentation ist keine Konformitätserklärung möglich und die CE-Kennzeichnung unzulässig. Zudem ist sie das Erste, was die Marktüberwachung im Prüfungsfall anfordert. Sie muss ab Inverkehrbringen zehn Jahre aufbewahrt und laufend aktuell gehalten werden.

So setzen Sie die Pflicht um

  1. 01Dokumentationsstruktur nach Anhang VII aufsetzen
  2. 02Produktbeschreibung, Architektur und eingesetzte Komponenten (SBOM) dokumentieren
  3. 03Risikobewertung, Support-Zeitraum und Schwachstellenprozess einbinden
  4. 04Angewandte harmonisierte Normen und Konformitätsverfahren dokumentieren
  5. 05Dokumentation aktuell halten und mindestens zehn Jahre aufbewahren
Diese Nachweise sind gefragt
  • Vollständige technische Dokumentation je Produkt nach Anhang VII
  • Versionsstand und Aufbewahrungsnachweis (zehn Jahre)
  • Verknüpfung zu Risikobewertung, SBOM und Konformitätserklärung

Häufige Fehler

Lückenhafte UnterlagenDie Dokumentation deckt nicht alle Punkte aus Anhang VII ab, sodass die Konformität nicht vollständig belegt ist.
Nicht gepflegtDie Dokumentation wird einmal erstellt und nach Produktänderungen oder neuen Schwachstellen nicht aktualisiert.

Begriffe zum Nachschlagen

Diese Begriffe aus dem Compliance-Lexikon vertiefen den Bereich:

Cyber Resilience Act (CRA)Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der sicheren Entwicklung über das Schwachstellenmanagement bis zur CE-Kennzeichnung.Konformitätsbewertung / CE-KennzeichnungDie Konformitätsbewertung ist das Verfahren, mit dem ein Hersteller nachweist, dass ein Produkt die gesetzlichen Anforderungen erfüllt. Als sichtbares Ergebnis wird die CE-Kennzeichnung angebracht, unter dem CRA auch für die IT-Sicherheit.SBOM (Software Bill of Materials)Eine SBOM (Software Bill of Materials) ist ein strukturiertes Verzeichnis aller Software-Bestandteile eines Produkts, einschließlich Fremd- und Open-Source-Komponenten. Sie ist Grundlage, um Schwachstellen schnell zuzuordnen.

Häufig gestellte Fragen

Was gehört in die technische Dokumentation?
Die in Anhang VII genannten Inhalte: unter anderem Produktbeschreibung, Cybersicherheits-Risikobewertung, Angaben zum Support-Zeitraum und Schwachstellenmanagement sowie die angewandten Normen und das Konformitätsverfahren.
Wie lange muss ich die Dokumentation aufbewahren?
Grundsätzlich zehn Jahre ab dem Inverkehrbringen des Produkts, sofern nicht eine längere sektorspezifische Frist gilt.
Wer darf die Dokumentation verlangen?
Die Marktüberwachungsbehörden können die technische Dokumentation auf begründetes Verlangen einsehen, um die Konformität zu prüfen.
Kostenloser Check

Ihren CRA-Handlungsbedarf klären

Der kostenlose CRA-Check zeigt in wenigen Minuten, welche Pflichten für Ihre Produkte und Ihre Rolle gelten und wo Sie jetzt ansetzen sollten.

CRA-Check gratisDemo buchen

Verwandte CRA-Pflichten

Art. 32, 30 CRAKonformität & CEArt. 13 CRA, Anhang I Teil ISecurity by DesignArt. 13 CRA, Anhang I Teil IISchwachstellen & Support

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten