Leistungen
Lieferanten- und Komponentenprüfung (CRA)
Eine Prüfung der Fremdkomponenten in Ihrem Produkt und der Lieferanten dahinter – Open Source, kommerzielle Bibliotheken, Betriebssysteme, Firmware und für Sie entwickelte Teile –, damit Sie wissen, was jede Komponente ins Produkt bringt, was Sie vom Lieferanten verlangen müssen und wie sie unterstützt bleibt, wie es CRA Artikel 13 Absatz 5 und IEC 62443-4-1 SM-9 und SM-10 erwarten.
Für wen es gedacht ist
Die meisten Produkte mit digitalen Elementen bestehen größtenteils aus fremdem Code: Open-Source-Bibliotheken, ein Betriebssystem, Hersteller-Firmware, ein SDK, ein Modul, das ein Lieferant für Sie gebaut hat. Der CRA macht den Hersteller für all das verantwortlich. Dieses Paket ist für Teams, die zeigen müssen, wie sie diese Komponenten ausgewählt und geprüft haben, SBOMs und Schwachstellenmeldungen von ihren Lieferanten bekommen und die Unterstützung ihrer Lieferanten mit dem eigenen Unterstützungszeitraum in Einklang bringen wollen.
Was das Paket schafft
- Ein Verzeichnis der Komponenten und Lieferanten, nach Art eingeordnet – Open Source, kommerziell, Firmware, Auftragsentwicklung, CE-gekennzeichnet –, denn die Art entscheidet, was Sie verlangen und worauf Sie sich verlassen können.
- Risikostufen, damit sich die Prüftiefe danach richtet, was die Komponente in Ihrem Produkt bewirken kann: gründliche Prüfung für die wenigen kritischen Komponenten, automatisierte Prüfung für die vielen gewöhnlichen.
- Einen Lieferantenfragebogen, der am CRA ausgerichtet ist: SBOM, Unterstützungszeitraum, Auslieferung und Integrität von Updates, Schwachstellenbehandlung und wie schnell Lieferanten Sie über aktiv ausgenutzte Schwachstellen informieren – schnell genug für Ihre eigene 24-Stunden-Meldefrist.
- Einen Prüf- und Entscheidungsnachweis für jede kritische Komponente: annehmen, unter Auflagen annehmen, ersetzen oder im Produkt absichern, freigegeben von jemand anderem als der Person, die sie vorgeschlagen hat.
- Eine Checkliste für Vertragsklauseln für Ihre Rechtsberatung, den Weg, gefundene Schwachstellen an die Betreuer einer Komponente zu melden, und einen Plan zur erneuten Prüfung der Lieferanten über den Unterstützungszeitraum.
Das Ergebnis
Sie können Komponente für Komponente zeigen, wie Sie Ihre Sorgfaltspflicht erfüllt haben: was Sie einsetzen, warum, was Sie geprüft, was Sie vom Lieferanten verlangt und was Sie entschieden haben. SBOMs und Hinweise der Lieferanten fließen in Ihre Schwachstellenüberwachung, und die Zusagen der Lieferanten passen zu Ihrem Unterstützungszeitraum und Ihren Meldefristen. Das Paket unterstützt Nachweise zu CRA Artikel 13 Absatz 5 und 6 sowie Anhang I Teil II Nummer 1. Es stellt keine CRA-Konformität fest.
Nutzungsbedingungen
Sie dürfen die Vorlagen anpassen und in Ihrem Unternehmen unbefristet nutzen, auch nach dem Ende einer Zusammenarbeit mit uns. Die Fragebögen, die Sie verschicken, und die Nachweise, die Sie ausfüllen, gehören Ihnen: Sie können sie Lieferanten, Prüfern, Behörden oder Kunden zugänglich machen. Die Vorlagen selbst dürfen als Vorlagen, unverändert oder angepasst, weder weiterverkauft noch weitergegeben oder veröffentlicht werden.
Was das Paket nicht ist
- Es betrifft die Komponenten in Ihrem Produkt, nicht die Lieferanten der Organisation wie IT-Dienstleister, Cloud-Anbieter oder Auftragsverarbeiter nach ISO/IEC 27001 oder NIS2.
- Es liefert keine Vertragstexte und keine Rechtsberatung: Die Klausel-Checkliste ist für Ihre Rechtsberatung gedacht.
- Es zertifiziert weder Lieferanten noch Komponenten und stellt keine CRA-Konformität fest.
- Die Überwachung Ihrer Komponenten auf neue Schwachstellen gehört zum Paket CRA-Schwachstellenbehandlung. Zu den Leistungspaketen
So beginnt es
- 01
Produkt und Lieferkette beschreiben
Sagen Sie uns, was Sie bauen und was ungefähr darin steckt: Open Source, kommerzielle Bibliotheken, ein Betriebssystem, Hersteller-Firmware, von Lieferanten entwickelte Teile.
- 02
Kritische Komponenten gemeinsam festlegen
Wir vereinbaren die Kriterien für die Risikostufen und gehen Ihre SBOM oder Komponentenliste durch, damit die gründliche Arbeit dort landet, wo das Risiko liegt.
- 03
Prüfen und entscheiden
Die Fragebögen gehen an die Lieferanten der kritischen Komponenten; wir bewerten die Antworten mit Ihnen und halten für jede Komponente eine Entscheidung mit ihren Auflagen fest.
Kontakt
Wissen, was in Ihrem Produkt steckt
Beschreiben Sie Ihr Produkt und die Komponenten, auf die Sie sich am meisten verlassen. Wir melden uns mit einem sinnvollen Umfang: welche Komponenten zuerst geprüft werden und was ihre Lieferanten gefragt werden sollten.
Wir antworten innerhalb von zwei Werktagen.
Vollständige KontaktdatenÖffnet unsere Terminseite in einem neuen Tab — wählen Sie einen passenden Zeitpunkt.
Nützlich in einer ersten Nachricht
- Was Sie bauen, und ob Sie heute eine SBOM dafür haben.
- Von welchen Komponenten Sie am stärksten abhängen – Betriebssystem, Firmware, kommerzielle SDKs, von Lieferanten gebaute Teile.
- Was den Anlass gibt – CRA-Vorbereitung, ein Kundenaudit oder ein Lieferant, der keine SBOM liefert.
Bitte verzichten Sie in einer ersten Nachricht auf vertrauliche technische Details und Geschäftsgeheimnisse. Nach unserer Antwort vereinbaren wir für Sensibles einen verschlüsselten Kanal.