Studio-Angebot
Arbeitsbereich für CRA-Meldungen jede Frist, freigegeben durch eine Person.
Seit dem 11. September 2026 hat ein Hersteller, der von einer aktiv ausgenutzten Schwachstelle in seinem Produkt Kenntnis erlangt, 24 Stunden für eine Frühwarnung und 72 Stunden für eine Meldung, danach folgt ein Abschlussbericht. Wir bauen den Arbeitsbereich, in dem Ihr Team das abwickelt: die Fristen, Entwürfe aus Ihren Daten, eine Person, die freigibt, und eine Akte über alles.
Die Verordnung, im Wortlaut
24 Stunden
Der Hersteller legt „unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle unter Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt mit digitalen Elementen des Herstellers seiner Kenntnis nach bereitgestellt wurde“ vor.
72 Stunden
„… sofern die einschlägigen Informationen nicht bereits vorgelegt wurden, unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen, die allgemeine Informationen, soweit verfügbar, über das betreffende Produkt mit digitalen Elementen, über die allgemeine Art der Ausnutzung und der betreffenden Schwachstelle sowie über alle ergriffenen Korrektur- oder Risikominderungsmaßnahmen …“
14 Tage
„… spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht, der mindestens Folgendes enthält: i) eine Beschreibung der Schwachstelle, einschließlich ihres Schweregrads und ihrer Auswirkungen“.
Wörtlich zitiert aus dem amtlichen deutschen Wortlaut der Verordnung (EU) 2024/2847 auf EUR-Lex. Eigene Schätzungen fügen wir nicht hinzu.
So sieht es aus
Kenntnis seit
Di 09:40
Frühwarnung fällig
Mi 09:40
Meldung fällig
Fr 09:40
Schritte freigegeben
1 von 4
| Schritt | Frist | Verantwortlich | Inhalt | Status |
|---|---|---|---|---|
| Frühwarnung | 24 Stunden | Produktsicherheit | Produkt, Mitgliedstaaten | Abgezeichnet |
| Meldung der Schwachstelle | 72 Stunden | Produktsicherheit | Produkt, Ausnutzung, Massnahmen | Entwurf |
| Abschlussbericht | 14 Tage nach der Korrektur | Produktsicherheit | Beschreibung, Schweregrad, Auswirkungen | Offen |
| Kundenhinweis | Mit der Korrektur | Kundendienst | Geräte und Massnahmen | Entwurf |
Entwurf der Oberfläche mit erfundenen Beispieldaten, zur Veranschaulichung. Kein Screenshot eines laufenden Systems.
So ist es angebunden
SAP S/4HANA
- Materialien, Seriennummern, Equipments
- Lieferungen, Kunden, Empfängerländer
- Kern bleibt Standard, nichts wird darin geändert
Die Anwendung, in Ihrer Umgebung
- SAP BTP, Azure oder AWS, Ihre Region
- SBOMs, Schwachstellendaten, Audit-Trail
- Im Pilot nur lesend aus SAP
Menschen und weitere Systeme
- Produktsicherheit und Service
- Ihre Build-Pipeline und SBOM-Dateien
- Kunden, jeder nur mit eigenen Geräten
SAPs Clean-Core-Regel, zitiert: „Erweiterungen dürfen nur mit freigegebenen lokalen oder entfernten öffentlichen SAP-APIs, BAdIs oder Erweiterungspunkten von Geschäftsobjekten des ABAP RESTful Application Programming Model entwickelt werden.“ SAP PRESS, SAP S/4HANA Clean Core: Principles, Benefits, and Best Practices.
N° 01Was SAP bereits führt
Wir setzen auf SAP auf, nicht dagegen.
SAP S/4HANA hält die Produkt-, Kunden- und Lieferdaten, auf die eine Meldung zurückgreift. Die Meldung reichen Sie über die einheitliche Meldeplattform ein; diese Anwendung bereitet sie vor, führt die Fristen und hält alles fest. Die Anwendung läuft neben SAP, liest und schreibt SAP nur über freigegebene APIs und lässt den Kern im Standard.
N° 02Wo es hilft
Vier Situationen, für die diese Anwendung gebaut ist.
01
Fristen ab Kenntnisnahme
Ihr Team erfasst, wann der Hersteller Kenntnis erlangt hat. Die Fristen von 24 und 72 Stunden werden ab diesem Zeitpunkt gesetzt und allen Beteiligten angezeigt; die 14-Tage-Frist, sobald eine Korrektur- oder Risikominderungsmassnahme verfügbar ist.
02
Informationen verteilt auf Teams
Produkt, betroffene Geräte, Mitgliedstaaten und Massnahmen fliessen aus der Suche und der SBOM-Verknüpfung in einen Entwurf.
03
Wer hat was freigegeben
Jeder Schritt hat eine namentlich benannte Person für die Freigabe. Nichts wird ohne deren Freigabe als eingereicht markiert, festgehalten mit Name und Zeit.
04
Später nachweisen
Jeder Entwurf, jede Änderung, Freigabe und Einreichungszeit bleibt als exportierbare Aufzeichnung erhalten.
N° 03Was die Anwendung umfasst
Umfang, in klaren Worten.
01
Fallakte
Zeitpunkt der Kenntnisnahme, Produkt, Schwachstelle, verantwortliche und freigebende Person.
02
Fristen
24 Stunden, 72 Stunden und 14 Tage, mit Erinnerungen an die Verantwortlichen.
03
Entwürfe
Frühwarnung, Meldung und Abschlussbericht, vorbereitet aus der Fallakte, der Suche und der SBOM-Verknüpfung.
04
Freigabe
Namentliche Freigabe mit Zeitstempel, bevor ein Schritt als eingereicht gilt.
N° 04Für jede Person im Entscheid
Eine Seite, sechs Leser.
01
Leitung Produktsicherheit
Der Umfang oben, drei Pakete mit festem Umfang und Preis, und ein nur lesender Pilot für eine Produktlinie, bevor Sie sich festlegen.
02
Compliance und Recht
Die Verordnung im amtlichen Wortlaut mit Quelle, namentliche Freigabe bei jedem Schritt und exportierbare Aufzeichnungen. Was gemeldet wird, entscheiden weiterhin Sie.
03
IT und Ihr SAP-Team
Nur freigegebene SAP-APIs, keine Änderung in SAP, ein technischer Benutzer mit minimalen Rechten, betrieben in Ihrer eigenen Umgebung und Region.
04
Service und Kundenteams
Kundenlisten und Hinweise aus denselben Daten, und jeder Kunde sieht nur seine eigenen Geräte.
05
Einkauf
Fester Umfang und Preis pro Paket, eine schriftliche Liste dessen, was nicht enthalten ist, und Ihr Lieferantenfragebogen auf Wunsch vollständig beantwortet.
06
Finanzen
Der angezeigte Preis ist unserer. SAP-Lizenzen, inklusive allfälligem SAP Digital Access für in SAP erzeugte Belege, und Hosting liegen bei Ihnen und sind als nicht enthalten aufgeführt.
N° 05Der Pilot, Woche für Woche
Acht bis zehn Wochen, nur lesend aus SAP.
01
Woche 1–2: Umfang und Zugang
Anforderungsworkshop, die Liste der zu lesenden SAP-APIs, ein technischer Benutzer von Ihrem SAP-Team und vereinbarte Beispiel-SBOMs und -Daten.
02
Woche 3–5: Bau
Die Anwendung wird in Ihrer Umgebung gegen Ihr SAP-Testsystem gebaut, mit einer lauffähigen Demo jede Woche.
03
Woche 6–7: Ihre Daten
Anbindung an die vereinbarten SAP-Daten und SBOM-Dateien, Test durch Ihre Nutzer, Befunde behoben.
04
Woche 8–10: live für eine Produktlinie
Go-live für bis zu 25 Nutzer, eine Übergabe und ein schriftliches Entscheidungspapier für das Paket Produktion.
N° 06Wo unsere Arbeit endet
Software, keine Rechtsberatung.
Wir bauen und betreiben die Software. Ob ein Produkt unter die Verordnung fällt, wie es eingestuft wird und was wann gemeldet wird, entscheiden Ihre Produktsicherheit und Ihr Rechtsteam. Wir führen keine Konformitätsbewertungen durch, handeln nicht als notifizierte Stelle und reichen keine Meldungen ein: Der Hersteller meldet über die einheitliche Meldeplattform.
N° 07KI-Assistenz
KI entwirft, eine benannte Person entscheidet.
Jedes KI-Ergebnis geht an eine benannte Person, die es bearbeitet und freigibt. Nichts wird von KI allein eingereicht oder an Kunden versandt, die Modelle laufen in Ihrer Umgebung, und Ihre Daten werden nicht zum Training gemeinsamer Modelle verwendet.
01
Textentwürfe
Entwirft jeden Schritt aus der Fallakte, zur Bearbeitung und Freigabe durch die zuständige Person. Er reicht nie etwas ein.
02
Zeitlinie des Falls
Erstellt eine Zeitlinie aus der Fallakte für den Abschlussbericht, geprüft durch die verantwortliche Person.
N° 08Bevor Sie kaufen
Was Sie bekommen, und was nicht.
DesignKompanie ist ein unabhängiges Studio und ist weder mit SAP SE verbunden noch von SAP SE unterstützt oder deren Partner. SAP und SAP S/4HANA sind Marken der SAP SE.
01
Sie bekommen
Eine unabhängige Anwendung, die SAP nur über freigegebene SAP-APIs anbindet; einen nur lesenden Pilot, der in SAP nichts erzeugt und damit keine SAP-Lizenzkosten auslöst; exportierbare Aufzeichnungen für Ihre CRA-Dokumentation.
02
Sie bekommen nicht
Rechtsberatung, Konformitätsbewertung oder Arbeit einer notifizierten Stelle; die Einreichung von Meldungen auf der einheitlichen Meldeplattform, die bei Ihnen bleibt; SAP-Lizenzen oder SAP Digital Access für Belege, die ein bidirektionaler Aufbau in SAP erzeugt.
N° 09Investition
Pilot, Produktion oder Audit-ready.
Pilot
Ab EUR 28'000
Eine Produktlinie, lesend an SAP angebunden über freigegebene APIs, in 8–10 Wochen live.
- Fallakte, Fristen und Erinnerungen
- Entwürfe für Frühwarnung und Meldung mit namentlicher Freigabe
- Nur lesende Verbindung zu SAP S/4HANA (OData-APIs und CDS-Views), keine Änderung am Kern
- Audit-Trail auf jedem Datensatz, Rollen und Rechte, Single Sign-on mit Ihrem Identity Provider
- Eine Produktlinie, bis zu 25 benannte Nutzer
- Nicht enthalten: Zurückschreiben nach SAP, Nachweise für Ihre CRA-Dokumentation, Rechtsberatung, SAP-BTP-Lizenzen
Produktion
Ab EUR 46'000
Alle betroffenen Produktlinien, bidirektional mit SAP und Ihrer Build-Pipeline.
- Alles aus dem Pilot
- Entwürfe befüllt aus der Suche nach betroffenen Kunden
- Entwurf des Abschlussberichts und vollständiger Export jedes Falls
- Bidirektionale Integration über SAP-APIs oder SAP Integration Suite, Clean-Core-konform
- Prüfung von SAP Digital Access mit Ihrem SAP-Lizenzteam, bevor zurückgeschrieben wird
- Bis zu 250 Nutzer über mehrere Standorte
- 60 Tage Hypercare nach dem Go-live
- Nicht enthalten: Nachweise für Ihre CRA-Dokumentation, Rechtsberatung, Konformitätsbewertung, SAP- oder BTP-Lizenzen (inklusive allfälligem SAP Digital Access für in SAP erzeugte Belege)
Audit-ready
Ab EUR 66'000
Gebaut und dokumentiert, damit die Aufzeichnungen Ihre CRA-Dokumentation stützen.
- Alles aus Produktion
- Schriftliche Beschreibung, wie die Anwendung Ihre Behandlung von Schwachstellen unterstützt, für Ihre Dokumentation
- Exporte mit Zeitstempel, Namen und Freigaben, aufbewahrt für den von Ihnen festgelegten Zeitraum
- Sicherheitstests der Anwendung: Abhängigkeits- und Code-Scans, Unterstützung Ihres Penetrationstests
- Eine SBOM der Anwendung selbst, in CycloneDX oder SPDX
- Nicht enthalten: Rechtsberatung, Konformitätsbewertung oder Arbeit einer notifizierten Stelle, Einreichung auf der einheitlichen Meldeplattform (durch Sie), SAP-Lizenzen
N° 10Fragen
Die Antworten, die wir am häufigsten geben.
- Reicht die Anwendung bei der ENISA für uns ein?
- Nein. Nach dem CRA meldet der Hersteller über die einheitliche Meldeplattform. Der Arbeitsbereich bereitet den Inhalt vor und hält alles fest; Ihre freigebende Person reicht über die Plattform ein und erfasst die Zeit.
- Wann beginnt die Frist?
- Artikel 14 Absatz 2 Buchstabe a rechnet 24 Stunden ab der Kenntnisnahme durch den Hersteller. Der Arbeitsbereich startet mit dem Zeitpunkt, den Ihr Team erfasst; diesen festzulegen, ist Sache Ihres Teams.
- Ist das Rechtsberatung?
- Nein. Wir bauen die Software. Was wann gemeldet wird, entscheiden Ihre Produktsicherheit und Ihr Rechtsteam.
- Sind Sie SAP-Partner?
- Nein. Wir sind ein unabhängiges Studio. Wir bauen neben SAP über die freigegebenen APIs und arbeiten mit Ihrem SAP-Partner zusammen, der für SAP selbst verantwortlich bleibt. Brauchen Sie eine SAP-Zertifizierung der Integration, planen wir sie ins Projekt ein.
Bereit, diese Anwendung zu planen?
Nennen Sie uns Ihre Produkte, wo Seriennummern und Firmware-Versionen erfasst sind und wer die Produktsicherheit verantwortet. Sie erhalten innert zwei Arbeitstagen einen Plan mit festem Preis.
Projekt starten