Cyber Resilience Act mit KI: was ein MCP Server für Hersteller tun kann

Was verlangt der Cyber Resilience Act von Herstellern?

Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, gilt für Produkte mit digitalen Elementen: Software und Hardware, samt der Datenverarbeitung aus der Ferne, die der Hersteller dafür entwickelt und ohne die das Produkt eine seiner Funktionen nicht erfüllt (Art. 3 Nr. 1 und 2).

Die Pflichten treffen vor allem den Hersteller. Das ist, wer solche Produkte entwickelt oder herstellt, oder sie entwickeln oder herstellen lässt, und sie unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Ein Beispiel ist eine Firma, die eine eigene Software oder ein vernetztes Gerät verkauft.

Für die Behandlung von Schwachstellen nennt Anhang I Teil II acht Pflichten, darunter: Komponenten und Schwachstellen dokumentieren, Lücken unverzüglich beheben, behobene Schwachstellen veröffentlichen und eine Kontaktadresse für Meldungen nennen. Das gilt im Unterstützungszeitraum, in der Regel mindestens fünf Jahre (Art. 13 Abs. 8).

Art. 3 Nr. 1, 2 und 13, Art. 13 Abs. 8, Anhang I Teil II CRA

Was ist eine SBOM nach dem CRA, und wer bekommt sie?

Die SBOM (Software Bill of Materials, im deutschen Text „Software-Stückliste“) ist eine formale Aufzeichnung der Komponenten in der Software eines Produkts und ihrer Lieferkettenbeziehungen (Art. 3 Nr. 39). Der Hersteller erstellt sie in einem gängigen maschinenlesbaren Format, aus dem zumindest die obersten Abhängigkeiten hervorgehen (Anhang I Teil II Nr. 1).

Ein bestimmtes Format nennt die Verordnung nicht; die Kommission kann Format und Elemente durch Durchführungsrechtsakte festlegen (Art. 13 Abs. 24). Die SBOM gehört zur technischen Dokumentation, die der Hersteller mindestens zehn Jahre bereithält (Art. 13 Abs. 13, Anhang VII).

Veröffentlichen muss er sie nicht. Ob Nutzer sie bekommen, entscheidet der Hersteller (Anhang II Nr. 9). Eine Marktüberwachungsbehörde erhält sie auf begründetes Verlangen, wenn sie sie für ihre Prüfung braucht (Anhang VII Nr. 8).

Art. 3 Nr. 39, Art. 13 Abs. 13 und 24, Anhang I Teil II Nr. 1, Anhang II Nr. 9, Anhang VII CRA

Welche Meldefristen gelten seit dem 11. September 2026?

Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts betreffen, auch bei Produkten, die schon vor dem 11. Dezember 2027 auf dem Markt waren (Art. 69 Abs. 3). Aktiv ausgenutzt ist eine Schwachstelle, wenn es verlässliche Nachweise gibt, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners ausgenutzt hat (Art. 3 Nr. 42).

Für eine Schwachstelle gilt: Frühwarnung innerhalb von 24 Stunden, nachdem der Hersteller davon erfahren hat, und Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt spätestens 14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist. Bei einem Vorfall gelten dieselben 24 und 72 Stunden, der Abschlussbericht folgt innerhalb eines Monats nach der Meldung.

Gemeldet wird über die einheitliche Meldeplattform der ENISA, gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA (Art. 14 Abs. 1 und 7, Art. 16). Ein CSIRT ist ein vom Mitgliedstaat benanntes Team für IT Sicherheitsvorfälle; zuständig ist in der Regel das des Staates, in dem der Hersteller seine Hauptniederlassung hat. Außerdem informiert der Hersteller die betroffenen Nutzer (Art. 14 Abs. 8).

Art. 3 Nr. 42, Art. 14, Art. 16, Art. 69 Abs. 3 CRA

Was ein KI Assistent für Hersteller tun kann

MCP (Model Context Protocol) ist ein offener Standard, über den ein KI Assistent wie Claude oder Copilot ein anderes Programm benutzt. Ein MCP Server ist der Anschluss eines Programms dafür. Für die Arbeit unten braucht der Assistent Zugang zu den Werkzeugen Ihrer Entwicklung, etwa über deren MCP Server, wo der Anbieter einen hat.

Ein Assistent, der in der Ablage Ihres Quellcodes (dem Code Repository) mitarbeitet, kann bei jeder neuen Version die SBOM erzeugen lassen und prüfen, ob sie zu dem passt, was Sie ausliefern. Welche Formate es gibt und welche Werkzeuge eine SBOM erzeugen, zeigt unser Kurs „CRA SBOM Grundlagen“.

Er gleicht die SBOM mit veröffentlichten Schwachstellen ab, etwa in der europäischen Schwachstellendatenbank der ENISA, und bereitet Treffer für eine Person auf. Er entwirft die Hinweise zu behobenen Schwachstellen (Anhang I Teil II Nr. 4) und die Nachricht an den Betreuer einer betroffenen Komponente (Art. 13 Abs. 6).

Für eine Meldung bereitet er vor, was Art. 14 Abs. 2 aufzählt: betroffenes Produkt, Art der Ausnutzung, ergriffene Maßnahmen und was Nutzer selbst tun können.

Was der Hersteller selbst entscheidet

Die Verordnung richtet diese Pflichten an den Hersteller. Wer im Unternehmen entscheidet, sagt sie nicht.

In der EU Konformitätserklärung, einem Dokument des Herstellers, steht, dass die Anforderungen aus Anhang I nachweislich erfüllt sind. Damit übernimmt er die Verantwortung für sein Produkt (Art. 28 Abs. 1 und 4). Mit der CE Kennzeichnung erklärt er auf dem Produkt, dass Produkt und Abläufe diese Anforderungen erfüllen (Art. 3 Nr. 31).

Mehrere Schritte sind Urteile: ob die Nachweise für eine Ausnutzung verlässlich sind, wie lang der Unterstützungszeitraum ist, und ob Angaben zu einer behobenen Schwachstelle in begründeten Fällen erst später veröffentlicht werden. Ein Assistent liefert das Material dafür. Wir empfehlen, dass eine Person entscheidet, die für den Hersteller handeln darf.

Art. 3 Nr. 31, Art. 13 Abs. 8, Art. 28 Abs. 1 und 4, Anhang I Teil II Nr. 4 CRA

Was nisd2.eu dabei abdeckt

Der MCP Server von nisd2.eu füllt nur den NIS 2 Durchgang aus; erlaubt es ein Admin, liest er bei Personen, die exportieren dürfen, auch die Aufzeichnungen des Unternehmens, auch die Register für Schwachstellen und Patches. Er führt keine SBOM, meldet nichts an die ENISA und hält keine Pflichten aus dem CRA fest.

Er hilft auf der Käuferseite. NIS 2 verlangt Sicherheit beim Erwerb Ihrer IT, einschließlich des Umgangs mit Schwachstellen (Art. 21 Abs. 2 Buchst. e). Der CRA gibt Ihnen dafür Angaben zum Nachfragen. Für Produkte, die ab dem 11. Dezember 2027 auf den Markt kommen, nennt der Hersteller beim Kauf das Ende des Unterstützungszeitraums, mindestens Monat und Jahr (Art. 13 Abs. 19). Dem Produkt liegt außerdem eine Kontaktstelle für Meldungen zu Schwachstellen bei (Anhang II Nr. 2).

Art. 21 Abs. 2 Buchst. e NIS 2 · Art. 13 Abs. 19, Anhang II Nr. 2 CRA