CRA-Readiness-Check (Basis)

Wir gehen Ihre Dokumentation gegen die grundlegenden Anforderungen durch: Security-by-Design, sichere Voreinstellungen im Auslieferungszustand, Update-Fähigkeit über den Support-Zeitraum und eine minimierte Angriffsfläche. Zu jeder Anforderung halten wir fest, ob sie belegt, teilweise belegt oder offen ist.

Wir sichten Ihre Software-Stückliste auf Vollständigkeit und Versionsstände und gleichen die enthaltenen Komponenten gegen bekannte CVE ab. Liegt keine SBOM vor, ist das ein eigener Befund: Anhang I Teil II Nummer 1 verlangt eine Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen. Als Maßstab für Form und Inhalt ziehen wir die BSI-Richtlinie TR-03183 Teil 2 heran.

Wir prüfen Ihren Prozess zur Behandlung von Schwachstellen — Aufnahme, Bewertung, Behebung, Veröffentlichung — und den Meldeweg für aktiv ausgenutzte Schwachstellen. Artikel 14 verlangt dafür eine Frühwarnung innerhalb von 24 Stunden, gleichzeitig an das koordinierende CSIRT und an die ENISA, über die einheitliche Meldeplattform. Wir sehen uns an, ob dieser Weg definiert, besetzt und in dieser Zeit tatsächlich gangbar ist.

Der Teil, der diesen Check von einem reinen Dokumenten-Review unterscheidet. Wir ziehen die Firmware vom Gerät oder nehmen Ihr Image entgegen, extrahieren das Dateisystem und gleichen ab, ob Komponenten und Versionsstände darin mit Ihrer SBOM übereinstimmen. Abweichungen zwischen dokumentiertem und ausgeliefertem Stand sind hier der eigentliche Prüfgegenstand.