# CRA und NIS2: was sie für Ihre Abhängigkeiten verlangen und was LibWatch Ihnen bietet.

Quelle: https://libwatch.com/de/funktionen/cra-nis2-konformitaet

Konformität · Cyber Resilience Act und NIS2

Eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden melden, eine maschinenlesbare SBOM führen, die Lieferkette beherrschen: Hier sind die Pflichten, ihre Fristen und der Teil, den LibWatch übernehmen kann.

[Meine SBOMs vorbereiten](https://app.libwatch.com/users/sign_up)

Zeitplan

## Drei Daten zum CRA, die Sie kennen sollten

10.12.2024

### Inkrafttreten

Die Verordnung (EU) 2024/2847, am 20.11.2024 im Amtsblatt der EU veröffentlicht, tritt in Kraft.

11.09.2026

### Meldung binnen 24 Stunden

Seit diesem Datum muss jede aktiv ausgenutzte Schwachstelle in einem Produkt der ENISA und dem nationalen CSIRT gemeldet werden.

11.12.2027

### Vollständige Anwendung

Grundlegende Anforderungen, SBOM und CE-Kennzeichnung für Produkte, die in Verkehr gebracht werden.

Was die Texte sagen

## Die Pflichten, die Ihre Abhängigkeiten betreffen

CRA · Artikel 14

### Eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden melden

Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden. Unmöglich, ohne jeden Tag zu wissen, welche Versionen Sie ausliefern.

CRA · Anhang I, Teil II

### Eine Software-Stückliste (SBOM) führen

In einem gängigen, maschinenlesbaren Format, das mindestens die Abhängigkeiten der obersten Ebene abdeckt, aufbewahrt mit der technischen Dokumentation.

NIS2 · Artikel 21

### Die Sicherheit der Lieferkette beherrschen

Die betroffenen Einrichtungen müssen die Schwachstellen ihrer Lieferanten und ihrer Software managen. Ihre Dienstleister, Agenturen und IT-Dienstleister, spüren das in ihren Verträgen.

Der Teil von LibWatch

## Was LibWatch liefert, was bei Ihnen bleibt

LibWatch unterstützt Überwachung und Dokumentation mit Werkzeugen. Es ersetzt weder Ihre Risikoanalyse noch Ihre Meldung.

| Anforderung | Was LibWatch liefert | Was bei Ihnen bleibt |
| --- | --- | --- |
| Schnell wissen, ob eine aktiv ausgenutzte Schwachstelle Sie betrifft | Nächtliche Überwachung, KEV-Katalog der CISA und CERT-FR-Warnungen zu Ihrer PHP-Version | Die Auswirkung auf Ihr Produkt bewerten |
| Maschinenlesbare SBOM | Export in CycloneDX 1.5 und SPDX 2.3, gegen die offiziellen Schemas validiert | Sie der technischen Dokumentation beifügen und aufbewahren |
| Meldung an die ENISA und das CSIRT | Die Liste der betroffenen Projekte und Versionen | Die Meldung selbst |
| Komponenten mit Supportende | Supportende von Sprachen und Frameworks im Blick | Die Migrationen planen |

Diese Seite ist keine Rechtsberatung

Sie fasst öffentliche Texte zusammen (EUR-Lex, ANSSI). Ob Ihr Produkt oder Ihre Organisation betroffen ist, klären Sie am besten mit fachkundiger Unterstützung.

Häufige Fragen

## CRA, NIS2 und Abhängigkeiten

### Muss meine SBOM öffentlich sein?

 Nein. Der CRA verlangt, dass Sie sie den Behörden auf Anfrage vorlegen können; auch Ihre Kunden können sie vertraglich verlangen.

### Ist eine Webagentur von NIS2 betroffen?

 Selten direkt: NIS2 zielt auf bestimmte Sektoren und Unternehmensgrößen, etwa Anbieter verwalteter IT-Dienste ab mittlerer Unternehmensgröße. Eine Agentur begegnet ihr vor allem über betroffene Kunden, die ihre Sicherheitsanforderungen in die Verträge übernehmen.

### Reicht eine SBOM in Excel?

 Besser nicht. Der CRA verlangt ein gängiges, maschinenlesbares Format: in der Praxis CycloneDX oder SPDX, die LibWatch exportiert. Eine Tabelle lässt sich von den Werkzeugen Ihrer Kunden oder der Behörden nicht automatisch verarbeiten.

## Ihre erste SBOM, mit zwei Klicks.

[14 Tage kostenlos testen](https://app.libwatch.com/users/sign_up)