Nutzerinformationen und Anleitungen nach dem CRA
Sytance · Aktualisiert
CRA-Nutzerinformationen sind die Unterlagen, die dem Produkt beiliegen und Nutzern helfen, das Produkt sicher zu installieren, zu betreiben und zu aktualisieren, Schwachstellen zu melden und das Produkt außer Betrieb zu nehmen. Sie richten sich an Nutzer, Integratoren, Eigentümer und Betreiber, nicht nur an die interne Dokumentation des Herstellers.
Informationen für Nutzer
Die Hersteller stellen sicher, dass Produkten mit digitalen Elementen die in Anhang II genannten Informationen und Anweisungen für Nutzer in Papierform oder elektronisch beiliegen. Diese Informationen und Anweisungen sind in einer Sprache bereitzustellen, die Nutzer und Marktüberwachungsbehörden leicht verstehen können. Sie müssen klar, verständlich, gut nachvollziehbar und lesbar sein. Sie müssen eine sichere Installation, einen sicheren Betrieb und eine sichere Nutzung von Produkten mit digitalen Elementen ermöglichen. Die Hersteller halten die in Anhang II genannten Nutzerinformationen und Anweisungen mindestens zehn Jahre nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder für die Dauer des Supportzeitraums – je nachdem, welcher Zeitraum länger ist – für Nutzer und Marktüberwachungsbehörden bereit. Werden solche Informationen und Anweisungen online bereitgestellt, stellen die Hersteller sicher, dass sie zugänglich, nutzerfreundlich und mindestens zehn Jahre nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder für die Dauer des Supportzeitraums – je nachdem, welcher Zeitraum länger ist – online verfügbar sind.
Verordnung (EU) 2024/2847, Artikel 13 Absatz 18
Die Informationen können in Papierform oder elektronisch bereitgestellt werden. Sie müssen in einer Sprache verfasst sein, die Nutzer und Marktüberwachungsbehörden leicht verstehen. Werden sie online bereitgestellt, müssen sie während des vorgeschriebenen Zeitraums zugänglich und nutzerfreundlich bleiben.
Nutzerorientierte Unterlagen
Sie erläutern die sichere Nutzung, den Support, Updates, Kontaktwege und die Risikoinformationen, die Nutzer benötigen.
Teil der Nachweisakte
Anhang VII nimmt die Nutzerinformationen nach Anhang II ebenfalls in die technische Dokumentation auf.
Inhalte nach Anhang II
Anhang II enthält die Mindestinhalte. Er verbindet Produktidentität und Supportinformationen mit Anweisungen zur sicheren Nutzung und Kontaktinformationen für Schwachstellenmeldungen.
Anhang II verlangt den Namen des Herstellers, Kontaktdaten, gegebenenfalls eine Website und ausreichende Produktinformationen zur eindeutigen Identifizierung des Produkts.
Nutzer müssen erfahren, wie sie Informationen über Schwachstellen melden und erhalten können und wo die Richtlinie zur koordinierten Offenlegung von Schwachstellen zu finden ist.
Die Informationen müssen den bestimmungsgemäßen Zweck, die Sicherheitsumgebung, wesentliche Funktionen und Sicherheitseigenschaften sowie alle bekannten oder vorhersehbaren Umstände beschreiben, die zu erheblichen Cybersicherheitsrisiken führen können.
Anhang II verlangt Angaben zur Art der technischen Sicherheitsunterstützung und zum Enddatum des Supportzeitraums. Außerdem sind Anweisungen zur Installation sicherheitsrelevanter Updates erforderlich.
Anhang II verlangt Informationen zur sicheren Inbetriebnahme, zur sicheren Nutzung während der gesamten Lebensdauer, zur sicheren Außerbetriebnahme, zur Datenlöschung, zu Einstellungen für automatische Updates sowie Integrationsinformationen, wenn das Produkt zur Integration in ein anderes Produkt bestimmt ist.
Anweisungen zur sicheren Nutzung
Die CRA verlangt keine allgemeinen Sicherheitshinweise. Die Anweisungen müssen zum Produkt, seinem bestimmungsgemäßen Zweck, seiner vorhersehbaren Nutzung und den Nutzern passen, die es installieren oder betreiben.
Anhang II Nummer 8 verlangt Anweisungen oder einen Link zu Anweisungen zu folgenden Themen:
- erforderliche Maßnahmen bei der ersten Inbetriebnahme und während der gesamten Lebensdauer des Produkts;
- wie Produktänderungen die Datensicherheit beeinflussen können;
- wie sicherheitsrelevante Updates installiert werden können;
- sichere Außerbetriebnahme und sichere Entfernung von Nutzerdaten;
- wie automatische Sicherheitsupdates deaktiviert werden können, wenn sie standardmäßig aktiviert sind;
- Integrationsinformationen, die ein anderer Hersteller oder Integrator benötigt.
Klare Anweisungen ersetzen kein sicheres Design
Nutzerinformationen können Annahmen und Restrisiken erläutern. Sie können nicht dazu verwendet werden, Produktanforderungen an die Sicherheit unerfüllt zu lassen.
Supportdatum beim Kauf
Artikel 13 Absatz 19 verlangt, dass das Enddatum des Supportzeitraums zum Zeitpunkt des Kaufs klar angegeben ist. Das Datum muss mindestens Monat und Jahr enthalten. Sofern technisch machbar, müssen Nutzer außerdem benachrichtigt werden, wenn das Produkt das Supportende erreicht.
Beim Kauf
Nutzer sollten das Enddatum des Supports zum Zeitpunkt des Kaufs sehen können.
Während der Nutzung
Nutzer benötigen Updateanweisungen, die dem tatsächlichen Aktualisierungsverfahren des Produkts entsprechen.
Abgrenzung zur technischen Dokumentation
Nutzerinformationen und technische Dokumentation richten sich an unterschiedliche Zielgruppen. Nutzerinformationen dienen der sicheren Nutzung. Die technische Dokumentation ist die Nachweisakte zum Beleg der CRA-Konformität.
Anhang VII nimmt die Nutzerinformationen nach Anhang II in die technische Dokumentation auf, verlangt darüber hinaus jedoch auch interne Nachweise, etwa Entwurfsinformationen, Architektur, Angaben zum Schwachstellenbehandlungsprozess, die Cybersicherheits-Risikobewertung, die Begründung des Supportzeitraums, verwendete Normen und Prüfberichte.