CRA-Compliance-Software: welche Pflichten des Cyber Resilience Act CE-Copilot abdeckt
CE-Copilot ist CE-Software für Maschinenhersteller und bildet die Pflichten der Cyberresilienz-Verordnung (EU) 2024/2847 ab, die sich prüfen, dokumentieren und nachhalten lassen: Anwendungsbereich und Einstufung, das zulässige Verfahren, die Bewertung der Cybersicherheitsrisiken, die Anforderungen nach Anhang I, Komponenten Dritter, den Unterstützungszeitraum, Meldevorgänge nach Art. 14 mit Fristen, die Nutzerinformationen, die technische Dokumentation und die EU-Konformitätserklärung. Die technische Umsetzung an der Maschine, die Software-Stückliste selbst, die Meldung bei der ENISA und die Bewertung durch eine notifizierte Stelle bleiben beim Hersteller.
Wer nach Software für den CRA sucht, findet zwei Arten von Werkzeugen: Entwicklungswerkzeuge, die eine SBOM erzeugen, Code auf Schwachstellen prüfen und Updates verteilen, und Compliance-Software, die Einstufung, Bewertung, Nachweise und Meldungen führt. CE-Copilot gehört zur zweiten Art. Dieser Ratgeber legt offen, wie weit CE-Copilot die Pflichten des Cyber Resilience Act abdeckt: Pflicht für Pflicht, mit Fundstelle und Tarif.
Abdeckung Pflicht für Pflicht
Von 25 Pflichtbereichen bildet CE-Copilot 12 ab und 8 teilweise; 5 liegen außerhalb der Software. In allen drei Fällen bleiben die technische Umsetzung an der Maschine und die Verantwortung beim Hersteller.
In CE-Copilot abgebildet (12)
Die Software führt durch die Pflicht und dokumentiert das Ergebnis.
Anwendungsbereich prüfen
Art. 2, Art. 3 Nr. 1
Als anwendbar schlägt der Normen-Finder den CRA nur vor, wenn die Maschinenbeschreibung eine Datenverbindung belegt; verneinte Angaben zählen nicht, ohne Beleg steht er zur Prüfung. Im Modul Cybersicherheit prüfen Sie Datenverbindung und Ausnahmen nach Art. 2, einschließlich der Delegierten Verordnung (EU) 2025/1535.
ab Starter
Wichtige und kritische Produkte einstufen
Art. 7, Art. 8, Anhang III und IV
Sie benennen die Kernfunktion und kreuzen die zutreffenden Kategorien aus Anhang III und IV an, mit den technischen Beschreibungen der Durchführungsverordnung (EU) 2025/2392. Verbindlich wird die Einstufung erst mit Ihrer Bestätigung.
ab Starter
Pflichtenstand nach dem Datum des Inverkehrbringens
Art. 69, Art. 71 Abs. 2
Aus dem bestätigten Datum folgt, welche Pflichten für ein Exemplar gelten: seit dem 11.09.2026 die Meldepflichten, für ein Inverkehrbringen ab dem 11.12.2027 die ganze Verordnung, ebenso nach einer wesentlichen Änderung ab diesem Tag.
ab Starter
Konformitätsbewertungsverfahren bestimmen
Art. 32
Aus der Einstufung leitet die App die zulässigen Verfahren ab. Sie berücksichtigt, dass für Produkte der Klasse I ohne harmonisierte Norm, gemeinsame Spezifikation oder Zertifizierungsschema das Verfahren der internen Kontrolle (Modul A) nicht zur Verfügung steht.
ab Starter
Cybersicherheitsrisiken bewerten
Art. 13 Abs. 2 und 3
Rahmen der Bewertung mit Zweckbestimmung, vernünftigerweise vorhersehbarer Verwendung, Betriebsumgebung, zu schützenden Werten und Nutzungsbedingungen, dazu Bedrohungen mit Maßnahmen und Restrisiko. Grundlage ist das Schnittstellen-Inventar des Projekts.
ab Professional
Anforderungen nach Anhang I belegen
Anhang I Teil I und II, Art. 13 Abs. 4
Eine Matrix mit dem Wortlaut jeder Anforderung: ob sie auf Grundlage der Risikobewertung anwendbar ist, mit Begründung, wenn nicht, dazu Umsetzung und Nachweis. Teil I Nr. 1 und die Anforderungen an die Schwachstellenbehandlung in Teil II gelten immer.
ab Professional
Komponenten Dritter und Open Source
Art. 13 Abs. 5
Komponentenliste mit Kennzeichnung freier und quelloffener Software und dem Nachweis der Sorgfalt je Komponente.
ab Professional
Unterstützungszeitraum festlegen
Art. 13 Abs. 8 und 19
Festlegung mit Begründung aus der erwarteten Nutzungsdauer, Prüfung gegen die Mindestdauer von fünf Jahren und das Enddatum, das Nutzer beim Kauf erfahren müssen.
ab Professional
Meldevorgänge nach Art. 14 führen
Art. 14 Abs. 1 bis 4, Art. 69 Abs. 3
Je Vorgang Kenntniszeitpunkt, Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht mit Ampel auf der Projektseite, Textvorlagen nach dem Wortlaut des Art. 14, zuständiges CSIRT und Vorgangsnummer der Meldeplattform. Gemeldete Vorgänge lassen sich nicht löschen.
ab Professional
Nutzerinformationen nach Anhang II
Art. 13 Abs. 18, Anhang II
Die Angaben nach Anhang II pflegen Sie einmal. Sie erscheinen im CRA-Bericht und im Kapitel Cybersicherheit der Betriebsanleitung (Zusatzmodul ab Professional).
ab Professional
Technische Dokumentation
Art. 31, Anhang VII
Ein Abschnitt Cybersicherheit nach Anhang VII in der Checkliste der technischen Dokumentation (ab Starter), dazu der CRA-Bericht als PDF und Word und ein eigenes Kapitel im Gesamtdossier (ab Professional).
ab Starter
EU-Konformitätserklärung
Art. 28, Anhang V
Der CRA erscheint in der Erklärung erst, wenn Einstufung und Datum bestätigt sind und die Hauptpflichten für das Exemplar gelten. Verfahren und angewandte Spezifikationen stehen in eigenen Feldern.
ab Starter
Teilweise abgebildet (8)
Ein Teil steht in der Software, den Rest liefern Sie.
Software-Stückliste (SBOM)
Anhang I Teil II Nr. 1
CE-Copilot legt die SBOM-Datei, etwa im Format CycloneDX oder SPDX, im Projekt ab und hält fest, ob und wie Nutzer Zugang bekommen. Erzeugen und auswerten Sie die SBOM mit Ihren Entwicklungswerkzeugen.
ab Professional
Schwachstellen behandeln
Anhang I Teil II Nr. 2 bis 8
Für Behebung, regelmäßige Tests, Offenlegung behobener Schwachstellen, die Strategie zur koordinierten Offenlegung, sichere Verteilung und kostenlose Sicherheitsupdates dokumentieren Sie Umsetzung und Nachweis in der Matrix. Sicherheitshinweise und die Offenlegungsstrategie selbst schreiben und veröffentlichen Sie.
ab Professional
Zentrale Kontaktstelle für Schwachstellen
Art. 13 Abs. 17
Die Kontaktstelle tragen Sie im Abschnitt Schwachstellen der Projektseite ein; sie erscheint im CRA-Bericht und in den Nutzerinformationen. Postfach oder Meldeportal betreiben Sie selbst.
ab Professional
Nutzer über Vorfälle informieren
Art. 14 Abs. 8
Je Vorgang gibt es eine Vorlage für die Nutzerinformation und den Zeitpunkt der Information als Nachweis. Die Information selbst senden Sie an Ihre Kunden.
ab Professional
Wesentliche Änderung
Art. 3 Nr. 30, Art. 22
Das Datum einer wesentlichen Änderung setzt in der App die Pflichten nach der Verordnung. Ob ein Software-Update oder ein Umbau wesentlich ist, beurteilen Sie selbst.
ab Starter
Softwareversionen und Baureihen
Art. 13 Abs. 8 und 10
Unterstützungszeitraum, Bewertung und Meldevorgänge führen Sie je Projekt. Mehrere ausgelieferte Softwareversionen oder eine Schwachstelle, die mehrere Baureihen betrifft, verwalten Sie über die einzelnen Projekte.
Kopie oder vereinfachte Konformitätserklärung
Art. 13 Abs. 20, Anhang VI
Die vollständige Erklärung erzeugt die App als PDF und Word zum Beilegen. Eine vereinfachte Erklärung nach Anhang VI mit Internetadresse formulieren Sie selbst.
ab Starter
Unterlagen zehn Jahre aufbewahren
Art. 13 Abs. 13
Projekte mit gemeldeten Vorgängen sind gegen Löschen gesperrt, Bericht und Dossier exportieren Sie als PDF und Word. Die Aufbewahrung über zehn Jahre organisieren Sie in Ihrem Archiv.
Bleibt beim Hersteller (5)
Keine eigene Funktion in CE-Copilot, die Pflicht erfüllen Sie außerhalb der Software.
Sichere Entwicklung und Sicherheitstests
Anhang I Teil I Nr. 2
Die technische Umsetzung, Penetrationstests und Code-Prüfungen geschehen in Ihrer Entwicklung. CE-Copilot dokumentiert, welche Maßnahme welche Anforderung erfüllt.
Meldung auf der Plattform der ENISA
Art. 14, Art. 16
Die Meldung reichen Sie über die einheitliche Meldeplattform der ENISA ein. Eine Verbindung von CE-Copilot zur Plattform gibt es nicht; Fristen, Vorlagen und Nachweise kommen aus der App.
Bewertung durch eine notifizierte Stelle
Art. 32 Abs. 2 bis 4
Wo das Verfahren eine notifizierte Stelle verlangt, beauftragen Sie diese. Bericht und technische Dokumentation aus CE-Copilot dienen als Unterlagen.
Korrekturmaßnahmen, Rückruf und Auskunft an Behörden
Art. 13 Abs. 21 bis 23
Korrekturmaßnahmen, Rücknahme vom Markt, die Zusammenarbeit mit der Marktüberwachung und die Mitteilung bei Einstellung der Geschäftstätigkeit liegen beim Hersteller.
Pflichten von Einführern und Händlern
Art. 19, Art. 20
CE-Copilot ist für Hersteller gebaut. Die Prüfpflichten von Einführern und Händlern bildet die App nicht eigens ab.
Angrenzend an den CRA: Dasselbe Schnittstellen-Inventar speist die Bewertung des Schutzes gegen Korrumpierung nach Anhang III Nr. 1.1.9 und 1.2.1 der Maschinenverordnung und die Checkliste nach EN 18031 für Funkanlagen mit den Einschränkungen des Durchführungsbeschlusses (EU) 2025/138. Mehr dazu im Ratgeber Cybersicherheit von Maschinen.
Woran Sie gute Software für den CRA erkennen
Sieben Fragen, die Sie jeder CRA-Software stellen sollten, und wie CE-Copilot sie beantwortet:
1. Rechnet die Software die Stichtage aus dem Datum des Inverkehrbringens?
Ob für eine Maschine nur die Meldepflichten oder die ganze Verordnung gelten, hängt am Datum und an späteren wesentlichen Änderungen (Art. 69 und 71).
In CE-Copilot: Ja. Ein Datum, das nur aus der Beschreibung gelesen wurde, trägt keine Rechtsfolge, bis Sie es bestätigen.
2. Kennt sie die Meldefristen in Stunden und in Kalendertagen?
Frühwarnung und Meldung laufen ab Kenntnis in Stunden, der Abschlussbericht nach Tagen bzw. einem Monat; im Ernstfall muss der Nachweis stehen.
In CE-Copilot: Ja. Fristen je Vorgang mit Ampel, Textvorlagen und eine Nachweisspur, die sich nach der Meldung nicht mehr löschen lässt.
3. Dokumentiert sie Anhang I Anforderung für Anforderung?
Art. 13 Abs. 4 verlangt eine Begründung für jede Anforderung, die nicht anwendbar ist; Anhang VII verlangt die Beschreibung der Umsetzung.
In CE-Copilot: Ja. Matrix mit Wortlaut, Anwendbarkeit, Begründung, Umsetzung und Nachweis.
4. Verbindet sie den CRA mit Maschinenverordnung und Funkanlagenrichtlinie?
Für Maschinen laufen der Schutz gegen Korrumpierung (Anhang III Nr. 1.1.9 und 1.2.1 MVO), die Cybersicherheit von Funkanlagen und der CRA nebeneinander.
In CE-Copilot: Ja. Ein Schnittstellen-Inventar für alle drei Bewertungen, in derselben Akte wie Risikobeurteilung und Konformitätserklärung.
5. Erzeugt sie Dokumente, die in die CE-Akte passen?
Technische Dokumentation, Konformitätserklärung und Betriebsanleitung müssen dasselbe sagen.
In CE-Copilot: Ja. CRA-Bericht, Dossier-Kapitel, Abschnitt der technischen Dokumentation, Erklärung und Kapitel der Betriebsanleitung aus denselben Daten.
6. Trennt sie interne Nachweise von Unterlagen für Kunden?
Offene Schwachstellen gehören nicht in ein Dokument, das an Kunden oder Stellen geht.
In CE-Copilot: Ja. Das Dossier-Kapitel zeigt keine Meldevorgänge, der vollständige Bericht trägt einen Vertraulichkeitsvermerk.
7. Bleiben Rechtsfolgen feste Regeln statt KI-Entscheidungen?
Stichtage, Verfahren und Fristen müssen nachvollziehbar sein.
In CE-Copilot: Ja. Diese Regeln sind fest hinterlegt; KI-Entwürfe für Texte übernehmen Sie nur, wenn Sie sie bestätigen.
Für wen CE-Copilot als CRA-Software passt
- Maschinen- und Sondermaschinenbauer, deren Maschinen über Feldbus, Ethernet, Fernwartung, Cloud oder Funk Daten austauschen.
- Anlagenbauer und Integratoren, die verkettete Anlagen als Hersteller in Verkehr bringen und die Cybersicherheit des Ganzen bewerten.
- Hersteller, die vor dem 11.12.2027 ausliefern: Für sie gelten heute die Meldepflichten, die übrigen Abschnitte bereiten spätere Exemplare vor.
- Nicht gedacht ist CE-Copilot als Werkzeug der Softwareentwicklung: SBOM-Generator, Schwachstellen-Scanner oder Update-Server bleiben eigene Werkzeuge.
Rechtsstand
Die Meldepflichten nach Art. 14 gelten seit dem 11.09.2026, auch für Maschinen mit Datenverbindung, die schon in Verkehr gebracht sind (Art. 69 Abs. 3). Die übrigen Pflichten gelten für Produkte, die ab dem 11.12.2027 in Verkehr gebracht werden (Art. 71 Abs. 2). Zum Rechtsstand dieses Ratgebers ist keine harmonisierte Norm unter dem CRA im Amtsblatt veröffentlicht; eine Konformitätsvermutung über harmonisierte Normen nach Art. 27 gibt es damit noch nicht. Angewandte Spezifikationen wie IEC 62443 halten Sie in CE-Copilot als solche fest. Wie die App je nach Datum des Inverkehrbringens rechnet, zeigt der Ratgeber CRA-Software für Maschinenbauer.
CRA-Abdeckung im eigenen Projekt prüfen
Anwendungsbereich, Einstufung und Pflichtenstand können Sie 14 Tage kostenlos im Risikobeurteilungs-Editor testen. Die Projektseite Cybersicherheit mit Matrix, Meldevorgängen und CRA-Bericht gehört zum Professional-Plan.
FAQ
Häufige Fragen zur CRA-Compliance-Software
Welche Software brauche ich, um den CRA umzusetzen?
Deckt CE-Copilot alle Pflichten des Cyber Resilience Act ab?
Fällt CE-Copilot selbst unter den CRA?
Gibt es in CE-Copilot eine CRA-Checkliste?
Für welche Produkte eignet sich CE-Copilot als CRA-Software?
Welcher Tarif enthält die CRA-Funktionen?
Ersetzt CE-Copilot eine notifizierte Stelle oder eine Rechtsberatung?
Produktinformation zu CE-Copilot mit Stand 30. Oktober 2026, keine Rechtsberatung. Rechtliche Aussagen geprüft gegen den Amtsblatt-Text mit Stand 30. Oktober 2026.