CRA · Artikel 14
Eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden melden
Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden. Unmöglich, ohne jeden Tag zu wissen, welche Versionen Sie ausliefern.
Konformität · Cyber Resilience Act und NIS2
CRA und NIS2: was sie für Ihre Abhängigkeiten verlangen und was LibWatch Ihnen bietet.
Eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden melden, eine maschinenlesbare SBOM führen, die Lieferkette beherrschen: Hier sind die Pflichten, ihre Fristen und der Teil, den LibWatch übernehmen kann.
Zeitplan
Drei Daten zum CRA, die Sie kennen sollten
10.12.2024
Inkrafttreten
Die Verordnung (EU) 2024/2847, am 20.11.2024 im Amtsblatt der EU veröffentlicht, tritt in Kraft.
11.09.2026
Meldung binnen 24 Stunden
Seit diesem Datum muss jede aktiv ausgenutzte Schwachstelle in einem Produkt der ENISA und dem nationalen CSIRT gemeldet werden.
11.12.2027
Vollständige Anwendung
Grundlegende Anforderungen, SBOM und CE-Kennzeichnung für Produkte, die in Verkehr gebracht werden.
Was die Texte sagen
Die Pflichten, die Ihre Abhängigkeiten betreffen
CRA · Anhang I, Teil II
Eine Software-Stückliste (SBOM) führen
In einem gängigen, maschinenlesbaren Format, das mindestens die Abhängigkeiten der obersten Ebene abdeckt, aufbewahrt mit der technischen Dokumentation.
NIS2 · Artikel 21
Die Sicherheit der Lieferkette beherrschen
Die betroffenen Einrichtungen müssen die Schwachstellen ihrer Lieferanten und ihrer Software managen. Ihre Dienstleister, Agenturen und IT-Dienstleister, spüren das in ihren Verträgen.
Der Teil von LibWatch
Was LibWatch liefert, was bei Ihnen bleibt
LibWatch unterstützt Überwachung und Dokumentation mit Werkzeugen. Es ersetzt weder Ihre Risikoanalyse noch Ihre Meldung.
| Anforderung | Was LibWatch liefert | Was bei Ihnen bleibt |
|---|---|---|
| Schnell wissen, ob eine aktiv ausgenutzte Schwachstelle Sie betrifft | Nächtliche Überwachung, KEV-Katalog der CISA und CERT-FR-Warnungen zu Ihrer PHP-Version | Die Auswirkung auf Ihr Produkt bewerten |
| Maschinenlesbare SBOM | Export in CycloneDX 1.5 und SPDX 2.3, gegen die offiziellen Schemas validiert | Sie der technischen Dokumentation beifügen und aufbewahren |
| Meldung an die ENISA und das CSIRT | Die Liste der betroffenen Projekte und Versionen | Die Meldung selbst |
| Komponenten mit Supportende | Supportende von Sprachen und Frameworks im Blick | Die Migrationen planen |
Diese Seite ist keine Rechtsberatung
Sie fasst öffentliche Texte zusammen (EUR-Lex, ANSSI). Ob Ihr Produkt oder Ihre Organisation betroffen ist, klären Sie am besten mit fachkundiger Unterstützung.
Häufige Fragen
CRA, NIS2 und Abhängigkeiten
Muss meine SBOM öffentlich sein?
Nein. Der CRA verlangt, dass Sie sie den Behörden auf Anfrage vorlegen können; auch Ihre Kunden können sie vertraglich verlangen.
Ist eine Webagentur von NIS2 betroffen?
Selten direkt: NIS2 zielt auf bestimmte Sektoren und Unternehmensgrößen, etwa Anbieter verwalteter IT-Dienste ab mittlerer Unternehmensgröße. Eine Agentur begegnet ihr vor allem über betroffene Kunden, die ihre Sicherheitsanforderungen in die Verträge übernehmen.
Reicht eine SBOM in Excel?
Besser nicht. Der CRA verlangt ein gängiges, maschinenlesbares Format: in der Praxis CycloneDX oder SPDX, die LibWatch exportiert. Eine Tabelle lässt sich von den Werkzeugen Ihrer Kunden oder der Behörden nicht automatisch verarbeiten.