Zum Inhalt
DEENKontakt
MenüSchließen

CRA Compliance Service – Online Wizards

DDAS · CRA-Konformitätspaket

CRA Classification WizardCRA DoC Wizard

Dieser Wizard führt Sie durch die Erstellung des Klassifizierungspapiers — der Grundlage für die spätere EU-Konformitätserklärung nach dem Cyber Resilience Act.Dieser Wizard führt Sie durch die Bewertung der Befunde aus der Risikoanalyse und durch die Erstellung der EU-Konformitätserklärung nach dem Cyber Resilience Act — aufbauend auf dem Übergabepaket von DDAS.

Ablauf

  1. Zugangscode eingeben
  2. Firmen- und Projektdaten erfassen (beim Weiterarbeiten aus dem gespeicherten Stand übernommen)
  3. Übergabepaket von DDAS hochladen, es enthält Ihr Klassifizierungspapier
  4. Fragen zum Klassifizierungspapier beantworten (entfällt im Basis-Paket und beim Folgelauf ohne Änderung)
  5. Teil 1: Befunde der Risikoanalyse bewerten
  6. PLC-Projektdaten hochladen und Datenpaket an DDAS senden
  7. Teil 2: Fragen zur Erklärung beantworten (Reihenfolge frei)
  8. Erklärungspaket erstellen, Erklärung unterschreiben

Gedacht für CODESYS-basierte Maschinenprogramme und Bibliotheken. Dieser Wizard deckt Schritt 2 eines fünfstufigen Gesamtablaufs ab — mehr dazu weiter unten.Für die Bewertung der Befunde brauchen Sie das signierte Übergabepaket von DDAS (Schritt 4), für die Konformitätserklärung zusätzlich ein Klassifizierungspapier (Schritt 2). Dieser Wizard deckt Schritt 5 des fünfstufigen Gesamtablaufs ab — mehr dazu weiter unten.

Dieser Wizard unterstützt bei der Einordnung Ihres Produkts nach dem Cyber Resilience Act; das Klassifizierungspapier ist die Grundlage der späteren EU-Konformitätserklärung. Für die inhaltliche Richtigkeit bleibt der Hersteller verantwortlich — dies ist keine Rechtsberatung.Dieser Wizard unterstützt bei der Bewertung der Befunde und bei der Erstellung der EU-Konformitätserklärung nach dem Cyber Resilience Act. Für die inhaltliche Richtigkeit bleibt der Hersteller verantwortlich — dies ist keine Rechtsberatung.

Erklärfilme

Der Service in zwei Filmen

Überblick 4:04 min

Frist, Kerndokumente und die fünf Schritte, für den ersten Eindruck.

Rundgang 7:32 min

Die Arbeit mit den Wizards an einem vollständigen Beispiellauf. Das Bild ist englisch, die Stimme deutsch.

Die Filme zeigen das Komplettpaket. Sprecherstimme: synthetisch.

Fristen

Was der CRA wann verlangt

Gilt seit 11.09.2026

Meldepflicht Art. 14 CRA*

Erfahren Sie von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall bei Ihrem Produkt, melden Sie ihn über die zentrale Meldeplattform der ENISA:

24 h
Frühwarnung
72 h
Meldung
14 Tage
Abschlussbericht, gerechnet ab verfügbarer Korrektur; bei einem Vorfall einen Monat nach der Meldung

Gilt auch für Produkte, die schon auf dem Markt sind. Die Meldungen selbst sind nicht Teil dieses Pakets — die SBOM aus Schritt 4 zeigt Ihnen aber, welche Komponenten betroffen sein können.

Außerdem: betroffene Nutzer informieren Art. 14 Abs. 8*
Wen
Die Meldung an die ENISA-Plattform allein genügt nicht. Sie müssen zusätzlich die betroffenen Nutzer Ihres Produkts informieren, wenn nötig alle Nutzer, und zwar sobald Sie von der Schwachstelle oder dem Vorfall wissen.
Worüber
Über die Schwachstelle oder den Vorfall selbst und, soweit nötig, über Maßnahmen, mit denen die Nutzer das Risiko mindern oder den Fehler beheben können.
Wie
Einen bestimmten Weg schreibt der CRA nicht vor. Als Beispiele nennt er die Veröffentlichung auf Ihrer Website oder, wenn Sie die Nutzer erreichen können und das Risiko es rechtfertigt, die direkte Ansprache. Wo es sich anbietet, in einem strukturierten, maschinenlesbaren Format.

Ihre Meldung geht an das CSIRT, die nationale Stelle für IT-Sicherheitsvorfälle; in Deutschland ist das CERT-Bund im BSI. Informieren Sie die Nutzer nicht rechtzeitig, kann es die Information selbst bereitstellen, wenn es das für nötig und verhältnismäßig hält. Wie es das tut, regelt der CRA nicht.

Gilt ab 11.12.2027

Volle Anwendung Art. 71 CRA*

Jedes Produkt, das ab dann in Verkehr kommt, muss die Anforderungen aus Anhang I erfüllen und braucht Konformitätsbewertung, technische Dokumentation, unterschriebene Konformitätserklärung und CE-Kennzeichnung. Für Produkte, die vorher auf den Markt kamen, gilt das erst nach einer wesentlichen Änderung.

Genau dafür ist dieses Paket gedacht. Was Sie am Ende in der Hand haben: Was Sie aufbewahren müssen

Außerdem: Schwachstellen behandeln und offenlegen Anhang I Teil II, Anhang II*
Kontaktstelle
Sie müssen eine Adresse angeben, an die jeder eine Schwachstelle Ihres Produkts melden kann, zum Beispiel eine E-Mail-Adresse oder ein Meldeformular. Die Adresse gehört in die Nutzerinformation, die Sie dem Produkt mitgeben (Anleitung oder Begleitdokument nach Anhang II).
Offenlegungsrichtlinie
Sie müssen eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und anwenden. Sie regelt, wie Sie gemeldete Schwachstellen annehmen, bearbeiten und offenlegen. Wo sie zu finden ist, steht ebenfalls in der Nutzerinformation.
Sicherheitshinweise
Sobald ein Sicherheitsupdate bereitsteht, müssen Sie veröffentlichen, welche Schwachstelle behoben ist, welches Produkt betroffen ist, wie sie sich auswirkt, wie schwer sie wiegt und was Nutzer tun sollen.

Wo Sie die Hinweise veröffentlichen, legt der CRA nicht fest. Sinnvoll ist eine feste, öffentliche Adresse, etwa eine eigene Sicherheitsseite. Sie ist nicht Teil dieses Pakets.

Auf einen Blick

Wer macht was, und was wandert wohin

Zwischen Ihnen und DDAS wechseln genau zwei Pakete: Ihr Datenpaket hin, das signierte Übergabepaket zurück. Das dritte, das Erklärungspaket aus dem DoC Wizard, bleibt bei Ihnen. DDAS bereitet die Grundlage für Ihre rechtliche Bewertung auf. DDAS meldet Befunde, ob sie ein Risiko sind, beurteilen Sie. Die Bewertung selbst und die Unterschrift bleiben bei Ihnen.

SIE · HERSTELLERDDAS1BestellungZugangscodeNDA auf Wunsch2 · IHRE DATENPLC-Projektdatenimmer nötigKlassifizierungspapieroptional, für DoC nötig3Review-GateStrukturprüfung4SBOM & Risiko+ signierte ÜbergabeErklärungspaket · CRA-DOC5Befunde bewerten& ErklärungPflicht; DoC Wizardoptional, PDFDatenpaket · CRA-INPUTÜbergabe · CRA-DELIVERYKlassenwechsel in Schritt 4 → zurück zu Schritt 2

SIE · HERSTELLER

DDAS

1BestellungZugangscode, NDA auf Wunsch
2 · IHRE DATENPLC-Projektdatenimmer nötigKlassifizierungspapieroptional, für DoC nötig
3Review-GateStrukturprüfung
4SBOM & Risiko+ signierte Übergabe
5Befunde bewerten & ErklärungPflicht; DoC Wizard optional, PDF

Klassenwechsel in Schritt 4 → zurück zu Schritt 2

Was steckt drin?

Was gehört in Ihr Projekt-ZIP?

Eine ZIP-Datei mit festen Ordnern. Bereiten Sie die Dateien vor dem Start vor, der Wizard fragt sie im letzten Schritt ab. Den Namen der ZIP-Datei vergibt der Wizard selbst.

Vertraulich: Ihr Projekt-ZIP enthält Ihren Programmcode. Für ihn gelten die Vertraulichkeitsregeln der Geschäftsbedingungen von DDAS; auf Wunsch schließen Sie vor dem Hochladen zusätzlich eine Vertraulichkeitsvereinbarung (NDA) mit DDAS ab, auch nach Ihrer eigenen Vorlage. Bei Projektabschluss, 30 Tage nach der Übergabe, löscht DDAS Ihre Projektdaten und alle Analyseergebnisse; es bleibt nur ein Auftragsdatensatz ohne Ihre Dateien.

Maschinenprogramm (Standard)

Ein fertiges Produkt: läuft auf Ihrer Maschine als Boot-Applikation.

  • Original/PflichtBoot-Applikation (.app + .crc), dazu ausgelieferte Bibliotheken und Projektdatei
  • MachineProject/PflichtExport des ganzen Maschinenprojekts (.export) und Projektarchiv (.projectarchive)
  • Libraries/bei eigenen Bibliothekenje eigene Bibliothek eine .export

Ohne Quelltext (nur wenn bestellt): nur Original/ mit Boot-Applikation und kompilierten Bibliotheken. Das Projektarchiv wählen Sie beim Hochladen getrennt; der Wizard liest daraus auf Ihrem Rechner die Liste der Bibliotheken und des Geräts, das Archiv selbst bleibt bei Ihnen.

Library-Package (optional, nur mit Buchung)

Ein Baustein: Ihre Kunden bauen daraus ein Maschinenprogramm.

  • Package/PflichtIhr .package, auf Wunsch mit Anwendungsbeispiel
  • Libraries/bei Bibliotheken im Packageje Bibliothek im Package eine .export
  • Original/nur mit AnwendungsbeispielBoot-Applikation (.app) aus dem Anwendungsbeispiel

ExportImmer alles. In CODESYS das ganze Projekt mit allen Objekten exportieren (Projekt → Export…).

DateinamenFrei. Es zählen Ordner und Dateiendung. Ausnahme: Die .export einer Bibliothek heißt wie die Bibliothek selbst.

PackenWindows 11: Ordner markieren, Rechtsklick → Komprimieren in → ZIP-Datei. Nicht möglich: .7z, .rar, Passwort, über 4 GB.

Die ausführliche Anleitung mit Beispielen zeigt Ihnen der Wizard beim Hochladen.

Was steckt im Datenpaket an DDAS?

  • …_PLC_Project.zipIhre PLC-Projektdaten: Software-Export und Projektarchiv bzw. Package, Bibliotheken, Boot-Applikation (bei „Ohne Quelltext“ nur Boot-Applikation und kompilierte Bibliotheken, dazu die Liste aus dem Projektarchiv) — immer dabei
  • …_Klassifizierungspapier.zipWeg A: Klassifizierungspapier, Ihre Antworten (…_Zwischenstand.json) und deren Prüfsummen
  • Firmen- und ProjektdatenWeg B: Hersteller, Projekt, Version — statt des Klassifizierungspapiers
  • Firmenlogooptional, PNG oder JPEG; wird auf weißem Hintergrund oben links in allen Dokumenten gedruckt, am besten im Querformat
  • …_Stellungnahme_Befunde.jsonoptional, bei einer neuen Version: Ihre früheren Bewertungen der Befunde
  • Vorgaenger/bei einer neuen Version oder einer Korrektur: Teile Ihrer letzten Übergabe von DDAS (Manifest mit Signatur, Übergabedaten, SBOM, Klassifizierungspapier-ZIP), vom Wizard aus dem hochgeladenen Übergabepaket übernommen
  • …_MANIFEST.sha256Prüfsumme je Datei im Paket

Alles in einer Datei (…_CRA-INPUT_DE.zip). Mit einer Schaltfläche melden Sie DDAS, dass das Paket fertig ist; dabei geht nur sein Prüfwert mit.

Was steckt im Übergabepaket von DDAS?

  • …_Pruefbericht.pdfPrüfbericht: welche Prüfungen Ihr Datenpaket und die Ergebnisse durchlaufen haben
  • …_DELIVERY.sha256 + .jwsPrüfsumme von Prüfbericht und Ergebnis-Paket, von DDAS signiert
  • …_CRA-RESULTS.zipdas Ergebnis-Paket, von DDAS signiert; darin:
  • SBOM/Software-Stückliste in CycloneDX 1.6 und 1.7 sowie SPDX 2.3 und 3.0.1, jede Datei von DDAS signiert
  • RiskAssessment/Risikoanalyse für Maschinenprogramm und Bibliotheken (PDF); bei einer neuen Version mit Ihren früheren Bewertungen neben den Befunden
  • Classification/Klassifizierungspapier als PDF und Ihr Klassifizierungspapier-ZIP (nur Weg A); bei einer neuen Version oder einer Korrektur dazu der Änderungsnachweis
  • Software/die Dateien aus Ihrem Ordner Original/ unverändert, z. B. Boot-Applikation und ausgelieferte Bibliotheken, bzw. das .package
  • …_Deckblatt.pdfDeckblatt: Übersicht der Lieferung in vier Abschnitten (ausgelieferte Artefakte, Grundlagen für die Analyse, CRA-Dokumente, Integrität prüfen)
  • …_CRA-ANNEX-I.jsonÜbersicht: welche Anforderungen des Anhangs I die Analyse strukturell prüft (für den DoC Wizard)
  • …_CRA-HANDOVER.jsonÜbergabedaten: Hersteller, Projekt, Version, Laufart; daran knüpft der Wizard beim nächsten Mal an
  • …_CRA-FINDINGS.jsondie Befunde der Risikoanalyse zum Einlesen (für den DoC Wizard)
  • …_MANIFEST.sha256 + .jwsPrüfsumme je Datei, von DDAS signiert

Alle Dokumente und Dateinamen in der Sprache Ihres Durchlaufs, alles in einer Datei (…_CRA-DELIVERY_DE.zip). Die Signatur lässt sich mit dem öffentlichen DDAS-Schlüssel auf keys.ddas.digital prüfen.

Was steckt im Erklärungspaket aus dem DoC Wizard?

  • …_Konformitaetserklaerung.pdfdie Konformitätserklärung zur Unterschrift, mit Unterschriftslinie
  • …_Begleitblatt_Konformitaetserklaerung.pdfBegleitblatt: Herkunft der Angaben und Ihre nächsten Aufgaben, z. B. CE-Kennzeichnung, Veröffentlichung, weitere Sprachen
  • …_Stellungnahme_Befunde.pdfIhre Bewertung jedes Befunds der Risikoanalyse, mit Begründung
  • …_Stellungnahme_Befunde.jsondieselben Bewertungen als Datei, für die nächste Version
  • …_Zwischenstand_DoC.jsonIhre Antworten und Bewertungen — damit lassen sich Erklärung und Stellungnahme später aktualisieren
  • …_MANIFEST.sha256Prüfsumme je Datei im Paket

Alles in einer Datei (…_CRA-DOC_DE.zip). Entsteht auf Ihrem Rechner und geht nicht an DDAS. Rechtlich maßgeblich ist erst die unterschriebene Erklärung (Karte 1 unten).

Gesamtablauf

Fünf Schritte zur CRA-Konformität

Wie Sie die Wizards bedienen, beschreibt das Handbuch: Schritt für Schritt, mit den Meldungen und ihrer Abhilfe.

Dieser Wizard deckt Schritt 2 ab. Er ist Teil eines fünfstufigen Gesamtprozesses, der auch die Software-Stückliste (SBOM), die Risikoanalyse und die EU-Konformitätserklärung umfasst.Dieser Wizard deckt Schritt 5 ab. Er baut auf dem Übergabepaket von DDAS auf, für die Konformitätserklärung zusätzlich auf Ihrem Klassifizierungspapier.

Auf einen Schritt klicken für Details.

  1. 1. Bestellung und Zugangscode

    DDAS + Hersteller

    Sie nehmen das Angebot an, auf Wunsch schließen Sie dazu ein NDA mit DDAS ab. Nach Zahlungseingang erhalten Sie mit der Lizenzbestätigung Ihren persönlichen Zugangscode für den Wizard.

    Mit der Bestellung gelten die Geschäftsbedingungen von DDAS; sie regeln auch die Vertraulichkeit Ihrer Projektdaten und deren Löschung. Wünschen Sie zusätzlich eine Vertraulichkeitsvereinbarung (NDA), auch nach Ihrer eigenen Vorlage, schließen wir sie mit der Bestellung ab, spätestens bevor Projektdaten an DDAS gehen. Nach Zahlungseingang vergibt DDAS den Zugangscode für Ihr Unternehmen; er steht in der Lizenzbestätigung. Bei einem neuen Projekt folgt ein Kick-off-Termin mit der Anleitung zu den Projektdaten und den Wizards. Wichtig von Anfang an: Die CRA-Klasse aus Schritt 2 ist vorläufig — endgültig erst nach Schritt 4. Ein Klassenwechsel kann das Konformitätsbewertungsverfahren ändern. Überlegen Sie auch, in welcher Sprache Sie die Dokumente brauchen; sie gilt für den ganzen Durchlauf.

  2. 2. Classification Wizard und Projektdaten

    HerstellerDieser Wizard

    Produktgrenze, rechtlicher Hersteller und CRA-Klasse werden strukturiert erfasst. Zusätzlich liefern Sie Ihre PLC-Projektdaten — die sind immer nötig, auch auf dem kurzen Weg ohne Fragebogen.

    Ergebnis: eine vorläufige Einordnung — endgültig erst nach Schritt 4.

    Erfasst werden unter anderem: was zum Produkt gehört und was ausdrücklich nicht, die Produktidentität (ggf. eine Produktfamilie), der rechtliche Hersteller und eine Kernfunktions-Prüfung gegen die 26 Kategorien wichtiger und kritischer Produkte nach Anhang III/IV CRA*. Am Ende bündelt der Wizard Ihre Projektdateien (Software-Export, Projektarchiv, Bibliotheken, Boot-Applikation; bei „Ohne Quelltext“ nur Boot-Applikation und kompilierte Bibliotheken, dazu die Liste aus dem Projektarchiv) zusammen mit dem erzeugten Klassifizierungspapier in einem geprüften Datenpaket. Ergebnis ist eine strukturierte Selbsteinschätzung — keine Rechtsberatung.

    WEG A

    Mit Klassifizierungspapier: der oben beschriebene Fragebogen, dann PLC-Projektdaten hochladen. Voraussetzung für die Konformitätserklärung mit dem CRA DoC Wizard.

    WEG B

    Nur SBOM & Risikoanalyse: Firmen- und Projektdaten erfassen und PLC-Projektdaten hochladen, ohne Fragebogen. Im DoC Wizard können Sie danach die Befunde bewerten; für die Konformitätserklärung fehlt das Klassifizierungspapier.

    In beiden Wegen prüft der Wizard Ihr Projekt-ZIP vor dem Versand und berechnet eine Prüfsumme. Was ins Projekt-ZIP gehört, zeigt „Projekt-ZIP · Aufbau“ oben. Optional laden Sie Ihr Firmenlogo hoch; es erscheint im Kopf aller Dokumente.

  3. 3. DDAS-Review-Gate

    DDASStrukturprüfung

    Hash-Abgleich und strukturelle Vollständigkeitsprüfung der eingereichten Unterlagen und Projektdateien.

    Keine inhaltliche oder rechtliche Bewertung.

    Geprüft wird zunächst ein Hash-Abgleich des eingereichten Datenpakets, danach die strukturelle Vollständigkeit der Wizard-Antworten und die Eingangsprüfung der Projektdateien selbst: Liegen die erwarteten Bestandteile vollständig und unbeschädigt vor? DDAS bewertet an dieser Stelle ausdrücklich nicht den Inhalt.

  4. 4. SBOM, Risikoanalyse & Übergabe

    DDAS

    Das CRA-AnalyseTool erstellt die Software-Stückliste und meldet Befunde im Code und in den Bibliotheken. Sie erhalten alles in einem von DDAS signierten Übergabepaket.

    Widerspricht ein Befund der vorläufigen Klasse, geht es zurück zu Schritt 2.

    Ob ein Befund ein Risiko ist, beurteilen Sie in Schritt 5.

    Das Übergabepaket (CRA-DELIVERY) enthält den Prüfbericht und das Ergebnis-Paket (CRA-RESULTS). Im Ergebnis-Paket liegen die Software-Stückliste (SBOM) in CycloneDX und SPDX, die Risikoanalyse und das Klassifizierungspapier als PDF, dazu ein Manifest mit einer Prüfsumme je Datei, signiert mit dem DDAS-Schlüssel. Die Signatur von DDAS deckt jede Datei der Übergabe ab. Damit belegen Sie gegenüber Ihren Kunden und der Marktüberwachung, woher SBOM und Risikoanalyse stammen und dass sie unverändert sind, ohne eigene Schlüssel verwalten zu müssen. Der Prüfbericht hält fest, welche Prüfungen Ihr Datenpaket und die Ergebnisse durchlaufen haben. Es ist die einzige Lieferung von DDAS. Zeigt die Risikobewertung, dass die vorläufige Einordnung nicht zutrifft, geht es mit den neuen Erkenntnissen zurück zu Schritt 2 — die vorherige Fassung bleibt erhalten.

  5. 5. Befunde bewerten und Konformitätserklärung

    HerstellerDieser WizardDoC Wizard optional

    Sie bewerten die Befunde der Risikoanalyse und stellen die EU-Konformitätserklärung aus. Der CRA DoC Wizard führt Sie durch beides.

    Pflicht sind Bewertung und Erklärung, nicht das Werkzeug: Sie können beides auch auf anderem Weg erstellen.

    Zu Beginn laden Sie das Übergabepaket hoch, für die Erklärung auch Ihr Klassifizierungspapier. Der Wizard prüft die DDAS-Signatur und zeigt beide Teile in einer Übersicht. Die Reihenfolge wählen Sie; empfohlen ist Teil 1 zuerst.

    TEIL 1

    Befunde bewerten: Die Risikoanalyse zeigt, was in Ihrem Code und in den Bibliotheken auffällt. Was davon für Ihr Produkt ein Risiko ist und wie Sie damit umgehen, wissen nur Sie. Sie halten es je Befund fest und begründen es. Daraus entsteht Ihre Stellungnahme als eigenes Dokument. Die Risikoanalyse von DDAS bleibt unverändert.

    TEIL 2

    Erklärung ausstellen: Dafür brauchen Sie Ihr Klassifizierungspapier. Der Wizard fragt die Angaben gezielt ab. Ergebnis ist die Konformitätserklärung mit Begleitblatt als PDF, in der Sprache des Klassifizierungspapiers; verlangt ein Mitgliedstaat weitere Sprachen, nennt das Begleitblatt sie als Aufgabe. Unterschreiben Sie von Hand und scannen Sie ein, oder signieren Sie qualifiziert elektronisch.

    Was fertig ist, liegt im Erklärungspaket (CRA-DOC). Es entsteht auf Ihrem Rechner und geht nicht an DDAS; Unterschrift und Verantwortung liegen beim Hersteller.

  6. Nächste Version

    Hersteller + DDASzurück zu Schritt 2

    Ändert sich Ihre Software, läuft der Ablauf ab Schritt 2 erneut. Was Sie schon erarbeitet haben, geht mit.

    Frühere ÜbergabeHeben Sie jede Lieferung von DDAS auf. Beim nächsten Mal laden Sie die letzte wieder hoch, den Rest macht der Wizard. DDAS vergleicht die neue Version mit der früheren.
    Ihre StellungnahmeLegen Sie sie dem Datenpaket bei. Die neue Risikoanalyse führt sie neben den Befunden.
    Was sich geändert hatUnveränderte Befunde bleiben bewertet. Was sich an Software, Papier und Befunden geändert hat, sehen Sie im Änderungsnachweis. Haben Sie nur Ihr Papier korrigiert, erkennt DDAS das.

    Solange sich Produktgrenze und Kernfunktion nicht ändern, genügt der Weg „Nur SBOM & Risikoanalyse“.

Nach dem Abschluss

Was Sie aufbewahren müssen

Der CRA* verlangt zwei Dinge: die technische Dokumentation und die Konformitätserklärung — mindestens 10 Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum, je nachdem, was länger ist (Art. 13 Abs. 13 CRA*). Für jede Produktversion ein eigener Satz.

Pflicht nach CRA

1 · Pflicht

Konformitätserklärung, unterschrieben

Was
Ihre Erklärung, dass das Produkt die Anforderungen erfüllt, unterschrieben von einer berechtigten Person.
Woher
Mit dem CRA DoC Wizard (Karte 4) oder auf anderem Weg erstellt.
Warum
Pflicht für jedes Produkt, das ab dem 11.12.2027 in Verkehr kommt (Art. 13 Abs. 12, Art. 28 CRA*). Maßgeblich ist die unterschriebene Fassung.
2 · Pflicht

Technische Dokumentation

Was
Alle Unterlagen, die die Konformität belegen (Anhang VII CRA*).…_CRA-DELIVERY_DE.zip
Woher
Teils aus dem Übergabepaket von DDAS (DDAS behält keine Kopie, bitte selbst archivieren), teils von Ihnen — siehe Kasten unten. Zur Bewertung der Cybersicherheitsrisiken gehört neben der Risikoanalyse von DDAS auch Ihre Stellungnahme zu den Befunden.
Warum
Pflicht (Art. 13 Abs. 12, Art. 31 CRA*); die Marktüberwachung kann sie anfordern.

Empfohlen als Beleg

3 · Empfohlen

Ihr Datenpaket an DDAS

Was
Klassifizierungspapier mit Ihren Antworten (falls erstellt) und Ihre PLC-Projektdaten — genau so, wie Sie sie eingereicht haben.…_CRA-INPUT_DE.zip
Woher
Am Ende des CRA Classification Wizard, Schritt 2.
Warum
Belegt, auf welcher Datengrundlage DDAS analysiert hat.
4 · Empfohlen

Ergebnis des CRA DoC Wizard

Was
Das Erklärungspaket: die Konformitätserklärung als PDF zur Unterschrift, ein Begleitblatt mit Ihren nächsten Aufgaben, Ihre Stellungnahme zu den Befunden und Ihre Antworten als Datei.…_CRA-DOC_DE.zip
Woher
Auf der Übersicht des CRA DoC Wizard, Schritt 5 — nur wenn Sie ihn nutzen.
Warum
Aus dem PDF wird mit Ihrer Unterschrift Karte 1. Begleitblatt und Antworten zeigen, wie die Erklärung entstanden ist. Die Stellungnahme belegt, wie Sie mit den gemeldeten Befunden umgegangen sind.

Karte 2 im Detail · Technische Dokumentation nach Anhang VII CRA*

Unser Paket ist ein Teil Ihrer technischen Dokumentation — nicht die ganze.

Anhang VII listet, was in die technische Dokumentation gehört. Links steht, welche dieser Teile Sie von DDAS bzw. aus dem DoC Wizard erhalten, rechts, was Sie selbst beisteuern.

Erhalten Sie im Übergabepaket · Schritt 4

  • Software-Stückliste (SBOM): Liste aller Softwarebestandteile Ihres Produkts, in CycloneDX 1.6/1.7 und SPDX 2.3/3.0.1, von DDAS signiert.deckt ab: Anhang VII Nr. 2b und 8
  • Risikoanalyse: Bewertung der Cybersicherheitsrisiken Ihres Maschinenprogramms und der Bibliotheken.Beitrag zu: Anhang VII Nr. 3
  • Klassifizierungspapier als PDF: Zweckbestimmung, Produktgrenze, Softwareversion und CRA-Klasse.Beitrag zu: Anhang VII Nr. 1a, 1b
  • Signiertes Manifest: eine Prüfsumme je Datei. Damit lässt sich jederzeit belegen, dass die Lieferung von DDAS stammt und unverändert ist.

Erzeugen Sie mit dem DoC Wizard · Schritt 5

  • Stellungnahme zu den Befunden: Ihre Bewertung der Befunde der Risikoanalyse, als Beitrag zu Ihrer Risikobewertung.Beitrag zu: Anhang VII Nr. 3
  • Angaben zu angewandten Normen: welche harmonisierten Normen oder Spezifikationen Sie angewandt haben.deckt ab: Anhang VII Nr. 5 (Aufstellung)
  • Konformitätserklärung: der Entwurf zur Unterschrift.deckt ab: Anhang VII Nr. 7

Noch von Ihnen zu liefern

  • Nutzerinformationen nach Anhang II, z. B. Supportende, Update-Weg, MeldekontaktAnhang VII Nr. 1d
  • Konzeption und Entwicklung, SystemarchitekturAnhang VII Nr. 2a
  • Schwachstellen-Prozess: Offenlegungskonzept, Meldekontakt, sichere Update-VerteilungAnhang VII Nr. 2b
  • Herstellungs- und ÜberwachungsprozesseAnhang VII Nr. 2c
  • Risikobewertung des ganzen Produkts im vorgesehenen EinsatzAnhang VII Nr. 3
  • Grundlagen des UnterstützungszeitraumsAnhang VII Nr. 4
  • Test- und Prüfberichte zu Anhang IAnhang VII Nr. 6
  • Bei Hardware: Fotos und AbbildungenAnhang VII Nr. 1c

Einordnung von DDAS, keine Rechtsberatung.

Rechtsgrundlage

* CRA = Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung), ABl. L, 2024/2847, 20.11.2024. Alle Angaben „Art.“ und „Anhang“ auf dieser Seite beziehen sich auf diese Verordnung. Volltext auf EUR-Lex

Auch DDAS erfüllt als Hersteller die Pflichten für die eigenen Produkte: Sicherheitsmeldungen, Offenlegungsrichtlinie und CSAF-Feed stehen auf security.ddas.digital.

Weiter zum ZugangscodeWeiter zum Zugangscode

Die Wizards unterstützen bei der Einordnung, bei der Bewertung der Befunde und bei der Erstellung der EU-Konformitätserklärung nach dem Cyber Resilience Act. Für die inhaltliche Richtigkeit bleibt der Hersteller verantwortlich — dies ist keine Rechtsberatung.

Woher die Inhalte stammen. Die Fragen und Hinweise der Wizards geben die Verordnung (EU) 2024/2847 und die Leitlinien der Europäischen Kommission wieder; die Quellen stehen bei jeder Frage unter „Rechtliche Grundlagen“. Die Antworten geben Sie als Hersteller, denn nur Sie kennen Ihr Produkt. Bei Fragen zur Bedienung der Wizards hilft Ihnen DDAS unter [email protected]. Wie Ihr Produkt einzuordnen ist und welche Antwort zutrifft, entscheiden Sie selbst; bei Zweifeln ziehen Sie Ihre Rechtsberatung hinzu. Wie ein fertiges Paket aussieht und welche Entscheidungen im Klassifizierungspapier stecken, zeigt das Beispielpaket eines erfundenen Maschinenbauers mit Leitfaden.

CRA-Paket 2026.1