Der kostenlose CRA Snapshot gibt Ihnen einen ersten, nachweisbasierten Überblick über ein Produkt. Er zeigt, was in Ihrem Build steckt und welche Fragen zuerst bearbeitet werden sollten. Sie erhalten eine begrenzte technische Bestandsaufnahme, bevor Sie über eine größere Beauftragung entscheiden. Der Snapshot ist keine abschließende Konformitätsbewertung.
Was Sie erhalten
Wir erstellen eine Komponentenübersicht aus den vereinbarten Unterlagen. Bekannte Schwachstellen werden nach Schweregrad geordnet und mit Listen aktiv ausgenutzter Schwachstellen abgeglichen. Dazu kommen eine voraussichtliche Produktklasse mit erkennbaren Vorbehalten, zehn priorisierte Lücken und konkrete nächste Schritte. Das Ergebnis ist ein PDF-Bericht mit acht bis zwölf Seiten. Er bezieht sich auf ein Produkt und eine bereitgestellte Version.
Die Bearbeitungszeit beträgt 48 Stunden nach Eingang der vereinbarten Unterlagen. Sie beginnt nicht allein mit dem Absenden des Formulars. Wenn wichtige Artefakte fehlen oder eine Identität nicht verifiziert werden kann, dokumentieren wir das. Ein technisch ehrlicher Befund kann deshalb auch eine offene Frage enthalten. Sie sollen erkennen können, welche Aussage sich auf welche Grundlage stützt.
Welche Unterlagen helfen
Beschreiben Sie Produkt, Zielmarkt und aktuelle Version. Eine vorhandene SBOM, Build-Ausgabe, ein Container-Image oder vereinbarter Zugriff auf Quellen kann als Grundlage dienen. Wir stimmen eine kurze schriftliche Freigabe und einen geeigneten Übertragungsweg ab. Laden Sie keine Artefakte im Kontaktformular hoch. Die erste Anfrage benötigt nur die sichtbaren Angaben zum Produkt und Ihrem Kontakt.
Bei einem vernetzten Gerät hilft es, Begleit-App und notwendige entfernte Dienste zu nennen. Teilen Sie mit, welche älteren Versionen noch unterstützt werden und wer den Build verantwortet. Diese Informationen machen die Produktgrenze verständlich. Ohne sie kann eine Komponentenliste versehentlich nur einen Teil des ausgelieferten Produkts beschreiben. Solche Grenzen werden im Bericht ausdrücklich festgehalten.
Was der Snapshot nicht enthält
Die Leistung umfasst weder Änderungen am Code noch die vollständige technische Dokumentation oder Penetrationstests. Auch eine verbindliche Entscheidung über das Konformitätsbewertungsverfahren gehört nicht zu dieser ersten Bestandsaufnahme. Die voraussichtliche Klasse ist ein Hinweis für die nächste Prüfung. Gerade wichtige oder kritische Produkte können zusätzliche Fragen aufwerfen, die eine vertiefte Bewertung benötigen.
Im Ergebnisgespräch können Sie entscheiden, ob eine Bereitschaftsanalyse sinnvoll ist. Sie können den Bericht ebenso mit Ihrem eigenen Team weiterbearbeiten. Es gibt keine automatische Umwandlung in ein Abonnement. Wichtig ist, dass die nächsten Schritte an konkrete Nachweise anschließen: ein überprüfbares Inventar, eine offene Klassifizierungsfrage oder eine priorisierte Entwicklungsaufgabe.
Von der Freigabe zum nutzbaren Ergebnis
Vor dem Start stimmen wir Produktgrenze, unterstützte Versionen und Zugriff ab. Benennen Sie einen technischen Ansprechpartner und eine Person, die Ergebnisse freigeben kann. Eine Modellbezeichnung allein genügt nicht, wenn mehrere Firmwarezweige, eine Begleit-App und notwendige Datenfernverarbeitung zusammenwirken. Die vereinbarte Grenze wird in Bestandsaufnahme, Bewertung und Dokumentation einheitlich verwendet.
Jeder bestätigte Befund erhält einen Versionsbezug und eine nachvollziehbare Begründung. Unvollständige Unterlagen bleiben als solche erkennbar. Wir dokumentieren, welche Schlussfolgerungen durch die vorhandenen Artefakte gedeckt sind und welche weiteren Prüfungen nötig werden. Ihr Entwicklungsteam kann damit erkennen, warum eine Aufgabe entsteht und wann sie als erledigt gelten kann.
Zum Abschluss besprechen wir Fakten, offene Fragen und nächste Maßnahmen. Jede Folgeaufgabe bekommt einen Verantwortlichen und einen Prüftermin. So bleibt die Arbeit nach einem Releasewechsel nutzbar. Der Hersteller verantwortet weiterhin Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterzeichnung der EU-Konformitätserklärung. Externe Unterstützung übernimmt konkrete Aufgaben innerhalb des vereinbarten Umfangs.
Leistungsumfang und Zusammenarbeit
Projekte werden zu 50 % im Voraus bezahlt. Die weiteren Zahlungen richten sich nach vereinbarten Meilensteinen. Rechnungen werden in Euro gestellt, zzgl. MwSt. Abonnementumfang und Abrechnung werden vor Aktivierung vereinbart. Labore und benannte Stellen haben eigene Aufgaben und gesonderte Kosten. Roja führt keine Penetrationstests durch und ist keine benannte Stelle.
Vorhandene Software-Stücklisten oder Build-Artefakte können als Einstieg dienen. Vollständiger Quellcodezugriff ist nicht automatisch erforderlich. Wenn die Unterlagen eine Aussage nicht tragen, benennen wir die Grenze und stimmen den nächsten Schritt ab. Senden Sie keine vertraulichen Artefakte über das Anfrageformular. Zuerst vereinbaren wir Freigabe und Übertragungsweg.
Wie sich diese Leistung in die Anforderungen einordnet, lesen Sie im CRA-Leitfaden. Relevant sind insbesondere die SBOM-Anforderungen und die Meldepflicht nach Artikel 14. Die Preisseite hilft, einmalige Vorbereitung und laufende Betreuung auseinanderzuhalten.
Häufige Fragen
Wer bleibt für die Konformität verantwortlich?
Der Hersteller verantwortet Klassifizierung, Konformitätsentscheidungen, Meldungen und die Unterschrift. Roja bereitet Nachweise und Entwürfe vor und unterstützt bei der technischen Arbeit.
Müssen wir sofort den vollständigen Quellcode bereitstellen?
Nein. Wir vereinbaren zuerst die erforderlichen Unterlagen. Eine vorhandene SBOM oder Build-Ausgabe kann genügen, um den Einstieg und erkennbare Grenzen zu klären.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.