Beschreibung
Der CRA Lieferantencheck hilft Herstellern, Drittkomponenten und Lieferanten systematisch auf Cybersicherheits- und Supportrisiken zu prüfen. Die Vorlage verbindet Komponentenregister, Security Contact, Supportende, Vulnerability Handling, Update-Prozess, Open-Source-/Lizenzinformationen und Risikobewertung in einer einheitlichen Arbeitsstruktur.
Das Produkt ist für Unternehmen gedacht, die Softwarebibliotheken, Hardwarekomponenten, Cloud-Dienste oder andere externe Bausteine in ihre Produkte integrieren und diese Abhängigkeiten nachvollziehbar dokumentieren möchten.
Was enthält der CRA Lieferantencheck?
- DOCX-Prüfvorlage für Lieferanten- und Komponentenbewertung,
- XLSX-Register für mehrere Komponenten und Lieferanten,
- PDF-Fassung als kompakte Arbeitsversion,
- Prüfung von Kernfunktion und Supportende,
- Security Contact und Vulnerability-Prozess des Lieferanten,
- Update- und Eskalationsprozess,
- OSS-/Lizenzinformationen,
- Risikobewertung und Maßnahmenfeld,
- Mindestfragen für Lieferantengespräche.
Warum sind Drittkomponenten für den CRA wichtig?
Produkte mit digitalen Elementen bestehen häufig zu einem erheblichen Teil aus Komponenten Dritter. Eine Schwachstelle in einer Bibliothek, einem Betriebssystem, einem Chipsatz oder einem externen Dienst kann deshalb unmittelbar das eigene Produkt betreffen.
Die Vorlage hilft, diese Abhängigkeiten nicht nur technisch, sondern auch organisatorisch zu erfassen. Für Softwareprodukte sollte der Lieferantencheck eng mit der SBOM und dem Komponentenmanagement verknüpft werden.
Welche Informationen sollten zu Lieferanten dokumentiert werden?
Wichtig sind unter anderem Ansprechpartner für Sicherheitsfragen, Support- und End-of-Life-Zeiträume, Verfahren zur Meldung und Behebung von Schwachstellen, Security Advisories, Update-Wege und Abhängigkeiten von weiteren Komponenten.
Die XLSX-Vorlage ermöglicht, diese Informationen für mehrere Lieferanten einheitlich zu erfassen und nach Risiko zu priorisieren.
Wie werden Open-Source-Komponenten berücksichtigt?
Auch Open-Source-Komponenten können für die Produktsicherheit entscheidend sein. Die Vorlage enthält deshalb Felder für Projekt, Version, Lizenz, Supportstatus, bekannte Schwachstellen und Zuständigkeit für Monitoring und Updates.
Den rechtlichen Hintergrund finden Sie zusätzlich im Fachbeitrag zu CRA und Open Source.
Wann sollte eine Komponente eskaliert werden?
Typische Warnsignale sind eine sicherheitskritische Kernkomponente ohne verlässlichen Support, fehlender Security Contact, bekannte kritische Schwachstellen, ein Supportende vor dem eigenen Produkt-Supportende oder unklare Versions- und Abhängigkeitsinformationen.
Die Vorlage enthält dafür ein eigenes Maßnahmen- und Eskalationsfeld, damit Risiken nicht nur erkannt, sondern einer konkreten Entscheidung zugeordnet werden.
Wie hängt der Lieferantencheck mit dem Supportzeitraum zusammen?
Der geplante Support eines Produkts kann nur belastbar sein, wenn zentrale Drittkomponenten ebenfalls ausreichend lange gepflegt werden. Deshalb sollten Lieferantenprüfung und CRA Supportzeitraum-Check gemeinsam betrachtet werden.
Für wen eignet sich die Vorlage?
Für Hersteller, Product Security, Entwicklung, Einkauf und Compliance in Unternehmen, die externe Komponenten einsetzen und deren Security- und Supportabhängigkeiten nachvollziehbar dokumentieren wollen.
Wenn Sie zusätzlich Risikobewertung, Reporting, Rollen, Support und technische Dokumentation gemeinsam steuern möchten, ist das CRA Compliance Masterpaket die umfassendere Lösung.
Bleibt der CRA Lieferantencheck aktuell?
Ja. Aktualisierte Fassungen sind für Käufer ohne erneuten Kauf enthalten, solange dieses Produkt von CRA Experte aktiv gepflegt wird. Neue Versionen stehen in Ihrem Kundenkonto unter Mein Konto → Downloads bereit.
Hinweis: Die Vorlage ist eine organisatorische Arbeitshilfe und ersetzt keine individuelle Rechtsberatung oder behördliche Entscheidung.
Rezensionen
Es gibt noch keine Rezensionen.