CVD Portal
Engineering-Blog

CVD Portal Engineering

Technische Einblicke in die koordinierte Offenlegung von Schwachstellen, CRA-Konformität und Produktsicherheitstechnik.

CRA-Konformität2026-07-228 Min. Lesezeit

Was eine leere Risikobeurteilung auslässt

Eine CRA-Risikobeurteilung muss die eigene Festlegung des Herstellers sein, und das ist das stärkste Argument für das leere Dokument. Das Problem liegt darin, wofür ein leeres Dokument selektiert. Teams schreiben die Bedrohungen auf, über die sie ohnehin sprechen, und übersehen die Schnittstelle ohne Zuständigen, den Außerbetriebnahmepfad und den Fehler, der erst in der Fläche auftritt. Wozu ein Entwurf dient und welche eine Eigenschaft er braucht.

Von Das CVD-Portal-Team
CRA-Konformität2026-07-217 Min. Lesezeit

Ihre CRA-Dokumentation ist größtenteils schon geschrieben

Die meisten Hersteller behandeln die technische Dokumentation als Schreibprojekt. Sie ist zuerst ein Zuordnungsprojekt. Anhang VII verlangt den Nachweis, dass bestimmte Belege bestimmte grundlegende Anforderungen erfüllen, und die Architekturdiagramme, Prüfberichte und Benutzerdokumente, die diesen Nachweis führen, existieren meist längst. Warum die Zuordnung der schwierige Teil ist und warum eine Lückenliste vor der Zuordnung das Falsche misst.

Von Das CVD-Portal-Team
CRA-Konformität2026-07-178 Min. Lesezeit

CRA-Dokumentation aktuell halten: Was die Verordnung tatsächlich verlangt

Der CRA macht die technische Dokumentation, die Risikobewertung und die EU-Konformitätserklärung zu lebenden Dokumenten. Artikel 31(2) verlangt kontinuierliche Aktualisierung, Artikel 13(3) verlangt Aktualisierung während des Unterstützungszeitraums, und die Marktüberwachung kann die Unterlagen noch ein Jahrzehnt später anfordern. Hier sind die Aktualisierungspflichten, die auslösenden Ereignisse und ein Rhythmus, der eine Prüfung übersteht.

Von Das CVD-Portal-Team
Technische Analyse2026-07-179 Min. Lesezeit

Die CRA-Risikobewertung in der Praxis: CVD Portal und der Entwurf prEN 40000-1-2

Artikel 13 verlangt eine dokumentierte Cybersicherheits-Risikobewertung, und der europäische Normentwurf prEN 40000-1-2 beschreibt den Prozess, mit dem ein Hersteller sie erstellen sollte. Dieser Beitrag zeigt Schritt für Schritt, wie dieser Prozess im Produkt-Workspace von CVD Portal abläuft, vom Produktkontext und den Risikoakzeptanzkriterien bis zur Anwendbarkeitstabelle für Anhang I, und ordnet jeden Schritt der Verordnung und den Abschnitten des Normentwurfs zu.

Von Das CVD-Portal-Team
CRA-Konformität2026-06-169 Min. Lesezeit

Die Uhr läuft: Was niederländische Führungskräfte vor Inkrafttreten der Cyberbeveiligingswet wissen müssen

Die Niederlande haben die NIS2-Umsetzungsfrist um fast zwei Jahre verpasst. Nun hat die Cyberbeveiligingswet das Abgeordnetenhaus passiert, und die Regierung strebt das Inkrafttreten zum 1. Juli 2026 an. Vier durchsetzungsrelevante Pflichten, einschließlich persönlicher Haftung der Geschäftsleitung, verändern gerade die Arbeit niederländischer Vorstände.

Von Das CVD-Portal-Team
CRA-Konformität2026-06-0210 Min. Lesezeit

Welche Schwachstellen und Vorfälle gemeldet werden müssen und welche nicht

Die meisten Schwachstellen, die ein Hersteller bearbeitet, lösen nie eine Meldung an Behörden aus. Die Pflicht aus Artikel 14 des CRA ist eng gefasst: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Produktsicherheit beeinträchtigen. Hier steht, wie man erkennt, was in den Anwendungsbereich fällt, mit durchgearbeiteten Beispielen und einem Entscheidungsrahmen.

Von Das CVD-Portal-Team
Sicherheitsbetrieb2026-05-299 Min. Lesezeit

Schwachstellenmeldung mit dem umfassenderen Produkt- und Risikomanagement verknüpfen

Die Meldung nach Artikel 14 sollte das sichtbare Ergebnis eines gesunden Produktsicherheitsprogramms sein, kein Anhängsel. Dieser abschließende Beitrag zeigt, wie die Meldung mit der Schwachstellenbehandlung, dem SBOM, der sicheren Entwicklung und der Marktüberwachung zusammenhängt, sodass die Einreichung einer Meldung ein Nebenprodukt davon ist, den Rest gut zu machen.

Von Das CVD-Portal-Team
CRA-Konformität2026-05-128 Min. Lesezeit

CRA-Konformität über Produktportfolios hinweg verwalten: Struktur, Reifegradbewertung und Prüfpfade

Für Hersteller mit mehreren Produkten oder PDE-Versionen ist die CRA-Konformität kein einmaliges Projekt, sondern ein fortlaufender Prozess. Bewertungen nach Produktlinie zu strukturieren, mit Reifegradbewertung den Fortschritt zu verfolgen und eine konsistente, prüffähige Beweissammlung zu pflegen, unterscheidet wiederholbare Compliance von einmaligen Häkchen-Übungen.

Von Das CVD-Portal-Team
CRA-Konformität2026-05-109 Min. Lesezeit

CRA-Technische-Dokumentation: Welche Nachweise erforderlich sind und wann sie erstellt werden müssen

Anhang VII des CRA legt fest, welche technische Dokumentation ein Hersteller erstellen und pflegen muss. Zu verstehen, welche Dokumente für Ihre Produktklasse erforderlich sind, wie sie mit Risikobewertungen und Lebenszyklusentscheidungen zusammenhängen und wann sie erstellt oder aktualisiert werden müssen, ist vor der Konformitätsfrist im Dezember 2027 unerlässlich.

Von Das CVD-Portal-Team
CRA-Konformität2026-05-098 Min. Lesezeit

CRA-Selbsterklärung: Wann sie zulässig ist, welche Nachweise sie erfordert und wie man einen belastbaren Prozess aufbaut

Die meisten Produkte mit digitalen Elementen kommen unter dem CRA für die Selbsterklärung in Frage, doch der Beweisstandard ist nicht trivial. Die Produktklassifizierung bestimmt den Weg, Risikobewertungen müssen mit den grundlegenden Anforderungen verknüpft sein, und Prozesse zur Schwachstellenbehandlung müssen dokumentiert sein, bevor eine Konformitätserklärung unterzeichnet werden kann.

Von Das CVD-Portal-Team
CRA-Konformität2026-04-159 Min. Lesezeit

Ausnutzbar vs. ausgenutzt: Die rechtliche Unterscheidung, die Ihre CRA-Konformität bestimmt

Der CRA zieht eine scharfe rechtliche Grenze zwischen „ausnutzbaren“ und „aktiv ausgenutzten“ Schwachstellen, mit sehr unterschiedlichen Folgen für jede. Wir schlüsseln den dreistufigen Pflichtenrahmen auf, was die EUVD abdeckt und was nicht, und die Meldefristen ab dem 11. September 2026, die auch bereits auf dem Markt befindliche Produkte erfassen.

Von Das CVD-Portal-Team

CRA-Fristen-Briefing

Eine kurze E-Mail zu den Meldepflichten des Cyber Resilience Act und dem Countdown bis zum 11. September 2026.

Wir verwenden Ihre E-Mail nur für das Briefing. Jederzeit mit einem Klick abbestellbar.