Wie CRA Evidence entstanden ist
Es begann 2025, als Joan Romero zum ersten Mal vom Cyberresilienz-Verordnung hörte.
Von da an begann er, es mit seiner gesamten Karriere als Cloud Engineer und SRE zu verknüpfen. Wir bauen und liefern mehr Produkte als je zuvor, kümmern uns aber nicht um die Cybersicherheit. Die Vorfälle nehmen weiter zu.
Der Cyberresilienz-Verordnung existiert genau deshalb. Europa hat das Problem erkannt und beschlossen zu handeln. Joan entschied sich, Teams dabei zu helfen, und begann mit dem Aufbau von CRA Evidence.
Das wurde 2026 Wirklichkeit. Der erste Schritt war die Zusammenarbeit mit CEEI, dem Europäischen Zentrum für Unternehmen und Innovation im Fürstentum Asturien. Mit ihrer Hilfe wurde das Unternehmen gegründet.
Warum CRA Evidence entwickelt wurde
Jedes Jahr gelangen mehr Produkte mit digitalen Elementen auf den europäischen Markt, von industriellen Steuerungen bis zu Heimgeräten. Der Cyberresilienz-Verordnung ist die erste Verordnung, die von jedem dieser Produkte echte Sicherheitsnachweise über seinen gesamten Lebenszyklus erwartet. Wir wollten die Teams unterstützen, die diese Arbeit leisten.
Für den Cyberresilienz-Verordnung war lange niemand klar verantwortlich. Nicht die Technik, nicht die Rechtsabteilung, nicht das Produktteam. Wir haben CRA Evidence entwickelt, damit diese Arbeit einen festen Platz hat: nachverfolgbar, korrigierbar und prüfbereit über den gesamten Zehnjahreszeitraum, den die Verordnung vorschreibt.
Jedes in der EU verkaufte Produkt mit digitalen Elementen muss mit belastbaren Cybersicherheitsnachweisen über seinen gesamten Lebenszyklus hinweg entworfen, hergestellt und gewartet werden. Diese Nachweise müssen mindestens zehn Jahre lang aufbewahrt werden.
Verordnung (EU) 2024/2847, Artikel 13–14 · sinngemäß
Genau dafür bauen wir.
Der CRA gilt je nach Rolle unterschiedlich. Wir passen uns an jede Rolle an.
Hersteller, Importeure und Händler haben nach der Verordnung unterschiedliche Pflichten. CRA Evidence liefert für jede Rolle den passenden Workflow.
Hersteller
Sie fertigen Produkte mit digitalen Elementen. Die umfangreichsten CRA-Verpflichtungen treffen Sie.
- SBOM-Validierung gemäß BSI TR-03183
- Kontinuierliche Schwachstellenüberwachung mit Erkennung neuer CVEs innerhalb von 15 Minuten
- Generator für EU-Konformitätserklärungen
- Builder für Nutzerinformationen und Anleitungen (UII)
- Compliance-Tracking auf Versionsebene
Importeure
Sie bringen Produkte auf den EU-Markt. Sie müssen die Compliance des Herstellers vor dem Verkauf überprüfen.
- Checklisten zur Artikel-19-Prüfung
- Anforderungen an Herstellerdokumentation
- Nachweisspeicherung mit Audit-Trail
- Aufzeichnungen für Marktüberwachung
Vertriebspartner
Sie verkaufen Produkte in der EU, stellen sie aber nicht her und importieren sie nicht. Geringere Verpflichtungen.
- Workflows zur Compliance-Prüfung
- Zugriff auf Produktdokumentation
- Artikel-20-Leitfaden
- Eskalationswege für Vorfälle
Die Fragen, die wir immer wieder hören
Jedes Team, das sich auf den CRA vorbereitet, arbeitet dieselben Grundfragen ab:
- In welchem Format soll meine SBOM sein?
- Wie verfolge ich Schwachstellen über 300 Abhängigkeiten hinweg?
- Was genau gehört in eine technische Akte?
- Wie weise ich einer Marktüberwachungsbehörde Compliance nach?
Die Verordnung ist komplex genug. Ihre Werkzeuge müssen es nicht sein.
Unabhängige Anerkennung
Signale von Dritten, die Sie selbst überprüfen können. Die vollständigen Meldungen finden Sie im Newsroom.
Zum Newsroom →
Bereit, CRA-Compliance zu vereinfachen?
Pflichten zuordnen, Nachweise generieren und auditbereit bleiben für alle Produktversionen bis zum 11. Dezember 2027.