Das CRA-Umsetzungsprojekt bringt technische Nachweise, Produktänderungen und Prozesse zusammen. Unsere Ingenieure arbeiten mit Ihrem Team an der gewählten Produktfamilie und dem vorgesehenen Konformitätsbewertungsverfahren. Der vereinbarte Umfang wird nach der ersten Produktklärung festgehalten. Die typische Projektdauer beträgt acht bis sechzehn Wochen. Das ist ein Arbeitsrahmen, keine Zusage eines bestimmten Konformitätsergebnisses.
Dokumentation mit Bezug zum Produkt
Enthalten sind die Leistungen der Bereitschaftsanalyse. Darauf bauen die Cybersicherheitsrisikobewertung, Nutzerinformationen nach Anhang II und die technische Dokumentation nach Anhang VII auf. Dazu kommen eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, security.txt und eine Erklärung zum Supportzeitraum. Der Entwurf der EU-Konformitätserklärung nach Anhang V wird vom Hersteller geprüft und unterzeichnet.
Jedes Dokument soll auf konkrete Eigenschaften und Nachweise verweisen. Eine Aussage zur Aktualisierung muss zum implementierten Mechanismus passen. Eine Risikobewertung muss die tatsächlichen Schnittstellen berücksichtigen. Wir verknüpfen Entscheidungen mit Produktversionen und halten verbleibende Fragen sichtbar. Das erleichtert sowohl eine externe Prüfung als auch die spätere Aktualisierung durch Ihr eigenes Team.
Entwicklungsarbeit im vereinbarten Umfang
Das Paket umfasst 40 bis 120 Ingenieurstunden zur Bearbeitung von Befunden. Welche Änderungen in diesem Rahmen umgesetzt werden, hängt von Produkt, Architektur und Prioritäten ab. Ein festgehaltener Umfang verhindert, dass Dokumentation und Entwicklung unterschiedliche Erwartungen verfolgen. Zusätzlicher Bedarf wird vor weiteren Arbeiten besprochen. Eine pauschale Zusage, jede denkbare Schwachstelle zu beseitigen, gehört nicht zur Leistung.
Ihr Team stellt einen verantwortlichen Produktkontakt, vereinbarten Zugriff auf Build und Code sowie einen Releaseplan bereit. Planen Sie Zeit für technische Rückfragen, Überprüfung und Abnahme ein. Auch externe Abhängigkeiten gehören in den Zeitplan: Lieferanteninformationen, Prüfberichte oder Entscheidungen zum Bewertungsverfahren können den Fortschritt beeinflussen. Wir benennen diese Punkte und ordnen ihnen einen nächsten Schritt zu.
Meldeprozess unter realistischen Bedingungen üben
Eine Meldeübung prüft, ob ein externer Hinweis die zuständigen Personen erreicht und innerhalb der verfügbaren Zeit bearbeitet werden kann. Die Frühwarnung innerhalb von 24 Stunden und die Meldung innerhalb von 72 Stunden zählen ab Kenntnis. Für den Abschlussbericht werden die unterschiedlichen Ausgangspunkte bei Schwachstellen und schwerwiegenden Sicherheitsvorfällen verwendet. Eine Übung muss diese Unterschiede abbilden.
Roja bereitet Entwürfe vor und verfolgt die Uhr. Sie prüfen und reichen selbst ein. Ein interner Freigabevermerk wird deshalb von der tatsächlichen Plattformbestätigung getrennt. Aus der Übung entstehen konkrete Verbesserungen an Rollen, Zugängen und Vorlagen. Der Meldeprozess muss bereits funktionieren, weil Artikel 14 seit 11. September 2026 gilt.
Externe Prüfung rechtzeitig abstimmen
Wir koordinieren vereinbarte Unterlagen und Rückfragen mit Ihrem Prüflabor oder Ihrer benannten Stelle. Deren Gebühren sind nicht im Projektpreis enthalten. Auch der erforderliche Umfang muss gesondert abgestimmt werden. Die Produktklasse beeinflusst das Verfahren und damit die Planung. Die technische Arbeit wird so vorbereitet, dass die jeweils zuständige Stelle ihre eigene Aufgabe erfüllen kann.
Von der Freigabe zum nutzbaren Ergebnis
Vor dem Start stimmen wir Produktgrenze, unterstützte Versionen und Zugriff ab. Benennen Sie einen technischen Ansprechpartner und eine Person, die Ergebnisse freigeben kann. Eine Modellbezeichnung allein genügt nicht, wenn mehrere Firmwarezweige, eine Begleit-App und notwendige Datenfernverarbeitung zusammenwirken. Die vereinbarte Grenze wird in Bestandsaufnahme, Bewertung und Dokumentation einheitlich verwendet.
Jeder bestätigte Befund erhält einen Versionsbezug und eine nachvollziehbare Begründung. Unvollständige Unterlagen bleiben als solche erkennbar. Wir dokumentieren, welche Schlussfolgerungen durch die vorhandenen Artefakte gedeckt sind und welche weiteren Prüfungen nötig werden. Ihr Entwicklungsteam kann damit erkennen, warum eine Aufgabe entsteht und wann sie als erledigt gelten kann.
Zum Abschluss besprechen wir Fakten, offene Fragen und nächste Maßnahmen. Jede Folgeaufgabe bekommt einen Verantwortlichen und einen Prüftermin. So bleibt die Arbeit nach einem Releasewechsel nutzbar. Der Hersteller verantwortet weiterhin Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterzeichnung der EU-Konformitätserklärung. Externe Unterstützung übernimmt konkrete Aufgaben innerhalb des vereinbarten Umfangs.
Leistungsumfang und Zusammenarbeit
Projekte werden zu 50 % im Voraus bezahlt. Die weiteren Zahlungen richten sich nach vereinbarten Meilensteinen. Rechnungen werden in Euro gestellt, zzgl. MwSt. Abonnementumfang und Abrechnung werden vor Aktivierung vereinbart. Labore und benannte Stellen haben eigene Aufgaben und gesonderte Kosten. Roja führt keine Penetrationstests durch und ist keine benannte Stelle.
Vorhandene Software-Stücklisten oder Build-Artefakte können als Einstieg dienen. Vollständiger Quellcodezugriff ist nicht automatisch erforderlich. Wenn die Unterlagen eine Aussage nicht tragen, benennen wir die Grenze und stimmen den nächsten Schritt ab. Senden Sie keine vertraulichen Artefakte über das Anfrageformular. Zuerst vereinbaren wir Freigabe und Übertragungsweg.
Wie sich diese Leistung in die Anforderungen einordnet, lesen Sie im CRA-Leitfaden. Relevant sind insbesondere die SBOM-Anforderungen und die Meldepflicht nach Artikel 14. Die Preisseite hilft, einmalige Vorbereitung und laufende Betreuung auseinanderzuhalten.
Häufige Fragen
Wer bleibt für die Konformität verantwortlich?
Der Hersteller verantwortet Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterschrift. Roja bereitet Nachweise und Entwürfe vor und unterstützt bei der technischen Arbeit.
Müssen wir sofort den vollständigen Quellcode bereitstellen?
Nein. Wir vereinbaren zuerst die erforderlichen Unterlagen. Eine vorhandene SBOM oder Build-Ausgabe kann genügen, um den Einstieg und erkennbare Grenzen zu klären.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.