FAQ — crAIready und der Cyber Resilience Act

Vor allem Hersteller von Produkten mit digitalen Elementen, die diese Produkte auf dem EU-Markt bereitstellen. Auch Bevollmächtigte, Einführer und Händler haben eigene Pflichten. Welche Rolle und welche Pflichten im Einzelfall gelten, hängt vom Produkt und vom Vertriebsmodell ab. Der kostenlose Quick-Check bietet eine erste unverbindliche Orientierung.

Die Meldepflichten nach Art. 14 CRA gelten ab dem 11.09.2026. Die meisten übrigen Pflichten des CRA gelten ab dem 11.12.2027.

Nicht automatisch. Eigenständige Cloud- oder SaaS-Dienste fallen nicht allein wegen ihrer Bereitstellung über das Internet unter den CRA. Eine Cloud-Funktion kann jedoch als „Lösung für die Datenfernverarbeitung“ Teil eines Produkts mit digitalen Elementen sein, wenn sie vom Hersteller oder unter seiner Verantwortung entwickelt wurde und das Produkt ohne sie eine Funktion nicht erfüllen könnte. Deshalb ist die konkrete technische und vertriebliche Ausgestaltung zu prüfen.

Eine Software Bill of Materials ist eine maschinenlesbare Übersicht der in einem Produkt verwendeten Softwarekomponenten. Sie unterstützt die Erkennung und Bearbeitung von Schwachstellen. Der CRA verlangt im Rahmen des Schwachstellenmanagements eine SBOM in einem gängigen maschinenlesbaren Format, mindestens für die Abhängigkeiten der obersten Ebene.

crAIready unterstützt den Import und Export gängiger maschinenlesbarer Formate: CycloneDX JSON/XML sowie SPDX JSON/Tag-Value. SBOMs können zudem über eine angebundene CI-Pipeline erzeugt und Produktversionen zugeordnet werden.

Die von codAIx selbst betriebenen Kernsysteme – Marketing-Webseite, Kontoportal, Plattform, Kundenumgebungen, Datenbank, lokal betriebene KI und lokale Backups – laufen auf eigener Infrastruktur in Thayngen, Schweiz. Verarbeitet werden insbesondere Konto-, Vertrags-, Produkt-, Dokumentations-, Rollen-, Freigabe- und Protokolldaten, soweit Nutzer diese bereitstellen oder sie für den Betrieb entstehen. Wählt ein Kunde ausdrücklich einen externen KI-Anbieter, werden der jeweilige Prompt und die für die Funktion erforderlichen Produktinformationen an den ausgewählten Anbieter übermittelt. Einzelheiten stehen in der Datenschutzerklärung und im AVV. Auf der öffentlichen Webseite findet derzeit keine Zahlungsabwicklung statt.

Nein. codAIx verwendet Kundeninhalte nicht zum Training eigener oder selbst betriebener KI-Modelle. Bei Nutzung der von codAIx betriebenen lokalen KI werden die für die Funktion erforderlichen Eingaben auf von codAIx betriebener Infrastruktur in Thayngen verarbeitet; sie werden nicht an Drittanbieter von KI-Modellen weitergegeben und nicht über die Bearbeitung hinaus gespeichert. Wird eine auswählbare Cloud-KI ausdrücklich aktiviert, gelten für die übermittelten Inhalte zusätzlich die Bedingungen und Datenschutzhinweise des ausgewählten Anbieters. Eine Repository-Analyse ist freiwillig; crAIready kann auch ohne Quellcode-Upload genutzt werden.

Ja. Wir halten uns an die für crAIready geltenden Vorgaben des Cyber Resilience Act und richten Entwicklung und Betrieb frühzeitig an den weiteren Anforderungen aus. codAIx prüft und dokumentiert, welche Pflichten aufgrund der technischen Ausgestaltung und Bereitstellung der Plattform anwendbar sind. Dazu gehören insbesondere die Bewertung von Cybersicherheitsrisiken, dokumentierte Prozesse für den Umgang mit Schwachstellen und Sicherheitsupdates sowie die Pflege der erforderlichen technischen Nachweise. Neue rechtliche und technische Vorgaben werden geprüft und entsprechend ihrer jeweiligen Anwendungsfrist berücksichtigt.

Während der Vertragslaufzeit können die von den Standardfunktionen erfassten Daten in verfügbaren Formaten exportiert werden. Nach Vertragsende steht grundsätzlich noch 30 Tage ein angemessener Exportweg zur Verfügung. Anschliessend werden Produktivdaten nach dem AVV gelöscht oder zurückgegeben; Sicherungskopien werden spätestens innerhalb weiterer 30 Tage im regulären Backup-Zyklus überschrieben oder gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Eine längerfristige Archivierung besteht nur, wenn sie ausdrücklich vereinbart wurde.

Starten Sie mit dem kostenlosen Quick-Check oder wählen Sie direkt ein passendes Paket, wenn Sie bereits wissen, dass Ihr Produkt unter den CRA fällt. Der Quick-Check gibt Ihnen ohne Login eine unverbindliche Ersteinschätzung. Nach dem Kauf richten wir Ihren Plattformzugang ein. Im geführten Wizard legen Sie Ihr Produkt strukturiert an und erhalten Unterstützung bei der Klassifizierung anhand der Produktkategorien aus Anhang III und IV sowie beim daraus folgenden Konformitätsweg. Anschliessend bearbeiten Sie die relevanten Pflichten und pflegen SBOM, Schwachstellen, Entscheidungen und Nachweise zentral in crAIready. Quick-Check und Plattform sind getrennte Prozesse; die Angaben aus dem Quick-Check werden nicht automatisch übernommen. Die abschliessende Klassifizierung, Prüfung und Freigabe bleiben beim verantwortlichen Hersteller.

Der Quick-Check kann kostenlos und ohne Login genutzt werden. Ein allgemeiner kostenloser Zugang zur vollständigen Plattform wird derzeit nicht angeboten. Der Plattformzugang wird nach Vertragsschluss und Freischaltung eingerichtet.

Das hängt von der CRA-Produktkategorie und dem anwendbaren Konformitätsbewertungsverfahren ab. Für nicht als wichtig oder kritisch eingestufte Produkte ist grundsätzlich eine interne Kontrolle nach Modul A möglich. Bei wichtigen Produkten der Klasse I kann eine externe Bewertung erforderlich werden, wenn einschlägige harmonisierte Normen, gemeinsame Spezifikationen oder geeignete Zertifizierungssysteme nicht oder nur teilweise angewandt werden. Für wichtige Produkte der Klasse II und kritische Produkte gelten strengere Verfahren. crAIready unterstützt die Einordnung und Vorbereitung; die verbindliche Auswahl und Durchführung des Verfahrens bleibt beim Hersteller und gegebenenfalls bei einer notifizierten Stelle. Der Quick-Check kann eine erste unverbindliche Orientierung geben.

Nein. crAIready unterstützt Vorbereitung, Fristübersicht und Dokumentation. Prüfung, Freigabe und Einreichung über die offizielle einheitliche Meldeplattform bleiben beim verantwortlichen Unternehmen. Bei aktiv ausgenutzten Schwachstellen gelten grundsätzlich 24 Stunden für die Frühwarnung, 72 Stunden für die Schwachstellenmeldung und spätestens 14 Tage nach Verfügbarkeit einer Abhilfe- oder Risikominderungsmassnahme für den Abschlussbericht. Bei schwerwiegenden Sicherheitsvorfällen mit Auswirkungen auf die Sicherheit des Produkts gelten grundsätzlich 24 Stunden für die Frühwarnung, 72 Stunden für die Vorfallmeldung und ein Monat nach der 72-Stunden-Meldung für den Abschlussbericht.

Nein. crAIready wird derzeit ausschliesslich als SaaS angeboten.

Nein. crAIready bietet technische und organisatorische Unterstützung, aber keine rechtliche Einzelfallberatung oder Konformitätsgarantie. Die rechtliche und technische Bewertung sowie die erforderlichen Entscheidungen und Freigaben bleiben beim verantwortlichen Unternehmen.

Der Quick-Check und die darin enthaltene unverbindliche Ersteinschätzung sind kostenlos. Die Nutzung der Plattform, die Verwaltung der Produkte und die verfügbaren Nachweis- und Exportfunktionen sind kostenpflichtig und richten sich nach dem gewählten Paket.

Es gelten die aktuellen Nettopreise auf der Preisseite, grundsätzlich je Produkt. Technisch und regulatorisch weitgehend gleiche Varianten können als eine Produktfamilie geführt werden; für Verwalter quelloffener Software gilt ein betreutes Open-Source-Projekt als Abrechnungseinheit. Kunden in Deutschland werden in EUR und Kunden in der Schweiz in CHF abgerechnet; der Zahlenwert ist gleich. Gesetzlich geschuldete Steuern kommen hinzu.

Fördermöglichkeiten hängen vom Sitz des Unternehmens, dem konkreten Vorhaben, dem Antragszeitpunkt und den jeweiligen Programmbedingungen ab. codAIx sagt keine bestimmte Förderung, Förderquote oder Bewilligung zu. Das crAIready-Standardangebot richtet sich derzeit ausschliesslich an Unternehmen in Deutschland und der Schweiz.

Je nach Programm und Region sind Zuschüsse von bis zu 30.000 EUR möglich. Förderfähigkeit, Förderquote und Bewilligung richten sich nach den jeweiligen Programmbedingungen.

Zur Förderübersicht →

Hersteller müssen die technische Dokumentation und die EU-Konformitätserklärung grundsätzlich mindestens zehn Jahre nach dem Inverkehrbringen des Produkts oder für den Unterstützungszeitraum aufbewahren – massgeblich ist der längere Zeitraum. crAIready hält die während der Vertragslaufzeit erfassten Unterlagen exportierbar; der Kunde muss erforderliche Exporte rechtzeitig sichern.

Der Unterstützungszeitraum muss der erwarteten Nutzungsdauer des Produkts entsprechen und beträgt grundsätzlich mindestens fünf Jahre. Wird das Produkt voraussichtlich weniger als fünf Jahre genutzt, kann der Unterstützungszeitraum dieser kürzeren erwarteten Nutzungsdauer entsprechen. Bei einer längeren erwarteten Nutzung kann ein längerer Zeitraum erforderlich sein.

Die Meldepflichten nach Art. 14 CRA gelten ab dem 11.09.2026. Der Bussgeldrahmen nach Art. 64 Abs. 2 CRA gilt ab dem 11.12.2027. Er sieht bei Verstössen gegen die grundlegenden Cybersicherheitsanforderungen oder die Pflichten aus Art. 13 und 14 CRA Geldbussen von bis zu 15 Mio. EUR oder bei Unternehmen bis zu 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Ob und in welcher Höhe eine Sanktion verhängt wird, richtet sich nach dem Einzelfall und dem anwendbaren Verfahren.