Wie CRA Evidence entstanden ist
Es begann 2025, als Joan Romero zum ersten Mal vom Cyberresilienz-Verordnung hörte.
Von da an begann er, es mit seiner gesamten Karriere als Cloud Engineer und SRE zu verknüpfen. Wir bauen und liefern mehr Produkte als je zuvor, kümmern uns aber nicht um die Cybersicherheit. Die Vorfälle nehmen weiter zu.
Die Cyberresilienz-Verordnung existiert genau deshalb. Europa hat das Problem erkannt und beschlossen zu handeln. Joan entschied sich, Teams dabei zu helfen, und begann mit dem Aufbau von CRA Evidence.
Das wurde 2026 Wirklichkeit. Der erste Schritt war die Zusammenarbeit mit CEEI, dem Europäischen Zentrum für Unternehmen und Innovation im Fürstentum Asturien. Mit ihrer Hilfe wurde das Unternehmen gegründet.
Warum CRA Evidence entwickelt wurde
Jedes Jahr kommen mehr digitale Produkte nach Europa, von Industriesteuerungen bis zu Geräten für zu Hause, und der Cyber Resilience Act ist die erste EU-weite Verordnung, die über das gesamte Produktleben hinweg echte Sicherheitsnachweise verlangt. Wir wollten den Teams helfen, die diese Arbeit leisten.
Niemand fühlte sich klar für den Cyber Resilience Act zuständig. Weder die Entwicklung noch die Rechtsabteilung noch das Produktmanagement. Wir haben CRA Evidence gebaut, damit diese Arbeit einen Ort hat: nachverfolgt, korrigiert und auditfähig über den Zeitraum von zehn Jahren oder länger, den die Verordnung verlangt.
Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden, müssen über ihren gesamten Lebenszyklus mit echten Cybersicherheitsnachweisen entwickelt, hergestellt und gewartet werden, und betroffene Hersteller bewahren die technische Dokumentation mindestens zehn Jahre lang auf oder für die Dauer des Unterstützungszeitraums, wenn dieser länger ist.
Verordnung (EU) 2024/2847 · sinngemäß
Genau dafür bauen wir.
Der CRA gilt je nach Rolle unterschiedlich. Wir passen uns an jede Rolle an.
Hersteller, Importeure und Händler haben nach der Verordnung unterschiedliche Pflichten. CRA Evidence liefert für jede Rolle den passenden Workflow.
Hersteller
Sie fertigen Produkte mit digitalen Elementen. Die umfangreichsten CRA-Verpflichtungen treffen Sie.
- SBOM-Validierung gemäß BSI TR-03183
- Laufende Schwachstellenüberwachung mit stündlichem und täglichem Abgleich der Quellen
- Generator für EU-Konformitätserklärungen
- Builder für Nutzerinformationen und Anleitungen (UII)
- Compliance-Tracking auf Versionsebene
Importeure
Sie bringen Produkte auf den EU-Markt. Sie müssen die Compliance des Herstellers vor dem Verkauf überprüfen.
- Prüflisten für Einführer
- Anforderungen an Herstellerdokumentation
- Nachweisspeicherung mit Audit-Trail
- Aufzeichnungen für Marktüberwachung
Vertriebspartner
Sie verkaufen Produkte in der EU, stellen sie aber nicht her und importieren sie nicht. Geringere Verpflichtungen.
- Workflows zur Compliance-Prüfung
- Zugriff auf Produktdokumentation
- Leitfaden für Händler
- Eskalationswege für Vorfälle
Die Fragen, die wir immer wieder hören
Jedes Team, das sich auf den CRA vorbereitet, arbeitet dieselben Grundfragen ab:
- In welchem Format soll meine SBOM sein?
- Wie verfolge ich Schwachstellen über 300 Abhängigkeiten hinweg?
- Was genau gehört in eine technische Akte?
- Wie weise ich einer Marktüberwachungsbehörde Compliance nach?
Die Verordnung ist komplex genug. Ihre Werkzeuge müssen es nicht sein.
Unabhängige Anerkennung
Signale von Dritten, die Sie selbst überprüfen können. Die vollständigen Meldungen finden Sie im Newsroom.
Zum Newsroom →
Bereit, CRA-Compliance zu vereinfachen?
Pflichten zuordnen, Nachweise generieren und auditbereit bleiben für alle Produktversionen bis zum 11. Dezember 2027.