EaseCert | GPSR Compliance
Autorisierter Vertreter und Compliance-Dienst des EU-Cyber-Resilienzgesetzes
Autorisierter Vertreter und Compliance-Dienst des EU-Cyber-Resilienzgesetzes
Konnte die Verfügbarkeit von Abholung nicht laden
EU-Cybersicherheitskonformität und autorisierte Vertretung
EaseCert unterstützt Hersteller bei der Einhaltung der Vorschriften des EU Cyber Resilience Act (CRA) und fungiert als deren EU-Bevollmächtigter Vertreter für die Produkte mit digitalen Elementen, die unter den vereinbarten Leistungsumfang fallen.
Der Cyber Resilience Act führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein, die auf dem EU-Markt in Verkehr gebracht werden. Hersteller müssen die Cybersicherheit über den gesamten Produktlebenszyklus hinweg gewährleisten, die technische Dokumentation pflegen, Verfahren zum Umgang mit Sicherheitslücken festlegen, Sicherheitsupdates bereitstellen und die geltenden Melde- und Nachmarktpflichten erfüllen.
Dieser Service richtet sich an Hersteller mit Sitz außerhalb der Europäischen Union, die sowohl Unterstützung bei der Einhaltung der CRA-Vorschriften als auch einen in der EU ansässigen Bevollmächtigten benötigen.
Nach Abschluss der Dokumentenprüfung und Unterzeichnung des schriftlichen Mandats wird die EaseCert GmbH gemäß dem Cyber Resilience Act zum EU-Bevollmächtigten des Herstellers ernannt.
Im Rahmen des Mandats hat EaseCert Folgendes zu tun:
- Fungiert als regulatorischer Ansprechpartner in der EU für die betroffenen Produkte.
- Hält die EU-Konformitätserklärung und die technische Dokumentation für die Marktüberwachungsbehörden bereit.
- Beantwortet begründete Anfragen nach Informationen und Dokumentationen zur Einhaltung der Vorschriften.
- Kooperiert mit den EU-Marktüberwachungsbehörden in Bezug auf die unter das Mandat fallenden Produkte.
- Unterstützt die Kommunikation mit Aufsichtsbehörden, Dokumentationsanforderungen und Rückverfolgbarkeitsprüfungen.
Der Hersteller bleibt verantwortlich für Design, Entwicklung, Produktion, Cybersicherheit, Konformitätsbewertung, Umgang mit Schwachstellen, Sicherheitsupdates, Meldung von Vorfällen und die fortlaufende Konformität des Produkts.
Geeignete Produktkategorien
- Smart-Home-Geräte
- Internet der Dinge (IoT)-Produkte
- Unterhaltungselektronik
- Vernetzte Haushaltsgeräte
- Tragbare Geräte
- Intelligente Beleuchtungsprodukte
- Netzwerkgeräte
- Sicherheitskameras
- Vernetztes Spielzeug
- Industrielle IoT-Ausrüstung
- Intelligente Sensoren
- Drahtlose Geräte
- batteriebetriebene vernetzte Produkte
- Mit der angeschlossenen Hardware gelieferte Software
- Eigenständige Softwareprodukte
- Andere Produkte mit digitalen Elementen
Die Einhaltung des EU-Cyberresilienzgesetzes und des EAR-Prozesses in fünf Schritten
-
Produkt, Software und digitale Umgebung abbilden
Wir dokumentieren, wie das Produkt oder die Software bereitgestellt, installiert, genutzt, verbunden, aktualisiert und gewartet wird. Die Überprüfung umfasst Software- und Firmware-Versionen, Betriebsumgebungen, Cloud-Abhängigkeiten, APIs, Netzwerkschnittstellen, Benutzerrollen, Authentifizierungsmethoden, Datenflüsse, Bereitstellungsmodelle, unterstützte Plattformen, externe Dienste und Verbindungen zu anderen Geräten oder Systemen.
-
Überprüfung des Cybersicherheitslebenszyklus und des CRA-Geltungsbereichs
Wir bewerten den Verwendungszweck des Produkts, seine digitalen Funktionen, die Cybersicherheitsarchitektur, den Konformitätsbewertungsprozess und die geltenden Verpflichtungen gemäß CRA. Darüber hinaus überprüfen wir den sicheren Entwicklungszyklus des Herstellers, einschließlich Quellcodeverwaltung, Abhängigkeitsmanagement, Änderungsfreigabe, Sicherheitstests, Freigabeverfahren, Problemverfolgung, Patch-Entwicklung, Zugriffskontrollen und interne Cybersicherheitsverantwortlichkeiten.
-
Bewerten Sie Risiken, Abhängigkeiten, Schwachstellen und die SBOM.
Wir überprüfen die Cybersicherheitsrisikobewertung, Softwarekomponenten, Open-Source-Bibliotheken, Drittanbieterpakete, Cloud-Dienste und externe Abhängigkeiten.Soweit verfügbar, bewerten wir die Software-Stückliste (SBOM), Schwachstellenberichte, Abhängigkeitsinventar, den Schweregradbewertungsprozess, den Abläufe zur Behebung von Schwachstellen, das Verfahren zur koordinierten Offenlegung von Schwachstellen, den Prozess für Sicherheitsupdates und die Verpflichtungen hinsichtlich des Supportzeitraums.
-
CRA-Konformitätsdokumentation erstellen und prüfen
EaseCert erstellt, prüft und organisiert die vereinbarten regulatorischen Dokumente. Dies kann die Cybersicherheitsrisikobewertung, die Produkt- und Softwarearchitekturbeschreibung, die technische Dokumentation, SBOM-Einträge, das Verfahren zum Umgang mit Schwachstellen, die Richtlinie zur koordinierten Offenlegung von Schwachstellen, das Verfahren für Softwareaktualisierungen, die Erklärung zum Supportzeitraum, Sicherheitsinformationen für Benutzer, den Workflow zur Meldung von Sicherheitsvorfällen, Informationen zur Rückverfolgbarkeit und die EU-Konformitätserklärung umfassen.
-
EaseCert als EU-Bevollmächtigten ernennen
Nach Abschluss der Konformitätsprüfung und Unterzeichnung des schriftlichen Mandats wird die EaseCert GmbH als EU-Bevollmächtigter des Herstellers für die betreffenden Produkte benannt. EaseCert verwahrt die EU-Konformitätserklärung und die technische Dokumentation, beantwortet begründete Anfragen der Marktüberwachungsbehörden und arbeitet mit diesen hinsichtlich Konformitätsrisiken und Korrekturmaßnahmen zusammen. Die Benennung gilt vorbehaltlich des vereinbarten Mandats, der vereinbarten Leistungsbedingungen und der fortlaufenden Konformität der betreffenden Produkte.
EU-Bevollmächtigter-Vertreter-Service
Der Service des EU-Bevollmächtigten ist für Hersteller mit Sitz außerhalb der Europäischen Union inbegriffen.
Die Beauftragung wird durch ein schriftliches Mandat formalisiert, in dem der Hersteller, die betroffenen Produkte und die EaseCert zugewiesenen regulatorischen Aufgaben aufgeführt sind.
EaseCerts EAR-Verantwortlichkeiten
- Als ernannter EU-Bevollmächtigter gemäß dem Cyber Resilience Act fungieren
- Bewahren Sie eine Kopie des unterzeichneten schriftlichen Mandats auf.
- Die EU-Konformitätserklärung ist den Marktüberwachungsbehörden zugänglich zu machen.
- Halten Sie die erforderlichen technischen Unterlagen den Marktüberwachungsbehörden zur Verfügung.
- Nach einer begründeten Genehmigungsanfrage sind die entsprechenden Informationen und Dokumente zur Einhaltung der Vorschriften bereitzustellen.
- Kooperieren Sie mit den Behörden hinsichtlich der von den betroffenen Produkten ausgehenden Risiken.
- Unterstützung der Kommunikation mit den Aufsichtsbehörden und der Bearbeitung von Dokumentationsanfragen
- Unterstützung von Rückverfolgbarkeitsprüfungen in Bezug auf den Hersteller und die betroffenen Produkte
- Informieren Sie den Hersteller über alle relevanten behördlichen Anfragen, die EaseCert erhält.
Verantwortlichkeiten des Herstellers
Die Ernennung von EaseCert überträgt nicht die Kernverpflichtungen des Herstellers gemäß dem Cyber Resilience Act.
Der Hersteller bleibt verantwortlich für:
- Entwicklung und Gestaltung konformer Produkte und Software
- Durchführung und Pflege der Cybersicherheitsrisikobewertung
- Erfüllung der wesentlichen Cybersicherheitsanforderungen
- Durchführung der entsprechenden Konformitätsbewertung
- Erstellung und Pflege genauer technischer Dokumentation
- Unterzeichnung der EU-Konformitätserklärung
- Anbringen der CE-Kennzeichnung an den erforderlichen Stellen
- Überwachung und Behebung von Schwachstellen
- Bereitstellung von Sicherheitsupdates während des Supportzeitraums
- Meldung aktiv ausgenutzter Sicherheitslücken und schwerwiegender Sicherheitsvorfälle
- Ergreifen von Korrekturmaßnahmen, wenn ein Produkt nicht den Vorschriften entspricht oder ein Cybersicherheitsrisiko darstellt
- EaseCert über relevante Änderungen bei Produkten, Software, Eigentumsverhältnissen oder der Einhaltung von Vorschriften informieren.
Was ist im Lieferumfang enthalten?
- Anwendbarkeitsbewertung des Cyber Resilience Act
- Überprüfung des Produkt- und Softwareumfangs
- Überprüfung des Konformitätsbewertungsverfahrens
- Überprüfung der vorhandenen technischen Dokumentation
- Überprüfung der Cybersicherheitsdokumentation
- Analyse von Compliance-Lücken im Bereich Cybersicherheit
- Überprüfung des sicheren Softwareentwicklungszyklus
- Überprüfung der Produktidentifizierung und Rückverfolgbarkeit
- Überprüfung der Produktkennzeichnung und der CE-Kennzeichnungsinformationen
- Überprüfung der Benutzerdokumentation und Sicherheitsanweisungen
- Überprüfung der Verfahren zum Umgang mit Schwachstellen
- Überprüfung der Softwareaktualisierungs- und Wartungsverfahren
- Prüfung der Software-Stückliste, falls verfügbar
- Überprüfung der Dokumentation zum Unterstützungszeitraum
- Überprüfung der EU-Konformitätserklärung
- Schriftlicher Compliance-Bericht und Empfehlungen
- Schriftliches Mandat für den EU-Bevollmächtigten
- Ernennung der EaseCert GmbH zum EU-Bevollmächtigten
- Aufbewahrung der EU-Konformitätserklärung und der technischen Dokumentation
- Regulierungsstelle in der EU
- Unterstützung bei Anfragen der Marktüberwachungsbehörde
- Regulatorische Leitlinien während des gesamten Projekts
Erforderliche Unterlagen
Herstellerinformationen
- Rechtsgültiger Firmenname
- Registrierte Geschäftsadresse
- Firmenregistrierungsnummer
- Ansprechpartner
- E-Mail-Adresse
- Telefonnummer
- Webseite
- EU-Importinformationen, falls zutreffend
Produktinformationen
- Produktname
- Markenname
- Modellnummer
- SKU oder Produktkennung
- Technische Spezifikationen
- Produktfotos
- Verwendungszweck und Zielgruppe
- Kommunikationstechnologien
- Benutzerhandbuch
- Verpackungsgrafik
- Produktetiketten
- Informationen zur CE-Kennzeichnung
Software- und Cybersicherheitsinformationen
- Firmware- und Softwareversionen
- Software- und Hardwarearchitektur
- Kommunikationsprotokolle
- Netzwerkschnittstellen
- Cloud-Dienste und externe Abhängigkeiten
- Authentifizierungs- und Zugriffskontrollmethoden
- Verschlüsselungsmethoden, sofern anwendbar
- Software-Aktualisierungsmechanismus
- Sicherheitsupdate- und Patching-Prozess
- Verfahren zum Umgang mit Schwachstellen
- Richtlinie zur koordinierten Offenlegung von Sicherheitslücken
- Unterstützungszeitraum
- Software-Stückliste, falls verfügbar
- Sichere Dokumentation des Entwicklungslebenszyklus
- Verfahren zur Meldung von Vorfällen
Vorhandene Compliance-Dokumentation
- EU-Konformitätserklärung
- Technische Dokumentation
- Cybersicherheitsrisikobewertung
- Anwendbare CE-Prüfberichte
- Software- und Firmware-Dokumentation
- Vorhandene Cybersicherheitstestberichte
- Penetrationstestberichte, falls verfügbar
- Schwachstellenscanberichte, sofern verfügbar
- Zertifizierungsberichte, sofern verfügbar
- Bestehende Bevollmächtigungsvereinbarungen, sofern zutreffend
Serviceeinschränkungen
EaseCert bietet im Rahmen des unterzeichneten Mandats regulatorische Beratung, Compliance-Bewertung, Unterstützung bei der Dokumentation und Dienstleistungen als EU-Bevollmächtigter an.
Sofern nicht gesondert schriftlich vereinbart, umfasst die Dienstleistung Folgendes nicht:
- Penetrationstests
- Quellcode-Überprüfung
- Schwachstellenscan
- Ethisches Hacking
- Labortests
- Cybersicherheitszertifizierung
- Konformitätsbewertung der benannten Stelle
- Entwicklung oder Modifizierung von Software
- Software-Sanierung oder Schwachstellenbehebung
- Kontinuierliche Überwachung technischer Schwachstellen
- Sicherheitsoperationszentrumsdienste
- Reaktion auf technische Vorfälle
- Produkt- oder Software-Neugestaltung
- Die Einreichung von Herstellerberichten ist nur zulässig, wenn dies ausdrücklich im schriftlichen Auftrag vorgesehen und rechtlich zulässig ist.
Wenn technische Cybersicherheitstests erforderlich sind, kann EaseCert bei der Definition des Testumfangs helfen und die Koordination mit einem qualifizierten Cybersicherheitslabor oder technischen Anbieter übernehmen.
Die Ernennung von EaseCert zum EU-Bevollmächtigten stellt keine Produktzertifizierung, -genehmigung oder -bestätigung dar, dass das Produkt frei von Cybersicherheitslücken ist.
Der Hersteller bleibt rechtlich verantwortlich für die Cybersicherheit, die Konformität, die Genauigkeit der Dokumentation und die fortlaufende Konformität seiner Produkte.
Bearbeitungszeit
Die meisten ersten Compliance-Prüfungen sind innerhalb von etwa 5 bis 10 Werktagen nach Eingang aller erforderlichen Unterlagen abgeschlossen.
Die Bestellung des EU-Bevollmächtigten tritt in Kraft, nachdem die Dokumentenprüfung abgeschlossen ist, die betroffenen Produkte von EaseCert akzeptiert wurden und das schriftliche Mandat von beiden Parteien unterzeichnet wurde.
Die Bearbeitungszeiten können je nach Produktkomplexität, Anzahl der Produktgruppen, Vollständigkeit der eingereichten Dokumentation, Konformitätsbewertungsverfahren und der Notwendigkeit zusätzlicher technischer Tests variieren.
Häufig gestellte Fragen
Was ist der EU-Cyberresilienz-Act?
Der EU-Akt zur Cyberresilienz legt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die auf dem EU-Markt in Verkehr gebracht werden. Er deckt die Cybersicherheit über den gesamten Produktlebenszyklus hinweg ab, einschließlich Design, Entwicklung, Umgang mit Schwachstellen, Sicherheitsupdates, technische Dokumentation, Konformitätsbewertung und Überwachung nach dem Inverkehrbringen.
Ist in diesem Service ein EU-Bevollmächtigter enthalten?
Ja. Die Ernennung der EaseCert GmbH zum EU-Bevollmächtigten des Herstellers gemäß dem Cyber Resilience Act ist für die im Rahmen des vereinbarten Leistungsumfangs akzeptierten Produkte inbegriffen.
Die Ernennung tritt nach Abschluss der Konformitätsprüfung und Unterzeichnung des schriftlichen Mandats durch den Hersteller und EaseCert in Kraft.
Welche Aufgaben übernimmt EaseCert als EU-Bevollmächtigter?
EaseCert hält die EU-Konformitätserklärung und die technische Dokumentation für die Marktüberwachungsbehörden bereit, beantwortet begründete Anfragen nach Konformitätsinformationen und arbeitet mit den Behörden in Bezug auf Produkte zusammen, die unter das schriftliche Mandat fallen.
Werden durch die Beauftragung von EaseCert die Verantwortlichkeiten des Herstellers übertragen?
Nein. Der Hersteller bleibt verantwortlich für Produktdesign, Softwareentwicklung, Cybersicherheitsrisikomanagement, Konformitätsbewertung, technische Dokumentation, Umgang mit Schwachstellen, Sicherheitsupdates, Meldung von Vorfällen, Korrekturmaßnahmen und die fortlaufende Einhaltung der Vorschriften.
Muss der Termin dokumentiert werden?
Ja. Die Beauftragung erfolgt durch ein schriftliches Mandat, in dem der Hersteller, die EaseCert GmbH, die betroffenen Produkte und die EaseCert zugewiesenen regulatorischen Aufgaben aufgeführt sind.
Welche Produkte fallen unter den Cyber Resilience Act?
Die Verordnung gilt im Allgemeinen für Hardware- und Softwareprodukte mit digitalen Elementen, die direkt oder indirekt mit einem anderen Gerät oder Netzwerk verbunden sind. Dies umfasst vernetzte Konsumprodukte, IoT-Geräte, Netzwerkgeräte, industrielle Digitalprodukte, eingebettete Software und eigenständige Software.
Gilt der Cyber Resilience Act auch für eigenständige Software?
In vielen Fällen ja. Eigenständige Software, die auf dem EU-Markt angeboten wird, kann unter den Anwendungsbereich des Cyber Resilience Act fallen, abhängig von der Art der Bereitstellung, ihrem Verwendungszweck und dem Vorliegen einer Ausnahmeregelung.
Wann gelten die Anforderungen des Cyber Resilience Act?
Das Cyber Resilience Act trat am 10. Dezember 2024 in Kraft. Die Hauptanforderungen gelten ab dem 11. Dezember 2027. Die Meldepflichten für Sicherheitslücken und schwerwiegende Vorfälle gelten ab dem 11. September 2026.
Was ist eine Software-Stückliste?
Eine Software-Stückliste (SBOM) ist ein strukturiertes Verzeichnis der in einem Produkt verwendeten Softwarekomponenten, Bibliotheken, Abhängigkeiten und Drittanbieterelemente. Sie hilft Herstellern festzustellen, ob ein Produkt betroffen ist, wenn eine Sicherheitslücke identifiziert wird.
Benötige ich Cybersicherheitstests?
Die Testanforderungen hängen vom Produkt, den Cybersicherheitsrisiken, den geltenden Normen, der Produktklassifizierung und dem gewählten Konformitätsbewertungsverfahren ab. EaseCert prüft die verfügbaren Nachweise und ermittelt, ob zusätzliche Tests oder eine Bewertung durch Dritte erforderlich sind.
Führt EaseCert Penetrationstests durch?
Nein. Penetrationstests, Quellcodeanalysen, Schwachstellenscans und spezialisierte Cybersicherheitstests müssen von einem qualifizierten technischen Dienstleister durchgeführt werden. EaseCert unterstützt Sie gerne bei der Definition und Koordination des erforderlichen Testumfangs.
Wird das Produkt von EaseCert zertifiziert?
Nein. EaseCert bietet Unterstützung bei der Einhaltung regulatorischer Bestimmungen und fungiert als EU-Bevollmächtigter Vertreter. EaseCert stellt keine Cybersicherheitszertifikate aus, führt keine Labortests durch und ist keine Benannte Stelle.
Kann EaseCert die erforderlichen Unterlagen erstellen?
Ja. Je nach vereinbartem Umfang kann EaseCert die CRA-Dokumentation erstellen, überprüfen oder organisieren, einschließlich der Cybersicherheitsrisikobewertung, der technischen Dokumentation, des Verfahrens zum Umgang mit Schwachstellen, des Software-Update-Prozesses, der Dokumentation zum Supportzeitraum, der Benutzersicherheitsinformationen und der EU-Konformitätserklärung.
Können mehrere Modelle mit einem Termin abgedeckt werden?
Modelle mit derselben Softwareplattform, Firmware, Hardwarearchitektur, Konnektivität, demselben Aktualisierungsmechanismus, demselben Verwendungszweck und denselben Cybersicherheitskontrollen können unter Umständen zusammengefasst werden. EaseCert prüft die Produktpalette, bevor der Geltungsbereich bestätigt wird.
Beinhaltet der Service eine kontinuierliche Überwachung von Schwachstellen?
Nein. Der Standard-Service umfasst keine kontinuierliche technische Überwachung, Sicherheitsmaßnahmen, Softwarewartung oder Reaktion auf Sicherheitsvorfälle. Der Hersteller muss während des gesamten Supportzeitraums geeignete Cybersicherheitsprozesse nach dem Inverkehrbringen aufrechterhalten.
Wie lange dauert die Dienstleistung?
Die meisten Erstprüfungen sind innerhalb von etwa 5 bis 10 Werktagen nach Eingang aller erforderlichen Unterlagen abgeschlossen. Der Termin beim EAR (Employment Review Board) beginnt, sobald die Prüfung abgeschlossen und das schriftliche Mandat unterzeichnet ist.
Starten Sie Ihr EU-Cybersicherheits-Compliance- und EAR-Projekt
Geben Sie Ihre Bestellung auf und EaseCert wird sich per E-Mail mit Ihnen in Verbindung setzen, um Ihnen die Liste der erforderlichen Dokumente, das schriftliche Mandat und die nächsten Schritte für die Überprüfung der Einhaltung des Cyber Resilience Act und die Ernennung des EU-Bevollmächtigten mitzuteilen.
Aktie
