Ab dem 11. September 2026 müssen Softwarehersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA melden. Ab Dezember 2027 droht ohne CE-Kennzeichnung der Marktrückzug — und Bußgelder von bis zu 15 Millionen Euro. Wir machen Sie compliant, ohne dass Sie ein eigenes Compliance-Team aufbauen müssen.
Genau hier stehen die meisten KMU heute — irgendwo zwischen „Wir kümmern uns nächstes Quartal" und „Mein Entwicklungsteam hat keine Zeit für Compliance".
Statt einer 80-seitigen Kanzlei-Analyse: Ein KI-gestützter Onboarding-Wizard sagt Ihnen heute, ob Ihr Produkt CRA-pflichtig ist, in welche Klasse es gehört und welches Konformitätsverfahren passt.
Aus Ihrem Repository erzeugen wir CycloneDX 1.5 + SPDX 2.3 automatisch — konform zu BSI TR-03183-2, archiviert für 10+ Jahre. Statt 8 Wochen Excel-Krieg.
Täglicher Abgleich gegen NVD, OSV, GitHub Advisory, CISA KEV. KI-priorisierte Alerts mit CVSS + EPSS — bevor die 24-h-Uhr beginnt.
Annex VII, Annex V, CE-Vorbereitung — die Plattform schreibt die Dokumente, Sie prüfen. Inklusive Artikel-Referenz pro Abschnitt.
3-Stufen-Workflow mit vorausgefüllten ENISA-Formularen für BSI (DE), CERT.at (AT), CERT-CH (CH). Fristtracking, Audit-Log, automatische Eskalation.
On-Premise-Modus für Codeanalyse und SBOM-Generierung. Keine Uploads, keine Drittanbieter-Cloud. Source ist Ihr wertvollstes Gut — bei uns bleibt das so.
Die Pflichten unterscheiden sich. Und damit auch unsere Empfehlung.
„Sobald Sie eine Desktop-App, einen Agenten oder ein Browser-Plugin haben, wird Ihr Cloud-Backend zur Datenfernverarbeitungslösung. Sie sind RDPS — und damit voll CRA-pflichtig."
Beispiel: Ein Logging-Tool mit Agent auf den Endgeräten der Kunden. Konsequenz: SBOM-Pflicht für Agent und Backend, Schwachstellenmanagement für die gesamte Pipeline, Meldepflicht ab 09/2026.
SaaS-Abgrenzung im Detail →„IoT-Geräte sind nahezu immer CRA-pflichtig — und bei Sicherheitsfunktionen schnell in Klasse I oder II nach Anhang III."
Beispiel: Vernetzte Sensoren, Smart-Home-Hubs, Industrial Gateways. Konsequenz: Konformitätsbewertung durch notifizierte Stelle möglich, SBOM und Update-Mechanismus über die gesamte Lebensdauer.
Klassen-Check starten →„Auch wer keine RDPS betreibt, hat unter Art. 13 CRA abgestufte Pflichten — Due-Diligence für Drittanbieter und Risikobewertung für nicht-funktionale Datenverbindungen."
Beispiel: SDK, Library, OEM-Software, White-Label-Lösung. Konsequenz: Vertragliche Weitergabe, Komponenten-SBOM, Lieferketten-Sicherheit.
Art. 13 erklärt →Jede Funktion ist direkt auf Artikel und Anhänge der Verordnung (EU) 2024/2847 zurückführbar. Keine vagen „Best Practices" — sondern Verordnungstext mit Spalten-Verweis.
Unsere KI generiert Dokumente, klassifiziert Produkte und priorisiert Schwachstellen. Aber kritische Entscheidungen treffen Sie. Wir streben ISO 42001 an und entwickeln die Plattform selbst AI-Act-konform.
Als Cybersecurity-Unternehmen arbeiten wir auf ISO 27001, ISO 27701 und ISO 42001 hin. Daten bleiben in der EU/CH, On-Premise möglich, Verschlüsselung in Transit und at Rest.
Über das EU-Programm SECURE, KfW ERP-Digitalisierung, go-digital, Digitalbonus Bayern, MID NRW, DIGI-Zuschuss Hessen und weitere Programme. Ein Enterprise-Paket inklusive Onboarding und Gap-Analyse kann so auf effektiv ca. 6.500 € sinken.
Acht Tiefenartikel zu RDPS-Abgrenzung, SBOM-Praxis, AI-Act-Schnittstelle, Meldepflichten und Hochrisiko-KI. Geschrieben für Entscheider, die wissen wollen, was wirklich gilt.
Kostenlose Erstberatung: Wir prüfen gemeinsam, ob Ihr Produkt unter den CRA fällt, in welche Klasse es gehört und welche nächsten Schritte sinnvoll sind.