Software

In der EU verkaufte Software ist ein PDE.

Sie müssen kein Gerät ausliefern, um unter den CRA zu fallen. Eine Anwendung, eine Bibliothek oder ein eingebettetes System, das separat verkauft wird, ist ein Produkt mit digitalen Elementen, wenn Sie es unter Ihrem Namen in Verkehr bringen.

Gespräch vereinbaren

Die Verordnung (EU) 2024/2847 fragt nicht, ob Sie eine Schachtel ausliefern. Sie fragt, ob Sie ein Produkt mit digitalen Elementen unter eigenem Namen oder Zeichen auf den Unionsmarkt bringen. Anwendung, Bibliothek, SDK, separat verkaufte Embedded-Software - das ist ein PDE. Die Termine sind dieselben wie bei Hardware: Artikel 14 ab 11. September 2026, grundlegende Anforderungen und CE ab 11. Dezember 2027.

Ein Repository-Scanner ersetzt weder Versionskatalog noch Risikobewertung zu Anhang I noch die EU-Erklärung. Der CRA gilt für das in Verkehr gebrachte Produkt, nicht einmal für den Firmenbacklog. Eine wesentliche Änderung ist ein neues Inverkehrbringen.

Die Akte muss ohne Quellcodeexport aus dem Netz entstehen. Crado AI steht deshalb on-premise: SBOM, CVE-Warteschlange und CE-Pfad bleiben bei Ihnen.

Was in Software ein Produkt mit digitalen Elementen ist

Anwendung unter Ihrem Zeichen

Desktop, Mobil, Engineering-Tool, On-Prem-Client. Steht Ihr Name auf dem Listing, beginnen Sie mit der Annahme, dass es ein PDE ist.

Bibliothek, SDK, Runtime

Eine separat verkaufte Komponente ist ein eigenes Produkt. Die Sorgfalt gegenüber Abhängigkeiten bleibt bei Ihnen.

Separat verkaufte Embedded-Software

Firmware oder ein Stack ohne Platine fällt nicht aus dem Geltungsbereich, nur weil „es kein Gerät ist“.

Internes Werkzeug ist keine Automatikbefreiung

Die Geltung entscheidet sich am Inverkehrbringen. Geht dieselbe Software an Kunden unter Ihrem Zeichen, braucht der Katalog eine Zeile.

Typische Reibung

Eine SBOM aus der CI, nicht aus einer Tabelle nach dem Launch.
Ein Supportzeitraum, den der Vertrieb nie versprochen hat und die Verordnung jetzt verlangt.
Eine aktiv ausgenutzte Schwachstelle in 24 Stunden melden.

Was Crado AI hält

Produktversionen an SBOM und CVE gebunden.
Anhang I für Softwareeigenschaften: Updates, Standardkonfiguration, keine bekannten Exploits beim Inverkehrbringen.
Dokumentation und CE-Pfad, ohne Quellcode aus Ihrem Netz zu holen.

Was ein Softwarehaus meist trifft

Store-Version und SBOM-Version laufen nach zwei Sprints auseinander.
Ein Support „solange sie abonnieren“ hat keinen Monat und kein Jahr auf der Packung.
Ein CVE in einer Produktionsabhängigkeit kommt am Freitag, und Artikel 14 wartet nicht bis Montag.

Wie der CRA auf Software fällt

Versionskatalog mit Bereitstellungsdatum und Supportende mit Monat und Jahr, nicht „solange das Abo läuft“.
SBOM aus der Pipeline, an die Store-Version gesperrt, kein Monorepo-Dump von main.
Anhang I Teil I: sichere Defaults, Updates mit klarem Opt-out, keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen.
Anhang I Teil II und Artikel 14: Warteschlange, Eigentümer, 24h-/72h-Uhr an CSIRT und ENISA.
Technische Akte und EU-Erklärung, bevor die Version den Vertriebskanal verlässt.

Was vor Artikel 14 stehen muss

01

Versionen als PDE

Jedes Release auf dem Unionsmarkt hat eine Zeile: Name, Version, Märkte, Datum, Supportende.
02

SBOM aus der CI

Ein Build, der nicht zur SBOM passt, geht nicht raus. Drittzeilen tragen Lieferant und Version.
03

Risiko an Anhang I

Eine Lücke lebt nicht nebenan in Jira. Sie zeigt auf die verfehlte Anforderung.
04

Die 24-Stunden-Warteschlange

Benannter Eigentümer, Weg zur einheitlichen Plattform, Drill an einer Produktionsabhängigkeit.

Fragen aus dem Softwarehaus

Fällt SaaS unter den CRA?

Der CRA gilt für ein auf den Markt gebrachtes Produkt mit digitalen Elementen. Ein reiner Cloud-Dienst ist ein anderes Gespräch. On-Prem-Client, Installer, Bibliothek oder App unter Ihrem Zeichen: beginnen Sie beim PDE.

Befreit uns Open Source?

Nicht von der Sorgfalt, wenn Sie ein Produkt unter eigenem Namen in Verkehr bringen und fremde Komponenten darin sitzen.

Ist jeder Patch ein neues Inverkehrbringen?

Nein. Eine wesentliche Änderung schon. Eine neue Hauptversion oder eine Funktion, die das Risiko ändert, bekommt eine neue Zeile und eine neue SBOM.

Warum on-premise für Software?

SBOM und Akte beschreiben die Zusammensetzung Ihres Codes. Sie müssen nicht auf dem Server des CRA-Anbieters landen.

In der EU verkaufte Software ist ein PDE ->

Weitere Branchen

IoT

Vernetzte Geräte, Firmware und Supportzeitraum.

Industrie

Maschinen, Steuerungen und Automatisierung mit digitalen Elementen.

Elektronik

Elektronik und Hardware: technische Unterlagen und CE-Kennzeichnung.

Sprechen wir über den Versionskatalog

Zwanzig Minuten. Wie viele Produkte auf dem Unionsmarkt, ob die SBOM aus der CI kommt, wer im Vertrag Hersteller ist.