Ein TrustTroiAI-Werkstück · CRA-Annex-VII-Perspektive

Required Core Artefacts.

Die vierzehn Artefakte, die Ihre technische Dokumentation nach dem Cyber Resilience Act über fünf Projektphasen hinweg tragen.

Der Cyber Resilience Act (CRA) verlangt eine technische Dokumentation nach Annex VII als Nachweis der Konformität. Diese Übersicht führt die vierzehn Pflicht-Artefakte über fünf Projektphasen auf, jeweils mit Zweck, Inhalt, Ablageort und Auffrischungs-Auslöser.

Phase 01

Design

Die Design-Phase legt die Grundlage für alle späteren Konformitätsnachweise. Drei Artefakte müssen hier existieren, sonst hat die technische Dokumentation keine Basis.

1.1

Product Security Context Note

Zweck

Definiert den Scope, die Annahmen und die Sicherheits-Ziele des Produkts. Grundlage jeder späteren Risikobewertung.

Inhalt

Beabsichtigter Verwendungszweck, Einsatzumgebungen, Nutzer- und Admin-Rollen, Daten-Typen und -Sensitivität, wichtige externe Abhängigkeiten.

Ablageort

`docs/security/product-context.md` im Repository oder Wiki-Seite.

Auffrischung

Neuer Verwendungszweck, wesentliche Änderung der Einsatzumgebung, neue kritische Abhängigkeit.

CRA Annex VII (points 1 and 2)

1.2

Architecture and Trust-Boundary Diagram

Zweck

Zeigt die System-Struktur mit Trust-Boundaries, Datenflüssen und Angriffsflächen. Basis für Threat Modelling.

Inhalt

Hauptkomponenten, externe Entitäten, Datenspeicher, Einstiegspunkte, Trust-Boundaries.

Ablageort

`docs/architecture/trust-boundaries.md` mit eingebettetem Diagramm oder Wiki-Seite mit Draw.io-Referenz.

Auffrischung

Neue Schnittstelle, neue Abhängigkeit, größere Architekturänderung.

CRA Annex I, Part 1 (PT1.1, PT1.2.d, e, f, j)

1.3

Top Threats and Mitigations List

Zweck

Priorisierte Liste der wichtigsten Bedrohungen mit zugeordneten Mitigationen und Verifikationstests.

Inhalt

Fünf bis zehn Top-Threats mit Priorität (H/M/L), zugeordnete Mitigation, Verifikations-Test, Refresh-Trigger.

Ablageort

`docs/security/top-threats.md` oder Jira-Board mit dediziertem Label.

Auffrischung

Neuer Threat-Modelling-Zyklus, neuer Incident, neue Vulnerability in ähnlichen Produkten.

CRA Annex I, Part 1

Phase 02

Development

Während der Entwicklung entstehen die Artefakte, die zeigen, dass Cybersicherheit im Code selbst verankert ist, nicht nur in der Dokumentation. Drei Artefakte machen diese Verankerung sichtbar.

2.1

Secure Coding Baseline

Zweck

Einseitiger Standard für sicheres Programmieren im Haupt-Stack, plus Liste verbotener Muster.

Inhalt

Regeln zu Input-Validierung, Auth-Prüfungen, Fehler-Behandlung, Krypto-Verwendung, Logging. Verbotene Muster wie String-basiertes SQL, `eval`-artige Funktionen, TLS-Verifikation-Deaktivierung.

Ablageort

`docs/security/coding-baseline.md` und `.gitattributes` oder ähnliche Repo-Konfiguration.

Auffrischung

Neue Tech-Stack-Version, neue verbotene Muster aus Incident-Learnings.

CRA Annex I, Part 1 (PT1.2.a), Part 2 (PT2.3)

2.2

CODEOWNERS or Equivalent

Zweck

Erzwingt Peer Review für sicherheitsrelevante Änderungen durch geschützte Branches.

Inhalt

Datei mit Zuordnung von Pfaden (Auth, Krypto, Update-Mechanismus, externe Schnittstellen) zu verantwortlichen Reviewern.

Ablageort

`.github/CODEOWNERS` oder äquivalente Datei in der Repository-Wurzel.

Auffrischung

Team-Wechsel, neue sensitive Module.

CRA Annex I, Part 2 (PT2.3)

2.3

SBOM per Release

Zweck

Maschinenlesbares Inventar aller Software-Komponenten in einem Release, Basis für Vulnerability-Antwort.

Inhalt

SPDX- oder CycloneDX-Format, alle direkten und transitiven Abhängigkeiten mit Version und Lizenz.

Ablageort

Als Build-Artefakt im Release-Ordner, verlinkt aus der Release-Notes-Seite.

Auffrischung

Jeder Release-Build, automatisch aus der Build-Pipeline.

CRA Annex I, Part 2 (PT2.1, explicit SBOM requirement)

Phase 03

Verification

Verifikation ist der Punkt, an dem Belege entstehen. Zwei Artefakte machen aus Tests und Reviews auditfähige Nachweise.

3.1

Release Security Checklist

Zweck

Standard-Prüfliste vor jedem Release mit Pass/Fail-Kriterien und dokumentierten Ausnahmen.

Inhalt

SAST-Scan-Ergebnis, Dependency-Scan-Ergebnis, Threat-Modell aktualisiert, negative Tests bestanden, Vulnerability-Triage abgeschlossen.

Ablageort

`.github/pull_request_template.md` oder Release-Ticket-Template.

Auffrischung

Neue Prüfungs-Kategorie, Änderung der Release-Kadenz.

CRA Annex I, Part 2 (PT2.3)

3.2

Known Issues and Residual Risk Log

Zweck

Registriert bekannte Schwachstellen, die im aktuellen Release nicht behoben wurden, mit Begründung und Ablauf-Datum.

Inhalt

Vulnerability-ID, Schwere, Grund für Nicht-Behebung, kompensierende Kontrolle, Verantwortlicher, Review-Datum.

Ablageort

`docs/security/residual-risk-log.md` oder dediziertes Jira-Board mit Label.

Auffrischung

Jedes neu identifizierte, nicht sofort behebbare Risiko.

CRA Annex I, Part 2 (PT2.2)

Phase 04

Deployment

Deployment ist der Übergang vom Bau zum Betrieb. Drei Artefakte müssen den Übergang begleiten, damit Nutzer und Board wissen, worauf sie sich einlassen.

4.1

Support Period Decision Record

Zweck

Dokumentiert den festgelegten Unterstützungszeitraum je Produkt mit Begründung.

Inhalt

Produkt-Name, Support-Startdatum, Support-Enddatum (Monat und Jahr), Begründung basierend auf erwarteter Nutzungsdauer, Review-Datum.

Ablageort

`docs/lifecycle/support-period-{product}.md` oder Produktmanagement-System.

Auffrischung

Produkt-Roadmap-Änderung, Marktentwicklung.

CRA Article 13(8), Article 13(19)

4.2

Secure Update Process Description

Zweck

Beschreibt den End-to-End-Prozess für die Auslieferung von Sicherheitsupdates.

Inhalt

Signierungs-Prozess, Verteilungs-Mechanismus, Integritätsprüfung, Rollback-Verfahren, Nutzer-Benachrichtigung.

Ablageort

`docs/lifecycle/update-process.md`.

Auffrischung

Änderung des Update-Mechanismus, neue Signierungs-Anforderung.

CRA Annex I, Part 1 (PT1.2.c), Part 2 (PT2.7, PT2.8)

4.3

User Information and Instructions

Zweck

Sicherheits-relevante Informationen und Anweisungen, die dem Produkt beiliegen (nach Anhang II).

Inhalt

Sicherheits-Konfigurations-Anleitung, End-of-Life-Datum, sichere Deprovisionierung, Melde-Kontakt für Schwachstellen.

Ablageort

Als Beilage zum Produkt oder auf der Produkt-Support-Seite.

Auffrischung

Änderung der Sicherheits-Standardkonfiguration, Ende des Supports.

CRA Annex II

Phase 05

Maintenance

Nach dem Release beginnt der längste Teil des Produktlebens. Drei Artefakte tragen die Konformität durch den Unterstützungszeitraum.

5.1

Vulnerability Handling Process

Zweck

Intake-to-Fix-Workflow für Schwachstellen, mit SLAs pro Schwere.

Inhalt

Meldekanäle (CVD, interne Scans, Kundenberichte), Triage-Verantwortliche, SLA-Matrix (Critical/High/Medium/Low), Eskalations-Pfad.

Ablageort

`docs/security/vulnerability-process.md`.

Auffrischung

Änderung der SLAs, neue Meldekanäle.

CRA Annex I, Part 2 (PT2.2, PT2.5, PT2.6, PT2.7, PT2.8)

5.2

Article 14 Reporting Playbook

Zweck

Handlungs-Anleitung für die 24-Stunden-Frühwarnung, 72-Stunden-Meldung und den Abschluss-Bericht an ENISA.

Inhalt

Entscheidungs-Baum für Meldepflicht, Vorlagen für die drei Meldungen, Zugangs-Daten zur ENISA-Meldeplattform, Verantwortliche.

Ablageort

`docs/security/article14-playbook.md` mit Verweis auf einen geschützten Zugangs-Store.

Auffrischung

Änderung der Melde-Plattform, Erkenntnis aus einem realen Vorfall.

CRA Article 14, applies from 11 September 2026

5.3

Security Changelog

Zweck

Öffentliches Register aller Sicherheits-relevanten Änderungen mit CVE-Referenzen und Betroffenheits-Angaben.

Inhalt

Release-Version, Datum, Behobene Schwachstellen (CVE-IDs), betroffene Produktversionen, Behebungs-Hinweise.

Ablageort

Sicherheitsempfehlungen-Seite auf der Produktwebsite, plus Advisory-Mailingliste.

Auffrischung

Jeder Release mit Sicherheits-Auswirkung.

CRA Annex I, Part 2 (PT2.4, PT2.8)

Vom Artefakt zum Werkstück.

Fehlt ein Artefakt, erkennt Inspektor die Lücke direkt in Ihrem Jira und liefert die signierte Vorlage über Cronos.

Inspektor für Jira installieren

PDF-Version

Die Artefakt-Liste als PDF.

Druckfertig, mit derselben Struktur und Attribution.

PDF herunterladen