Startseite / Alle Beiträge / Tags / Cyber Resilience Act

Cyber Resilience Act

Der CRA aus Sicht derer, die Software herstellen: Frühwarnung in 24 Stunden, SBOMs und ein Reifegrad, der kein Konformitätsnachweis ist.

Ab dem 11. September 2026 verlangt Artikel 14 des Cyber Resilience Act eine Frühwarnung innerhalb von 24 Stunden für ausgenutzte Schwachstellen, und es wird keine Generalprobe geben. Der CRA interessiert mich, weil er die konkreteste Norm des europäischen Pakets ist: SBOMs, Schwachstellenmanagement, Updates über die gesamte Lebensdauer des Produkts sind Dinge, die ein Team entweder kann oder nicht kann. Ein Reifegrad ist keine Konformität, ein Fragebogen kein Inventar. Ich schreibe darüber, was wirklich nötig ist, vor der Frist.

13.08 2026
№ 82

CRA Compliance ENISA NIS2 Softwareentwicklung EU-Regulierung

Keine Generalprobe

Am 11. September greifen die Meldepflichten des Cyber Resilience Act: 24 Stunden für die Frühwarnung, auf einer Plattform, die am selben Tag in Betrieb geht, an dem die Pflicht bindend wird. Keine API, keine Testumgebung, eine Adresse, die noch nicht öffentlich ist. Das Onboarding ist eine Compliance-Anforderung, die niemand aufgeschrieben hat, und wer sich am 12. September registriert, hat schon verloren.

8′ Lesezeit

1.681 Wörter

Lesen →

27.07 2026
№ 81

Künstliche Intelligenz KI-Agenten Softwareentwicklung Compliance CRA Open Source

Der Boden darunter

Etwa im dritten Monat mit einem Agenten sagt jemand, das Modell sei schlechter geworden. Fast nie ist es das Modell: es ist das Gerüst, das sich aufgelöst hat, ohne eine einzige Exception auszulösen. Was leise verfällt, ist genau das, was niemand prüfen muss, und in Europa kostet diese Reibung ab September eine Nichtkonformität.

9′ Lesezeit

1.792 Wörter

Lesen →

17.07 2026
№ 79

CRA Compliance ENISA KMU Softwareentwicklung EU-Regulierung

Ein Score ist kein Konformitätsnachweis

Das Profil Advanced misst die Reife einer Organisation. Es weist nicht nach, dass ein bestimmtes Produkt dem CRA entspricht. Der Unterschied lautet nicht Selbstbewertung gegen externe Prüfung, sondern Diagnose gegen eine Erklärung, die Verantwortung erzeugt.

10′ Lesezeit

1.998 Wörter

Lesen →

09.07 2026
№ 78

AI Act Compliance DSGVO NIS2 Cyber Resilience Act EU-Regulierung Digitale Gesundheit

Siebzehn Monate sind keine Schonfrist

Der Digital Omnibus hat die Hochrisiko-Pflichten des AI Act auf 2027 verschoben, und die Gesundheitssoftware hat aufgeatmet. Aber der Druck kam nie von dieser Frist: Er kommt von drei Uhren, der Durchsetzung, dem Engineering und dem Markt, und keine der drei wurde angerührt.

9′ Lesezeit

1.896 Wörter

Lesen →

04.07 2026
№ 77

Compliance AI Act CRA PLD EU-Regulierung Softwareentwicklung KMU

Compliance scheitert nicht an fehlenden Normen, sondern an fehlendem Inventar

Fünf europäische Rechtstexte, geschrieben von verschiedenen Händen für verschiedene Sektoren, laufen auf dieselbe Forderung zu: Zeig, dass du weißt, was du im Haus hast. Wer darauf keine Antwort weiß, ist nicht etwa nicht konform, er ist unregierbar. Und das Inventar, das es braucht, füllt man nicht aus: Es wird erzeugt.

7′ Lesezeit

1.451 Wörter

Lesen →

24.06 2026
№ 75

Digitale Souveränität Open Source Lieferkette Cybersicherheit EU-Regulierung CRA Compliance

Die Souveränität wohnt nicht im Rechenzentrum

Über den Cloud and AI Development Act, über die zehntausend Repositories, die sich als ehrliche Projekte verkleideten, und über den Abstand zwischen prüfbar sein und wirklich geprüft werden.

14′ Lesezeit

3.017 Wörter

Lesen →

01.05 2026
№ 63

Compliance PLD AI Act CRA Digitalrecht

Die Täuschung des Vertrags

Warum der Software-Liefervertrag, wie wir ihn kannten, aufgehört hat, das zentrale Instrument der Beziehung zwischen Anbieter und Kunde zu sein — und wie teuer es ist, weiter so zu tun, als wäre er es noch.

20′ Lesezeit

4.350 Wörter

Lesen →

27.04 2026
№ 59

Compliance EU-Regulierung AI Act CRA Technikphilosophie Architektur Strategie

Die Form der Beschränkung

Regulatorische Compliance als Gegnerin des technischen Projekts zu behandeln heißt, nicht verstanden zu haben, was ein technisches Projekt ist. Ein Essay über den Kategorienfehler, der die europäische Software-Industrie schwächt, und darüber, wie der europäische Regulierungsrahmen — als System gelesen, nicht als Liste — einen strukturellen Wettbewerbsvorteil für jene konfiguriert, die ihn zu bewohnen verstehen.

18′ Lesezeit

4.380 Wörter

Lesen →

30.03 2026
№ 51

AI Act Compliance Cyber Resilience Act Governance

Der blinde Fleck der Advisory: was ein Anbieter weiß, was ein Analyst nicht sieht

Vor einigen Wochen erhielt ich den Bericht eines bekannten Advisory-Hauses zur Bewertung des IT-Service-Markts in unserem Segment.

6′ Lesezeit

1.350 Wörter

Lesen →

← Alle Tags