Jetzt bereit für die Meldepflichten, 2027 für die CE-Kennzeichnung. Die Agenten von GetTeddy klassifizieren Ihre Produkte, ordnen die grundlegenden Anforderungen zu und betreiben den Meldeprozess. Ein Compliance Engineer hilft Ihnen bei der Vorbereitung auf die Konformitätsbewertung.
Geprüft von Sven Moritz, ehemaliger CISO · Oktober 2026
TeddyGap Audit Agent×Ihr ISMS deckt schon viel von dem ab, was der CRA von Ihrer Organisation erwartet. GetTeddy führt ein gemeinsames Control-Set für ISO 27001, NIS2 und den CRA und zeigt nur, was jedes Produkt ergänzt.
Beispiel aus einem Demo-Unternehmen. Ihre Zahlen liefert Ihr erstes Gap-Audit.
Die Agenten von GetTeddy klassifizieren, ordnen zu und verfolgen jedes Produkt. Produkt- und Security-Teams entscheiden.
GetTeddy baut das Produktinventar auf und schlägt für jedes Produkt eine Klasse mit Begründung vor, damit Produkt und Rechtsabteilung sie bestätigen können.
Jedes Produkt wird gegen Anhang I geprüft. Controls, die Sie für ISO 27001 betreiben, etwa sichere Entwicklung und Incident Handling, zählen dort, wo sie greifen.
Der Evidence Agent sammelt SBOMs aus verbundenen Repositories und überwacht Schwachstellen in den Komponenten, die Sie ausliefern.
gateway-firmware · SBOMCollectedDer Policy Agent entwirft den Prozess nach Art. 14 mit Rollen, Kriterien und Vorlagen, damit alle wissen, wer entscheidet und wer meldet.
Risikobewertung, Zuordnung zu Anhang I, SBOM und Support-Zeitraum ergeben zusammen die technische Dokumentation für Ihre Konformitätsbewertung.
Weniger als die Hälfte der Hersteller erwartet, bis Dezember 2027 vollständig konform zu sein. Das Bewusstsein ist hoch, die Umsetzung bleibt gering.
Mit GetTeddyIn wenigen WochenProdukte klassifiziert, Anhang I zugeordnet, SBOMs und Support-Zeiträume erfasst und ein Meldeprozess nach Art. 14 eingerichtet, lange vor Dezember 2027.
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Ab Dezember 2027 muss jedes in Verkehr gebrachte Produkt die grundlegenden Anforderungen erfüllen.
GetTeddy klassifiziert jedes Produkt und zeigt, wie es bewertet werden muss.
Ein benannter Verantwortlicher und ein getesteter Prozess für Meldungen über die ENISA-Plattform.
Risikobewertung, Liste der Softwarekomponenten (SBOM) und Update-Zeitraum, für jedes Release erfasst.
Eine ausgenutzte Schwachstelle trifft die Gateway-Firmware, das Produktteam sieht Security in der Pflicht, Security verweist auf die Rechtsabteilung, und die SBOM ist eine Tabelle vom letzten Jahr. ChatGPT kann Art. 14 erklären, kennt aber Ihre Produkte nicht. GetTeddy ordnet jedes Produkt seinen Pflichten zu und betreibt den Meldeprozess mit benannten Verantwortlichen.
Der CRA ist eine EU-Verordnung und gilt unmittelbar für Produkte mit digitalen Elementen auf dem EU-Markt, von vernetzten Geräten bis zu installierbarer Software. Die meisten Pflichten treffen Hersteller.
Prüfen, welche Produkte betroffen sind und ob jedes ein Standardprodukt, ein wichtiges Produkt (Klasse I oder II) oder ein kritisches Produkt ist. Die Klasse bestimmt den Weg der Konformitätsbewertung.
Jedes Produkt wird auf Basis einer Cybersicherheits-Risikobewertung konzipiert, entwickelt und hergestellt und erfüllt die grundlegenden Anforderungen, etwa sichere Standardeinstellungen und Schutz vor unbefugtem Zugriff.
Eine SBOM, die mindestens die obersten Abhängigkeiten abdeckt, eine Policy zur koordinierten Offenlegung von Schwachstellen und kostenlose Sicherheitsupdates während des Support-Zeitraums.
Hersteller legen einen Support-Zeitraum fest, der der erwarteten Nutzungsdauer entspricht, in der Regel mindestens fünf Jahre, und behandeln Schwachstellen in dieser Zeit wirksam.
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle werden über die zentrale Meldeplattform der ENISA an das koordinierende CSIRT und die ENISA gemeldet: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden, dann ein Abschlussbericht.
Technische Dokumentation, eine Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung, bevor ein Produkt in Verkehr gebracht wird.
Die Meldepflichten gelten seit September 2026, mehr als ein Jahr vor der vollen Anwendung. Sie gelten auch nach dem Ende des Support-Zeitraums eines Produkts weiter.
Die Registrierung auf der Plattform dauert, und Meldungen laufen vorerst manuell. Wer sich erst im Ernstfall registriert, verliert die ersten Stunden mit der Einrichtung statt mit der Meldung.
Er bestimmt, wie lange Sie Schwachstellen behandeln und Updates liefern müssen. Stimmen Sie ihn mit den Teams ab, die liefern müssen, bevor Sie ihn veröffentlichen.
Reines SaaS fällt in der Regel nicht unter den CRA. Datenfernverarbeitung, die ein Produkt für seine Funktionen braucht, ist als Teil dieses Produkts erfasst. GetTeddy prüft jedes Produkt und seine Cloud-Komponenten.
Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026, auch für früher in Verkehr gebrachte Produkte. Die grundlegenden Anforderungen und die CE-Kennzeichnung gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Das hängt von der Klasse ab. Standardprodukte können die interne Kontrolle nutzen. Wichtige Produkte der Klasse I ebenfalls, wenn sie harmonisierte Normen oder Zertifizierungsschemata vollständig anwenden. Produkte der Klasse II und kritische Produkte brauchen eine Bewertung durch Dritte oder ein europäisches Zertifizierungsschema.
Ja. Ein Compliance Engineer hilft bei der Produktklassifizierung, bei der Suche nach einer benannten Stelle, wo nötig, und bereitet die technische Dokumentation mit Ihnen vor.
Ihr ISMS deckt organisatorische Controls ab, etwa Incident Handling, sichere Entwicklung und Lieferantensicherheit. Der CRA ergänzt Pflichten pro Produkt: Risikobewertung, SBOM, Support-Zeitraum, technische Dokumentation und CE-Kennzeichnung.
In der Region Ihrer Wahl: EU, Deutschland oder USA. Die Daten jedes Kunden werden getrennt und verschlüsselt gespeichert. GetTeddy verbindet sich standardmäßig nur lesend und trainiert nicht mit Kundendaten. Details finden Sie auf unserer Security-Seite.
Sehen Sie es in einer 30-minütigen Demo an Ihren eigenen Produkten.
# product-security9
SBOM_gateway_2025.xlsx