Technische Dokumentation nach Anhang VII CRA: Was in die Akte gehört
Artikel 31 der Verordnung (EU) 2024/2847 verlangt für ein Produkt mit digitalen Elementen eine technische Dokumentation. Anhang VII zählt auf, was sie mindestens enthalten muss. Sie wird erstellt, bevor das Produkt in Verkehr gebracht wird, und gegebenenfalls mindestens während des Unterstützungszeitraums fortlaufend aktualisiert. Wie die meisten Pflichten des Cyber Resilience Act gilt das ab dem 11. Dezember 2027. Dieser Ratgeber geht die acht Nummern des Anhangs VII durch, zeigt, wie Sie die Dokumentation je Produkt ordnen, und nennt die Teile, die sich nicht aus ohnehin vorhandenen Daten füllen lassen. Er fasst die Verordnung zusammen und ist keine Rechtsberatung: Maßgeblich ist der Text im Amtsblatt, und Ihr Team beurteilt, wie er auf Ihr Produkt anzuwenden ist.
Aktualisiert am 5. Oktober 2026
So führt Attesly CRA-Nachweise je Produkt · Attesly-Tarife und Preise
Was Anhang VII aufzählt
| Nummer | Inhalt der technischen Dokumentation |
|---|---|
| 1. Allgemeine Beschreibung | Die Zweckbestimmung; die Softwareversionen, die sich auf die Erfüllung der grundlegenden Cybersicherheitsanforderungen auswirken; bei einem Hardwareprodukt Fotografien oder Abbildungen, aus denen äußere Merkmale, Kennzeichnungen und innerer Aufbau hervorgehen; die Informationen und Anleitungen für die Nutzer nach Anhang II. |
| 2. Konzeption, Entwicklung, Herstellung und Behandlung von Schwachstellen | Die erforderlichen Angaben zu Konzeption und Entwicklung, gegebenenfalls mit Zeichnungen und Schemata und/oder einer Beschreibung der Systemarchitektur; die Verfahren zur Behandlung von Schwachstellen einschließlich der Software-Stückliste (SBOM), des Konzepts für die koordinierte Offenlegung von Schwachstellen, des Nachweises, dass eine Kontaktadresse für die Meldung von Schwachstellen bereitgestellt wird, und einer Beschreibung der gewählten technischen Lösungen für die sichere Verbreitung von Aktualisierungen; die Herstellungs- und Überwachungsprozesse und deren Validierung. |
| 3. Bewertung der Cybersicherheitsrisiken | Die Bewertung der Cybersicherheitsrisiken, die bei Konzeption, Entwicklung, Herstellung, Lieferung und Wartung des Produkts nach Artikel 13 berücksichtigt werden, einschließlich der Frage, inwieweit die grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I Anwendung finden. |
| 4. Unterstützungszeitraum | Die einschlägigen Informationen, die bei der Festlegung des Unterstützungszeitraums nach Artikel 13 Absatz 8 berücksichtigt wurden. |
| 5. Normen und Spezifikationen | Eine Aufstellung der vollständig oder teilweise angewandten harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung; wurden sie nicht angewandt, eine Beschreibung der Lösungen, mit denen die grundlegenden Cybersicherheitsanforderungen erfüllt werden, samt einer Aufstellung der sonstigen angewandten einschlägigen technischen Spezifikationen; bei teilweiser Anwendung die Angabe der angewandten Teile. |
| 6. Prüfberichte | Berichte über die Tests und Prüfungen, mit denen die Konformität des Produkts und der Verfahren zur Behandlung von Schwachstellen mit den geltenden grundlegenden Cybersicherheitsanforderungen aus Anhang I Teile I und II überprüft wurde. |
| 7. EU-Konformitätserklärung | Ein Exemplar der EU-Konformitätserklärung. |
| 8. Software-Stückliste (SBOM) | Gegebenenfalls die Software-Stückliste auf begründetes Verlangen einer Marktüberwachungsbehörde, sofern diese sie benötigt, um die Einhaltung der grundlegenden Cybersicherheitsanforderungen aus Anhang I zu prüfen. |
Anhang VII verlangt mindestens diese Angaben, soweit sie für das jeweilige Produkt zutreffen. Die Tabelle kürzt den Wortlaut. Lesen Sie die Nummern in der Verordnung selbst nach, bevor Sie sich darauf stützen.
Wo diese acht Punkte zwischen allen übrigen Pflichten stehen, zeigt die Cyber Resilience Act Checkliste.
Je Produkt aufbauen
Die technische Dokumentation beschreibt ein Produkt in den Versionen, die auf dem Markt sind, nicht das Unternehmen als Ganzes. Daraus ergibt sich der Aufbau.
- Eine Dokumentation je Produkt, mit den Softwareversionen, für die sie gilt. Fragen Sie bei jeder neuen Version, welche Nummern sich ändern.
- Die Reihenfolge des Anhangs VII beibehalten. Wer liest, findet jede Nummer dort, wo die Verordnung sie führt, und eine leere Nummer bleibt sichtbar.
- Eigene Dokumente eigenständig lassen. Risikobewertung, Nutzerinformationen nach Anhang II und EU-Konformitätserklärung sind eigene Dokumente und zugleich Teil der Dokumentation. Verweisen Sie auf die aktuelle Fassung, statt Text zu kopieren.
- Festhalten, was nicht anwendbar ist, und warum. Ergibt die Risikobewertung, dass eine grundlegende Cybersicherheitsanforderung auf das Produkt nicht anwendbar ist, gehört die Begründung nach Artikel 13 Absatz 4 in die technische Dokumentation.
- Eine einzige Dokumentation bei Hochrisiko-KI-Systemen. Für Produkte nach Artikel 12 (Hochrisiko-KI-Systeme), die auch anderen Rechtsakten der Union unterliegen, in denen eine technische Dokumentation vorgesehen ist, sieht Artikel 31 Absatz 3 eine einzige technische Dokumentation vor.
Aktuell halten
Nach Artikel 31 Absatz 2 wird die Dokumentation erstellt, bevor das Produkt in Verkehr gebracht wird, und gegebenenfalls mindestens während des Unterstützungszeitraums fortlaufend aktualisiert. Wie lange sie für die Marktüberwachungsbehörden bereitzuhalten ist, regelt Artikel 13 Absatz 13. In der Praxis ändert sich die Dokumentation, wenn sich das Produkt ändert:
- Eine neue Softwareversion, die sich auf die grundlegenden Cybersicherheitsanforderungen auswirkt (Nummer 1).
- Eine neue SBOM oder eine Änderung an Komponenten oder Architektur (Nummer 2).
- Ein neu bewerteter Unterstützungszeitraum (Nummer 4).
- Geänderte Normen oder Spezifikationen, auf die Sie sich stützen (Nummer 5).
- Neue Prüfberichte (Nummer 6).
- Eine wesentliche Änderung nach Artikel 3 Nummer 30. Ob sie vorliegt, müssen Sie nachvollziehbar beurteilen können.
Bewahren Sie frühere Fassungen auf. Sie zeigen, was in der Dokumentation stand, als eine bestimmte Version in Verkehr gebracht wurde.
Nachweise, die oft noch offen sind
Manche Nummern ergeben sich aus Daten, die ein Team ohnehin führt: Produkt, Version, SBOM. Andere brauchen Text oder Belege, die jemand schreiben oder zusammentragen muss. Diese Punkte kann die Vorlage in Attesly nicht aus der Produktakte füllen und kennzeichnet sie als noch zu ergänzen:
- Die Systemarchitektur (Nummer 2): wie die Softwarekomponenten aufeinander aufbauen oder ineinandergreifen, mit Zeichnungen und Schemata, soweit vorhanden.
- Die sichere Verbreitung von Aktualisierungen (Nummer 2): eine Beschreibung der gewählten technischen Lösungen. Sie steht mitten im Teil zur Behandlung von Schwachstellen und wird leicht übersehen.
- Die Validierung der Herstellungs- und Überwachungsprozesse (Nummer 2): Anhang VII nennt die Validierung, nicht nur die Beschreibung.
- Die Begründung des Unterstützungszeitraums (Nummer 4), nicht nur sein Enddatum.
- Die angewandten Teile (Nummer 5): welche Teile einer Norm oder Spezifikation angewandt wurden und welche Lösungen gewählt wurden, wo keine angewandt wurde.
- Prüfberichte (Nummer 6) für das Produkt und für die Verfahren zur Behandlung von Schwachstellen.
- Fotografien oder Abbildungen eines Hardwareprodukts (Nummer 1).
- Das Exemplar der EU-Konformitätserklärung (Nummer 7). Ein Entwurf ist erst mit der Unterschrift eine Erklärung.
Funktionen und Grenzen von Attesly
- Attesly unterstützt: je Produkt eine technische Dokumentation aus einer Vorlage erzeugen, die den acht Nummern des Anhangs VII folgt; eintragen, was die Produktakte bereits enthält, etwa Zweckbestimmung, Version, importierte SBOM, Unterstützungszeitraum mit den dazu erfassten Informationen und die von Ihnen eingetragenen Normen; kennzeichnen, was noch zu ergänzen ist; Risikobewertung, Nutzerinformationen, EU-Konformitätserklärung und die Richtlinie zur koordinierten Offenlegung von Schwachstellen als eigene Dokumente führen; ein Dokument im Editor vervollständigen und frühere Fassungen im Verlauf behalten.
- Attesly übernimmt nicht: Ihre Architekturbeschreibung oder Prüfberichte schreiben, beurteilen, ob der Inhalt richtig oder ausreichend ist, eine Konformitätsbewertung durchführen, Produkte zertifizieren oder Rechtsberatung leisten. Attesly ist keine notifizierte Stelle.
Der Reifegrad in Attesly berücksichtigt, ob für ein Produkt eine technische Dokumentation vorliegt. Er hilft, Lücken zu finden, und beruht auf Ihren eigenen Angaben.
Informieren Sie sich über Tarife und Preise, vereinbaren Sie ein Gespräch oder lesen Sie, wie Sie Produktnachweise und SBOMs aktuell halten und eine Meldung nach Artikel 14 vorbereiten.