Blackfort Technology
Anhang VII · Anhang II · Art. 32

Dokumentation und Konformität

CRA: technische Dokumentation erstellen und Konformitätsbewertung vorbereiten

Ab dem 11. Dezember 2027 braucht jedes Produkt mit digitalen Elementen im Anwendungsbereich des CRA, das neu in Verkehr gebracht wird, die technische Dokumentation nach Anhang VII, die Nutzerinformationen nach Anhang II, eine Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung. Wir bauen die Unterlagen mit Ihren Teams auf und bereiten die Bewertung vor.

Unterstützung anfragenMit der Gap-Analyse starten

Was in die technische Dokumentation gehört

Anhang VII nennt den Mindestinhalt, unter anderem: allgemeine Produktbeschreibung mit Zweckbestimmung, sicherheitsrelevanten Softwareversionen und Nutzerinformationen; Beschreibung von Konzeption, Entwicklung und Herstellung samt Systemarchitektur und Verfahren zur Behandlung von Schwachstellen einschließlich SBOM und CVD-Konzept; die Risikobewertung nach Art. 13; die Grundlagen des Unterstützungszeitraums; angewandte Normen oder Spezifikationen; Test- und Prüfberichte; die EU-Konformitätserklärung.

Die Dokumentation wird vor dem Inverkehrbringen erstellt, gegebenenfalls, mindestens während des Unterstützungszeitraums, laufend aktualisiert und mindestens zehn Jahre oder für den Unterstützungszeitraum aufbewahrt, je nachdem, was länger ist (Art. 13 Abs. 13, Art. 31). Welcher Bewertungsweg gilt, hängt von der Produktklasse ab (Art. 32).

Matrix der Konformitätsbewertungsverfahren nach Art. 32 CRA. Spalten: Modul A interne Kontrolle durch den Hersteller allein; Modul B plus C, EU-Baumusterprüfung und anschließend interne Fertigungskontrolle, mit notifizierter Stelle; Modul H umfassende Qualitätssicherung, mit notifizierter Stelle; europäisches Schema für die Cybersicherheitszertifizierung. Zeile Standard, alle übrigen Produkte (Art. 32 Abs. 1): Modul A, B plus C und H zulässig, Zertifizierung zulässig, sofern verfügbar und anwendbar. Zeile wichtige Produkte Klasse I nach Anhang III (Abs. 2): Modul A nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines Zertifizierungsschemas mindestens der Vertrauenswürdigkeitsstufe „mittel“; B plus C und H zulässig; Zertifizierung, sofern verfügbar und anwendbar, mit mindestens Stufe „mittel“ und vollständig angewandt. Zeile wichtige Produkte Klasse II nach Anhang III (Abs. 3): Modul A nicht vorgesehen; B plus C und H zulässig; Zertifizierung zulässig, sofern verfügbar und anwendbar, mindestens Stufe „mittel“. Zeile kritische Produkte nach Anhang IV (Abs. 4): Modul A nicht vorgesehen; Zertifizierung nach Art. 8 Abs. 1; wenn die Bedingungen des Art. 8 Abs. 1 nicht erfüllt sind, die Verfahren wie bei Klasse II, also B plus C, H oder Zertifizierung. Hinweis, vereinfacht: Hersteller freier und quelloffener Software in den Kategorien des Anhangs III können ein Verfahren nach Abs. 1 wählen, wenn die technische Dokumentation beim Inverkehrbringen öffentlich zugänglich ist (Art. 32 Abs. 5).
Konformitätsbewertungsverfahren je Produktkategorie, vereinfacht. Fundstelle: Art. 32 VO (EU) 2024/2847.

Leistungsbausteine

Je Produkt, aufbauend auf dem, was bereits vorliegt.

Gliederung nach Anhang VII

Struktur der Dokumentation je Produkt, Zuordnung vorhandener Unterlagen, Liste der Lücken.

Risikobewertung

Dokumentierte Cybersicherheits-Risikobewertung je Produkt, aus Architektur und Code abgeleitet und bei Änderungen erneut ausführbar.

Fachartikel Risikobewertung

Nutzerinformationen nach Anhang II

Kontaktstelle für Schwachstellen, Zweckbestimmung, sichere Inbetriebnahme und Updates, Art und Enddatum des Unterstützungszeitraums.

Nachweise zu Anhang I

Je Anforderung, wie sie umgesetzt ist und womit das belegt wird, einschließlich Ihrer vorhandenen Test- und Prüfberichte.

Bewertungsweg vorbereiten

Technische Einschätzung von Produktklasse und Verfahren (Modul A, B und C, H oder Zertifizierung), Vorbereitung der Unterlagen für eine notifizierte Stelle, wo nötig.

Konformitätsbewertung erklärt

Lieferkette und Übergabe

Liefern Sie Software an andere Hersteller, legen wir fest, welche Teile Sie je Release übergeben und in welcher Form.

Was Sie in der Hand haben

Unterlagen, mit denen Sie in die Konformitätsbewertung gehen können.

  1. 01

    Dokumentationspaket je Produkt

    Gegliedert nach Anhang VII, mit Verweisen auf die Nachweise.

  2. 02

    Nutzerinformationen

    Inhalte nach Anhang II, bereit für Handbuch, Website oder Verpackung.

  3. 03

    Zuarbeit zur Konformitätserklärung

    Angaben nach Art. 28 und Anhang V, zur Ausstellung und Unterzeichnung durch Sie.

  4. 04

    Pflegeregel

    Wer die Dokumentation bei welchem Anlass aktualisiert.

Vorgehen

Vom Bestand zu bewertungsfähigen Unterlagen.

  1. 1

    Kostenloses Erstgespräch

    Produkte, vorhandene Unterlagen, Termine. Danach ein Angebot mit klar abgegrenztem Umfang.

  2. 2

    Sichtung

    Vorhandene Dokumente und Nachweise aufnehmen und Anhang VII zuordnen.

  3. 3

    Lücken schließen

    Risikobewertung, Nachweise zu Anhang I, Nutzerinformationen erstellen.

  4. 4

    Bewertung vorbereiten

    Unterlagen für den gewählten Weg zusammenstellen.

  5. 5

    Übergabe

    Paket, Zuarbeit zur Konformitätserklärung und Pflegeregel.

Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology

Ihr Ansprechpartner

Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology

Ihre Anfrage nimmt Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology, gern persönlich entgegen. Im kostenlosen Erstgespräch klären Sie gemeinsam, was Sie brauchen; die Beratung übernimmt das Team von Blackfort Technology.

Profil auf LinkedIn

CE-Kennzeichnung für Software

Auch reine Software trägt nach dem CRA eine CE-Kennzeichnung, wenn sie ein Produkt mit digitalen Elementen ist. Weil sie sich nicht auf ein Gehäuse drucken lässt, wird sie entweder auf der EU-Konformitätserklärung oder auf der Website angebracht, die das Softwareprodukt begleitet; dieser Abschnitt der Website muss für Verbraucher leicht und direkt zugänglich sein (Art. 30 Abs. 1).

Voraussetzung sind wie bei Hardware die technische Dokumentation, die Konformitätsbewertung auf dem passenden Weg und die EU-Konformitätserklärung. Wir bereiten diese Unterlagen mit Ihren Teams vor; die Erklärung stellen Sie als Hersteller aus.

Abgrenzung

Damit die Erwartungen stimmen:

  • Wir sind keine notifizierte Stelle, stellen keine Zertifikate aus und unterzeichnen keine Konformitätserklärung; das tun Sie als Hersteller.
  • Keine Rechtsdienstleistung: Produktklasse und Bewertungsweg schätzen wir technisch ein; die rechtliche Entscheidung trifft Ihre Rechtsabteilung oder Kanzlei.
  • Wir führen keine Penetrationstests durch.

Die Pflichten aus dem CRA bleiben bei Ihrem Unternehmen. Wir unterstützen Sie dabei, sie zu erfüllen und nachzuweisen.

Häufige Fragen

Ab wann brauchen wir die technische Dokumentation?+

Für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, vor dem Inverkehrbringen. Für den Aufbau braucht es die Risikobewertung und Nachweise zu Anhang I, die wiederum Vorlauf haben.

Brauchen wir eine notifizierte Stelle?+

Das hängt von der Produktklasse ab. Ohne Eintrag in Anhang III oder IV genügt die interne Kontrolle (Modul A). Bei Klasse I genügt sie nur, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Stufe „mittel“ vollständig angewandt werden; sonst ist eine notifizierte Stelle einzubeziehen (Modul B und C oder H). Bei Klasse II und bei kritischen Produkten ist eine Bewertung durch Dritte vorgesehen. Für freie und quelloffene Software aus Anhang III gilt eine Ausnahme (Art. 32 Abs. 5).

Können wir vorhandene Unterlagen nutzen?+

Ja. Dokumente aus bestehenden Zertifizierungen, Entwicklungsprozessen und Produktakten ordnen wir Anhang VII zu und ergänzen nur, was fehlt.

Was kostet die Erstellung der technischen Dokumentation?+

Das hängt von der Zahl der Produkte, der Produktklasse und dem Stand Ihrer Unterlagen ab. Nach einem kostenlosen Erstgespräch erhalten Sie ein Angebot mit klar abgegrenztem Umfang.

Zum Weiterlesen

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information zum Cyber Resilience Act (Verordnung (EU) 2024/2847) und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i.S.d. RDG).

Stand: 2026-10-09

Kontakt aufnehmen

Dokumentation und Konformität vorbereiten

Nennen Sie uns Ihre Produkte und den Stand Ihrer Unterlagen. Das Erstgespräch ist kostenlos und unverbindlich; wir melden uns in der Regel innerhalb von ein bis zwei Arbeitstagen.

Unterstützung anfragenGap-Analyse als Einstieg