Checkliste für die technische Dokumentation nach dem CRA

Pflicht zur Dokumentation

Die technische Dokumentation enthält alle einschlägigen Daten oder Angaben zu den vom Hersteller eingesetzten Mitteln, mit denen sichergestellt wird, dass das Produkt mit digitalen Elementen und die vom Hersteller eingerichteten Prozesse den in Anhang I festgelegten grundlegenden Cybersicherheitsanforderungen entsprechen. Sie enthält mindestens die in Anhang VII aufgeführten Elemente.

Verordnung (EU) 2024/2847, Artikel 31 Absatz 1

Artikel 31 verlangt, dass aus der Dokumentation hervorgeht, wie das Produkt und die Prozesse des Herstellers Anhang I erfüllen. Sie umfasst deshalb sowohl die Produktgestaltung als auch die Regelungen zur Schwachstellenbehandlung nach der Freigabe.

Zeitpunkt und Aktualisierungen

Die technische Dokumentation wird erstellt, bevor das Produkt mit digitalen Elementen in Verkehr gebracht wird, und wird gegebenenfalls, mindestens aber während des Supportzeitraums, fortlaufend aktualisiert.

Verordnung (EU) 2024/2847, Artikel 31 Absatz 2

Die technische Dokumentation muss vor dem Inverkehrbringen vorliegen. Wenn Änderungen während des Supportzeitraums relevant sind, muss sie anschließend auf dem aktuellen Stand gehalten werden.

• Eine geänderte Produktgestaltung, Architektur, Softwareversion oder Aktualisierungsmethode kann eine Aktualisierung erforderlich machen.
• Eine geänderte Cybersicherheits-Risikobewertung kann eine Aktualisierung erforderlich machen.
• Neue Informationen zu Schwachstellen können eine Aktualisierung erforderlich machen.
• Für ein neu gestaltetes oder erneut bewertetes Produkt sollte die Dokumentation die geänderten Versionen benennen.

Inhalte nach Anhang VII

Anhang VII enthält eine Liste der Mindestinhalte. Sie ist am besten als Kategorien von Nachweisen zu verstehen, nicht als Tabellenvorlage. Die genauen Angaben hängen vom jeweiligen Produkt ab.

Checkliste nach Anhang VII für ein Produktrelease

Das folgende Verzeichnis orientiert sich an den acht Einträgen in Anhang VII. Es ist ein Beispiel für die Gliederung der Informationen und weder eine vorgeschriebene Ordnerstruktur noch eine Pflicht zum Export von acht separaten Dateien. Jeder referenzierte Datensatz sollte das Produkt und die Version benennen, für die er gilt.

1. Produktbeschreibung: Zweck, Softwareversionen mit Einfluss auf die Konformität, relevante Hardware-Images und Kennzeichnungen sowie Nutzerinformationen nach Anhang II.
2. Entwurf und Prozesse: Architektur und Komponentenbeziehungen; Schwachstellenbehandlung, SBOM, Offenlegungsrichtlinie, Meldestelle und sichere Updates; Herstellung, Überwachung und Prozessvalidierung.
3. Cybersicherheits-Risikobewertung: Produktrisiken und Begründung der Anwendbarkeit der Anforderungen nach Anhang I Teil I.
4. Supportzeitraum: die zu seiner Festlegung herangezogenen Informationen.
5. Normen und technische Lösungen: angewandte Bestimmungen, ihr Status und Umfang der Anwendung sowie Lösungen für Anforderungen, die sie nicht abdecken.
6. Verifizierungsberichte: Prüfungen des Produkts und der Prozesse zur Schwachstellenbehandlung anhand der anwendbaren grundlegenden Anforderungen.
7. EU-Konformitätserklärung: die Erklärung für das bewertete Produkt.
8. SBOM auf Behördenanfrage: die anwendbare SBOM, wenn eine Marktüberwachungsbehörde sie begründet anfordert und zur Prüfung der Einhaltung von Anhang I benötigt.

Für ein fiktives Steuerungsrelease 1.2 könnte das Verzeichnis auf die Releasebeschreibung, die Architekturrevision, die Risikobewertung, die SBOM, die Updateprüfungen und die Nutzerhinweise für dieses Release verweisen. Eine neuere Risikobewertung zusammen mit einem älteren Firmware-Prüfbericht erfordert eine Erläuterung, ob die geprüften Maßnahmen weiterhin gelten.

Prüfen Sie die Vollständigkeit anhand der anwendbaren Informationen nach Anhang VII und der bewerteten Produktversion. Ein Dokumentenverzeichnis hilft Prüfenden, die Analyse und Ergebnisse hinter jeder Schlussfolgerung zu finden, einschließlich noch fehlender Informationen.

Nachweisverknüpfungen

Die Risikobewertung erläutert die gewählten Sicherheitsmaßnahmen; Komponentenaufzeichnungen benennen die Software, die diese Maßnahmen schützen; Aufzeichnungen zur Schwachstellenbehandlung zeigen, was bei neuen Problemen geschieht. Die folgenden Seiten erläutern Inhalt und Verwendung der jeweiligen Aufzeichnung.

Risikobewertung

Artikel 13 Absatz 4 verlangt, die Cybersicherheits-Risikobewertung in die technische Dokumentation aufzunehmen. Darin wird erläutert, wie Anhang I für das Produkt gilt, einschließlich der Begründung, warum eine Anforderung an Produkteigenschaften nicht relevant ist, wenn der Hersteller zu diesem Schluss kommt.

Laut FAQ der Kommission muss die Akte beim Inverkehrbringen des Produkts verfügbar sein, unabhängig davon, ob es innerhalb oder außerhalb der EU hergestellt wurde. Außerdem sollten spätere Neugestaltungen und Neubewertungen in der technischen Dokumentation abgebildet werden.

Konformität und Verwendung durch Behörden

Die technische Dokumentation dient hauptsächlich der Konformitätsbewertung und der Marktüberwachung. Laut FAQ der Kommission muss sie Kunden oder der Öffentlichkeit normalerweise nicht zur Verfügung gestellt werden.

Die wichtigste in der FAQ genannte Ausnahme für die Öffentlichkeit betrifft bestimmte wichtige freie und Open-Source-Softwareprodukte, die den Selbstbewertungsweg nach Artikel 32 Absatz 5 nutzen.