Der Cyber Resilience Act, Verordnung (EU) 2024/2847, legt die Beweislast beim Hersteller. Artikel 31 verlangt, dass eine technische Dokumentation erstellt wird, bevor ein Produkt mit digitalen Elementen in Verkehr gebracht wird, dass sie über den Unterstützungszeitraum aktuell gehalten und für die Behörden verfügbar gehalten wird. Anhang VII listet auf, was sie enthalten muss. Für den Hersteller, der selbst bewertet, ist sie der gesamte Nachweis; für den, der zu einer notifizierten Stelle geht, ist sie das, was die Stelle zuerst prüft (Anhang VIII, Modul B, Nummer 3.3).

Anhang VII ist eine Seite lang, und jeder Punkt darauf entspricht etwas Konkretem. Hier ist die Liste, mit dem, was jeder Punkt von Ihnen verlangt.

Die acht Punkte des Anhangs VII

Die technische Dokumentation muss mindestens Folgendes enthalten, soweit auf das Produkt anwendbar.

1. Eine allgemeine Beschreibung des Produkts. Seine Zweckbestimmung; die Softwareversionen, die die Erfüllung der grundlegenden Anforderungen beeinflussen; bei einem Hardwareprodukt Fotos oder Abbildungen, die äußere Merkmale, Kennzeichnung und inneren Aufbau zeigen; und die Nutzerinformationen und Anleitungen, die Anhang II verlangt. In der Praxis: ein Produktblatt mit Versionstabelle und die nutzerseitigen Sicherheitsinformationen (Kontakt für Schwachstellen, Unterstützungszeitraum, Installation von Updates, sichere Standardkonfiguration), die Anhang II aufführt.

2. Eine Beschreibung von Entwurf, Entwicklung, Herstellung und Schwachstellenbehandlung. Drei Teile. (a) Informationen zu Entwurf und Entwicklung, einschließlich, soweit anwendbar, Zeichnungen, Schemata und einer Beschreibung der Systemarchitektur, die erklärt, wie Softwarekomponenten aufeinander aufbauen oder ineinandergreifen. (b) Die Prozesse der Schwachstellenbehandlung, ausdrücklich einschließlich der Software-Stückliste, der Richtlinie zur koordinierten Offenlegung von Schwachstellen, des Nachweises einer Kontaktadresse für Schwachstellenmeldungen und einer Beschreibung, wie Updates sicher verteilt werden. (c) Die Herstellungs- und Überwachungsprozesse und wie sie validiert werden. Nummer 2 Buchstabe b ist der Ort für die vier Dokumente aus Teil II, und er nennt sie beim Namen.

3. Die Cybersicherheitsrisikobewertung. Die Bewertung nach Artikel 13, gegen die das Produkt entworfen, entwickelt, hergestellt, geliefert und gewartet wird, einschließlich der Angabe, wie die grundlegenden Anforderungen in Teil I des Anhangs I anwendbar sind. Das ist das Dokument, das jeden Ausschluss „soweit anwendbar“ begründet; eine ausgelassene Anforderung aus Teil I Nummer 2 ohne eine Zeile hier ist eine Lücke.

4. Die Festlegung des Unterstützungszeitraums. Die Informationen, die bei der Festlegung des Unterstützungszeitraums nach Artikel 13 Absatz 8 berücksichtigt wurden: mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer genutzt wird, und gegenüber den Nutzern angegeben. Schreiben Sie die erwartete Nutzungsdauer und die Begründung auf; eine Zahl ohne Begründung ist das, wonach eine Marktüberwachungsbehörde zuerst fragt.

5. Angewandte Normen, oder was Sie stattdessen getan haben. Eine Liste der ganz oder teilweise angewandten harmonisierten Normen, der gemeinsamen Spezifikationen nach Artikel 27 oder der europäischen Schemata für die Cybersicherheitszertifizierung; und, wo keine angewandt wurde, eine Beschreibung der Lösungen, mit denen Anhang I erfüllt wird, einschließlich anderer verwendeter technischer Spezifikationen. Bei teilweise angewandten Normen ist anzugeben, welche Teile. Stand September 2026 ist keine harmonisierte Norm zum CRA veröffentlicht, also ist dieser Punkt für die meisten Dokumentationen die Beschreibung der gewählten Lösungen, Anforderung für Anforderung.

6. Prüfberichte. Berichte der Prüfungen, mit denen die Konformität des Produkts und der Schwachstellenbehandlungsprozesse mit Anhang I Teile I und II überprüft wurde. Penetrationstestberichte, Ergebnisse statischer Analysen, Ausgaben von Abhängigkeitsscans, Tests des Update-Mechanismus: was immer Sie getan haben, mit Datum.

7. Eine Kopie der EU-Konformitätserklärung. Die Erklärung nach Anhang V, unterschrieben, mit Bezeichnung des Produkts.

8. Die Software-Stückliste, auf begründetes Verlangen. Soweit anwendbar, die SBOM selbst, die einer Marktüberwachungsbehörde auf begründetes Verlangen vorzulegen ist, wenn sie diese braucht, um die Einhaltung des Anhangs I zu prüfen. Beachten Sie die Form: Die SBOM muss existieren (Nummer 2 Buchstabe b und Anhang I Teil II Nummer 1), aber sie muss nicht veröffentlicht werden, nur vorgelegt, wenn ein begründetes Verlangen kommt.

Drei Dinge, die falsch gemacht werden

„Vor dem Inverkehrbringen“ ist die Frist, nicht Dezember 2027. Artikel 31 Absatz 1 verlangt, dass die Dokumentation vor dem Inverkehrbringen erstellt wird. Für ein Produkt, das erstmals nach dem 11. Dezember 2027 in Verkehr gebracht wird, heißt das vor der Markteinführung. Für ein Produkt, das bereits auf dem Markt ist, greifen die Anforderungen nach Artikel 69 nur bei einer wesentlichen Veränderung, also ist die Dokumentation vor der ersten wesentlichen Veränderung nach diesem Datum fällig.

Zehn Jahre oder der Unterstützungszeitraum, je nachdem, was länger ist. Anhang VIII verlangt vom Hersteller, die Konformitätserklärung zusammen mit der technischen Dokumentation 10 Jahre nach dem Inverkehrbringen des Produkts oder für den Unterstützungszeitraum, je nachdem, was länger ist, für die nationalen Behörden bereitzuhalten. Ein zwölf Jahre lang unterstütztes Produkt ist eine zwölf Jahre lang aufbewahrte Dokumentation.

Die Dokumentation gilt pro Produkt und muss aktuell gehalten werden. Artikel 31 verlangt, dass sie während des Unterstützungszeitraums aktuell gehalten wird. Eine Dokumentation, die Version 1 beschreibt, während Version 4 ausgeliefert wird, ist keine technische Dokumentation; sie ist ein historisches Dokument.

Was aus jedem Punkt wird

Die acht Punkte sind als Informationen geschrieben, nicht als Dokumente, und eine notifizierte Stelle oder eine Behörde liest Dokumente. Die Zuordnung, die wir verwenden und die das Paket für die technische Dokumentation für ein Produkt entwirft, sind elf gelenkte Dokumente: eine Feststellung von Anwendungsbereich und Einstufung (Artikel 3 und Anhang III), die allgemeine Beschreibung mit Nutzerinformationen (Nummer 1 und Anhang II), die Risikobewertung (Nummer 3), der Prozess der Schwachstellenbehandlung (Nummer 2), die Festlegung des Unterstützungszeitraums (Nummer 4), der Nachweis zu Normen und Prüfungen (Nummern 5 und 6), die EU-Konformitätserklärung (Nummer 7) und die vier Betriebsdokumente, die Teil II voraussetzt: die Richtlinie zur koordinierten Offenlegung von Schwachstellen, die Erklärung zu Sicherheitsupdates und Unterstützung, das SBOM-Verfahren und das Meldeverfahren nach Artikel 14, das nicht in Anhang VII steht, aber das eine ist, wonach eine Behörde an dem Tag fragt, an dem etwas ausgenutzt wird.

Wie auch immer Sie es zuschneiden, beginnen Sie mit den Nummern 3 und 4. Die Risikobewertung entscheidet, was der Rest der Dokumentation sagen muss, und der Unterstützungszeitraum entscheidet, wie lange Sie es sagen.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 31 und Anhang VII (die acht Punkte, eng paraphrasiert; lesen Sie den Wortlaut im Text), Anhang II für Nutzerinformationen, Anhang V für die Erklärung, Anhang VIII Teil I Nummer 4.2 und Teil II Nummer 10 für die Zehnjahresregel, Artikel 13 Absatz 8 für den Unterstützungszeitraum, Artikel 27 für Normen und gemeinsame Spezifikationen, Artikel 69 und 71 Absatz 2 für die Daten. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.

Das ist keine Rechtsberatung. Anhang VII ist eine Seite; die Nummern oben lassen Sie ihn in wenigen Minuten gegen Ihre eigene Dokumentation lesen.