Was Kunnus abdeckt, Anforderung für Anforderung
Kunnus deckt Anhang I Teil I und Teil II sowie die Herstellerpflichten aus Art. 13 und 14 der Verordnung (EU) 2024/2847 ab, dazu die Einstufung nach Art. 7 und das Verfahren bis zur EU-Konformitätserklärung. In dieser Matrix steht jede einzelne Anforderung mit ihrer Fundstelle und der Angabe, ob die Plattform den Prozess selbst ausführt oder den Nachweis dazu führt.
Basis: Verordnung (EU) 2024/2847, Stand August 2026
Welche Anforderungen des EU Cyber Resilience Act deckt Kunnus ab?
Kunnus adressiert alle grundlegenden Cybersicherheitsanforderungen des Anhangs I. Die 14 Produkteigenschaften aus Teil I werden je Produkt bewertet und nachgewiesen. Die 8 Anforderungen an die Schwachstellenbehandlung aus Teil II laufen überwiegend als Workflows in der Plattform, etwa die SBOM-Verwaltung und das Schwachstellen-Monitoring. Dazu kommen die Herstellerpflichten aus Art. 13, der Meldeworkflow nach Art. 14 mit seinen Fristen, die Einstufung nach Art. 7 sowie das Konformitätsverfahren bis zur EU-Konformitätserklärung nach Art. 28.
Kunnus führt den Prozess selbst in der Plattform aus. Beispiele sind die SBOM-Verwaltung oder das Schwachstellen-Monitoring.
Die Anforderung setzen Sie in Ihrem Produkt oder Ihrer Organisation um. Kunnus prüft sie strukturiert ab und führt den auditfähigen Nachweis.
Keine Software macht Ihr Produkt von allein konform. Deshalb unterscheidet die Matrix sauber danach, was Kunnus selbst ausführt und wofür Kunnus den Nachweis führt.
Art. 13 und 14 — Herstellerpflichten und Meldepflichten
Art. 13 bündelt die Herstellerpflichten von der Risikobewertung bis zur technischen Dokumentation; Art. 14 regelt die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle mit festen Fristen.
| Fundstelle | Anforderung | So unterstützt Kunnus | Feature |
|---|---|---|---|
| Art. 13 Abs. 2 und 3 | Cybersicherheits-Risikobewertung durchführen, dokumentieren und aktuell halten (Teil der technischen Dokumentation) | Plattform-Workflow Strukturierte Risikobewertung je Produkt in der Plattform; Ergebnisse fließen direkt in Assessment und Dokumentation. | |
| Art. 13 Abs. 5 | Sorgfaltspflicht bei der Integration von Komponenten Dritter | Plattform-Workflow Lieferanten- und Komponentenbewertung plus SBOM-Transparenz über alle Drittkomponenten und deren Schwachstellen. | |
| Art. 13 Abs. 8 und 9 | Unterstützungszeitraum festlegen (i. d. R. mind. 5 Jahre) und Sicherheitsupdates bereitstellen | Plattform-Workflow Unterstützungszeiträume und Update-Verpflichtungen werden je Produkt und Variante direkt in der Plattform gepflegt und verwaltet. | |
| Art. 13 i. V. m. Anhang VII | Technische Dokumentation erstellen und aktuell halten | Plattform-Workflow Auditfähige Berichte und Nachweise aus der Plattform. Kunnus deckt die CRA-Schicht ab; weitere Schritte des CE-Prozesses aus anderen Rechtsakten bleiben beim Hersteller. | |
| Art. 14 | Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle (Frühwarnung 24 h, Meldung 72 h, Abschlussbericht) | Plattform-Workflow Meldeworkflow mit Fristenverfolgung: von der Erkennung über die 24-h-Frühwarnung bis zum Abschlussbericht, inklusive Dokumentation. |
Anhang I Teil I — Eigenschaften von Produkten mit digitalen Elementen
Teil I beschreibt Sicherheitseigenschaften des Produkts selbst; umgesetzt werden sie in Ihrer Entwicklung. Kunnus macht daraus einen prüfbaren Katalog: Jede Eigenschaft wird je Produkt bewertet, begründet und mit Nachweisen hinterlegt.
| Fundstelle | Anforderung | So unterstützt Kunnus | Feature |
|---|---|---|---|
| Anhang I Teil I Nr. 1 | Angemessenes Cybersicherheitsniveau auf Basis der Risiken (Security by Design) | Bewertung & Nachweis Kunnus verknüpft die Anforderung mit der Risikobewertung nach Art. 13 Abs. 2 und dokumentiert die Begründung je Produkt. | |
| Anhang I Teil I Nr. 2 lit. a | Bereitstellung ohne bekannte ausnutzbare Schwachstellen | Plattform-Workflow SBOM-basierter Abgleich gegen Schwachstellendatenbanken vor und nach dem Release. Bekannte Schwachstellen werden erkannt und bis zur Behebung verfolgt. | |
| Anhang I Teil I Nr. 2 lit. b | Sichere Standardkonfiguration und Zurücksetzbarkeit | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. c | Behebbarkeit von Schwachstellen durch (auch automatische) Sicherheitsaktualisierungen | Bewertung & Nachweis Update-Fähigkeit wird im Assessment abgeprüft; der Update-Prozess je Produkt ist dokumentiert und nachweisbar. | |
| Anhang I Teil I Nr. 2 lit. d | Schutz vor unbefugtem Zugriff (Authentifizierung, Identitäts- und Zugangsverwaltung) | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. e | Vertraulichkeit gespeicherter, übermittelter und verarbeiteter Daten (Verschlüsselung) | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. f | Integrität von Daten, Befehlen, Programmen und Konfiguration | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. g | Datenminimierung: Verarbeitung nur der zweckbezogen erforderlichen Daten | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. h | Verfügbarkeit wesentlicher Funktionen, auch nach Sicherheitsvorfällen (DoS-Resilienz) | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. i | Minimierung negativer Auswirkungen auf Dienste anderer Geräte und Netze | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. j | Möglichst geringe Angriffsflächen, auch bei externen Schnittstellen | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. k | Begrenzung der Auswirkungen von Vorfällen (Exploit-Mitigation) | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. l | Aufzeichnung und Überwachung sicherheitsrelevanter Vorgänge (mit Opt-out) | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil I Nr. 2 lit. m | Sichere und einfache Löschung sowie sichere Übertragung von Daten und Einstellungen | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. |
Anhang I Teil II — Anforderungen an die Behandlung von Schwachstellen
Teil II beschreibt laufende Herstellerprozesse über den gesamten Unterstützungszeitraum. Hier arbeitet die Plattform selbst: SBOM, Schwachstellen-Monitoring und Nachweisführung sind Kunnus-Kernworkflows.
| Fundstelle | Anforderung | So unterstützt Kunnus | Feature |
|---|---|---|---|
| Anhang I Teil II Nr. 1 | Schwachstellen und Komponenten ermitteln und dokumentieren, inklusive SBOM in maschinenlesbarem Format | Plattform-Workflow SBOM-Erstellung und -Import (mehrere Formate), Abhängigkeits-Tracking über alle Produkte und Versionen. | |
| Anhang I Teil II Nr. 2 | Schwachstellen unverzüglich behandeln und beheben; Sicherheits- getrennt von Funktionsupdates | Plattform-Workflow Triage, Priorisierung und Statusverfolgung bis zur Behebung in der Plattform; die Update-Auslieferung selbst erfolgt produktseitig. | |
| Anhang I Teil II Nr. 3 | Regelmäßige und wirksame Tests und Überprüfungen der Produktsicherheit | Plattform-Workflow Kontinuierliches Schwachstellen-Monitoring plus CI-Scans mit dem Open-Source kunnus-scanner; Testzyklen sind als Nachweis dokumentiert. | |
| Anhang I Teil II Nr. 4 | Informationen über behobene Schwachstellen teilen und veröffentlichen | Plattform-Workflow Behobene Schwachstellen sind je Produkt und Version dokumentiert. Daraus entstehen Ihre Security Advisories. | |
| Anhang I Teil II Nr. 5 | Strategie für die koordinierte Offenlegung von Schwachstellen (CVD-Policy) | Plattform-Workflow Die CVD-Policy entsteht in der Plattform selbst: Vorlage aus der Policy-Bibliothek anpassen und im Genehmigungsworkflow freigeben. Die freigegebene Policy ist zugleich der Nachweis. | |
| Anhang I Teil II Nr. 6 | Informationsaustausch erleichtern; Kontaktadresse für Schwachstellenmeldungen | Plattform-Workflow Externe Melder reichen Schwachstellen über einen teilbaren Link ein, ganz ohne Account. Eingehende Meldungen werden erfasst, priorisiert und nachvollziehbar bearbeitet. | |
| Anhang I Teil II Nr. 7 | Mechanismen für die sichere Verbreitung von Aktualisierungen | Bewertung & Nachweis Wird im Produkt umgesetzt; Kunnus prüft die Anforderung im Assessment ab und führt den auditfähigen Nachweis je Produkt. | |
| Anhang I Teil II Nr. 8 | Sicherheitsaktualisierungen unverzüglich und kostenlos, mit Hinweisen für Nutzer | Bewertung & Nachweis Update- und Support-Verpflichtungen sind je Produkt im Lebenszyklus hinterlegt und werden im Assessment abgeprüft. |
Art. 7, 16, 28 und 32 — Einstufung, Meldeplattform und Konformitätsverfahren
Vor Anhang I steht die Einstufung, nach Anhang I das Verfahren. Auch diese Schritte bildet Kunnus ab: von der Risikoklasse über die Meldung an die einheitliche Meldeplattform bis zur EU-Konformitätserklärung.
| Fundstelle | Anforderung | So unterstützt Kunnus | Feature |
|---|---|---|---|
| Art. 7 · Anhang III/IV | Produkte als wichtig (Klasse I/II) oder kritisch einstufen | Plattform-Workflow Der Klassifizierungsassistent prüft jedes Produkt gegen die Kriterien der Anhänge III und IV, empfiehlt die Klasse und dokumentiert die Entscheidung. | |
| Art. 16 | Meldung über die einheitliche Meldeplattform der ENISA | Plattform-Workflow Der Meldeworkflow bereitet Frühwarnung, Meldung und Abschlussbericht fristgerecht und vollständig auf; die Übermittlung erfolgt über die einheitliche Meldeplattform. | |
| Art. 32 · Anhang VIII | Konformitätsbewertungsverfahren wählen und durchführen (Modul A, B+C oder H) | Plattform-Workflow Assessments mit vorgefertigten Frameworks, Evidenz-Upload und Freigaben strukturieren das Verfahren; jeder Schritt liegt im Audit-Trail. | |
| Art. 28 · Anhang V | EU-Konformitätserklärung ausstellen und aktuell halten | Plattform-Workflow Sobald ein Produkt vollständige Konformität erreicht, erzeugt Kunnus die EU-Konformitätserklärung nach Anhang V, vorausgefüllt mit Metadaten und Klassifizierung. |
Jede Fundstelle verlinkt auf den vollständigen Rechtstext in unserer Wissensdatenbank.
Quelle: Verordnung (EU) 2024/2847, Anhang I sowie Art. 7, 13, 14, 16, 28 und 32
Gehen Sie die Matrix an einem Ihrer Produkte durch
Eine halbe Stunde reicht. Wir gehen die Abdeckungsmatrix an einem Ihrer echten Produkte durch, und Sie wissen danach, wo Sie heute stehen.