Cyber Resilience Act

Was NODE64 zur Vorbereitung auf den CRA beiträgt — und was es ausdrücklich nicht ist.

Die Fristen

Der Cyber Resilience Act gilt für Hersteller von Produkten mit digitalen Elementen, die diese in der EU bereitstellen — unabhängig vom Sitz des Unternehmens. Er greift gestaffelt:

Datum Was gilt
11.09.2026 Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle: Frühwarnung binnen 24 Stunden, ergänzende Meldung binnen 72 Stunden, Abschlussbericht 14 Tage nach dem Sicherheitsupdate.
11.12.2026 Genügend notifizierte Konformitätsbewertungsstellen müssen verfügbar sein.
11.12.2027 Alle übrigen Anforderungen: Security by Design, technische Dokumentation, Stückliste (SBOM).

Was NODE64 beiträgt

Vier Dinge, die der CRA von Ihnen verlangt und die NODE64 Ihnen abnimmt — nicht als Zusage der Konformität, sondern als Material dafür:

  • Ein Inventar Ihrer Systeme: welche Pakete in welcher Fassung wo laufen, über die ganze Flotte hinweg.
  • Die Schwachstellenlage dazu, aus den Sicherheitsmeldungen der Distributionen — mit Dringlichkeit aus den Ausnutzungslisten (EUVD, CISA KEV) und EPSS statt nur aus der Punktzahl.
  • Nachweisberichte als PDF, auf Wunsch mit Audit-Zuschnitt: behobene Befunde, Rückfälle, Zeitraum, Umfang.
  • Ein Kontoprotokoll, das festhält, wer wann was entschieden hat — auch die Entscheidung, ein Risiko zu akzeptieren.

Was NODE64 nicht ist

Das ist der wichtigere Abschnitt, und er steht deshalb hier und nicht im Kleingedruckten:

  • Keine Konformitätsbewertung. Ob Ihr Produkt die Anforderungen erfüllt, stellen Sie fest oder eine notifizierte Stelle — kein Werkzeug kann das.
  • Keine Rechtsberatung. Ob der CRA für Ihr Produkt überhaupt gilt, ob eine Ausnahme greift und welche Übergangsregel für bereits verteilte Fassungen gilt, ist eine Rechtsfrage. Wir beantworten sie nicht.
  • Keine Meldung in Ihrem Namen. NODE64 meldet nichts an ENISA oder das BSI. Die Meldepflicht liegt bei Ihnen, und die 24-Stunden-Frist läuft für Sie.
  • Keine Vollständigkeit. Erfasst wird, was über die Paketverwaltung installiert ist. Ein Tarball unter /opt, ein selbst gebautes Binary oder eine eingebettete Bibliothek stehen in keiner Paketliste — und damit auch in keinem unserer Berichte.

Und was wir selbst tun

Der Agent ist ein Produkt mit digitalen Elementen — der CRA gilt also auch für uns. Was daraus folgt, ist öffentlich:

  • Zu jeder Fassung des Agenten eine Stückliste nach CycloneDX 1.6 (BSI TR-03183 Teil 2), mitsigniert wie die Binärdateien selbst: get.node64.de
  • Dieselbe Abgleichsmaschine, die für Ihre Systeme arbeitet, läuft täglich über unsere eigenen Abhängigkeiten.
  • Ein benannter Weg für Meldungen von außen, mit Zusagen, die wir halten können: Sicherheitslücken melden

Grundlage: BSI TR-03183, Verordnung (EU) 2024/2847.