Produkte, Versionen & Installationen

Alle Resilic-Funktionen bauen auf dem Produktregister auf: Versionen tragen SBOMs, Installationen verorten Maschinen im Feld, und der Unterstützungszeitraum speist Anhang-II-Informationen, die technische Dokumentation und das Kunden-Evidenzpaket.

Die Produktseite

Die Produktseite beginnt mit einer Statusleiste: Versionen, Installationen (davon vom Edge-Scanner verifiziert), Versionen mit Maschinen im Feld ohne SBOM, aktiv ausgenutzte Schwachstellen mit dem Stand der letzten Korrelation (und, falls eine Artikel-14-Meldung offen ist, deren nächste Frist), das Ende des Unterstützungszeitraums mit Restlaufzeit sowie die Klassifizierung — jeweils mit dem Stand der Unterschrift: unterschrieben, nicht unterschrieben oder erneut prüfen. Jede Zelle führt dorthin, woher die Zahl stammt. Darunter liegen drei Reiter; der gewählte steht in der Adresse (?tab=), ein Zurück führt immer zum Register. Die Zahlen werden bei jedem Aufruf live berechnet, nie zwischengespeichert.

Status zeigt die Bereitschaft des Produkts als Liste: technische Dokumentation, Risikobeurteilung, KI-Systeme, Sicherheitspass und Kunden-Evidenzpaket, jeweils mit datiertem Stand (nicht begonnen, Entwurf · 3 von 9 Abschnitten, freigegeben am …) und einem Weg hinein. Bei einem neuen Produkt beginnt die Liste mit den drei ersten Schritten: Version anlegen, SBOM hinterlegen, Installationen erfassen. Darunter die letzte Aktivität: die im Audit-Protokoll festgehaltenen Vorgänge an diesem Produkt, seinen Versionen, SBOMs und Installationen — wer, was, wann.
Versionen & Maschinen ist die tägliche Arbeit. Jede Versionszeile sagt zugeklappt, was zählt: SBOM-Stand, Zahl der Maschinen und der schwerste offene Fund (CVE, ausgenutzt oder Score, +n weitere); die schwerste Version steht oben. Aufgeklappt folgen die Installationen (ab 25 mit Filter und Seiten) und die SBOM mit der Zahl der Komponenten ohne End-of-Life. Formulare erscheinen erst auf Knopfdruck: Version hinzufügen, Installation erfassen, Beim Lieferanten anfragen, ein End-of-Life-Datum je Komponente.
Stammdaten sind die einmal festgelegten Angaben, zum Lesen: Rolle, Produktfamilie und Produktart in einer Gruppe, der Unterstützungszeitraum und die Klassifizierung je als eigene. Jede Gruppe hat ein Bearbeiten und ein Speichern. Unterschreiben bleibt ein eigener Schritt; eine unterschriebene Gruppe zeigt den Stempel (wer, wann, wofür der Nachweis gilt) und warnt, bevor das Bearbeiten die Unterschrift erneut öffnet.
Unterstützungszeitraum: Beginn/Ende, erwartete Nutzungsdauer und die Begründung der Festlegung (CRA Artikel 13(8) erwartet die Festlegung, nicht nur Daten). Ein Herleitungs-Assistent entwirft die Begründung aus den Dimensionen, die einen Unterstützungszeitraum begrenzen — Einsatzkontext, erwartete Nutzungsdauer, Komponentenverfügbarkeit (das früheste Komponenten-End-of-Life aus der SBOM), Update-Fähigkeit und Zusagen der Lieferanten — unter Anwendung der Fünf-Jahres-Untergrenze und des Minimalprinzips. Er setzt niemals Ihre Daten: Sie prüfen, bearbeiten und unterschreiben die Festlegung und führen so einen prüffähigen Nachweis darüber, wer sie wann bestätigt hat. Das Bearbeiten des Unterstützungszeitraums oder der Begründung öffnet sie erneut zur Unterschrift. Ändert sich später eine Grundlage der unterschriebenen Festlegung — ein neuer aktiv ausgenutzter Treffer, eine Komponente, die vor dem Zeitraum das End-of-Life erreicht, oder eine überarbeitete SBOM —, markiert Resilic sie zur erneuten Prüfung und behält den unterschriebenen Nachweis bei.
CRA-Registerangaben: Erfassen Sie Ihre Rolle für jedes Produkt — Hersteller (Standard), Importeur oder Händler, denn davon hängt ab, welche CRA-Pflichten gelten — sowie eine optionale Produktfamilie, um verwandte Produkte im Register zu gruppieren. Dies sind von Ihnen gepflegte Registerangaben, keine Konformitätsfeststellung.
Produktart: Serienprodukt (Standard) oder Sonderprodukt, nach der Spezifikation eines Kunden gebaut, mit Auftragsnummer, Kunde, Übergabedatum und Plattform — siehe Sonderprodukte & Projekte. Produktvokabular mit denselben CRA-Pflichten in beiden Fällen.
CRA-Klassifizierung: Wählen Sie die Kategorie des Produkts — Standard (Selbstbewertung), wichtig (Anhang III Klasse I oder II) oder kritisch (Anhang IV) —, begründen Sie sie und unterschreiben Sie, sodass Sie einen prüffähigen Nachweis einer Selbstklassifizierung führen, die eine Behörde stichprobenartig prüfen kann. Ein geführter Klassifizierungs-Assistent hilft dabei: Ordnen Sie die Kernfunktion Ihres Produkts den (wortgetreu aus der Verordnung übernommenen) Anhang-III/IV-Kategorien zu — er schlägt eine Stufe vor und entwirft eine Begründung, die Sie prüfen, bearbeiten und unterschreiben. Das Integrieren einer gelisteten Komponente macht das Produkt nicht allein dadurch wichtig oder kritisch (Artikel 7 Abs. 1). Das Bearbeiten von Kategorie oder Begründung öffnet sie erneut zur Unterschrift. Werden die CRA-Kategorielisten (Anhang III/IV) später geändert, markiert Resilic Ihre unterschriebenen Klassifizierungen zur erneuten Prüfung — Ihr unterschriebener Nachweis bleibt bestehen, bis Sie ihn anhand der aktuellen Listen erneut prüfen und neu unterschreiben. Sie verantworten diese Bewertung; sie ist eine Orientierungshilfe, keine Konformitätsfeststellung.
Maschinenidentität & Versionsstand: Zu jeder Installation können Sie die Seriennummer vom Typenschild und eine Anlagenkennung erfassen — eine stabile Kennung, die Updates und Komponententausch übersteht, etwa Ihre Inventarnummer, eine AAS-globalAssetId oder eine OPC-UA-ProductInstanceUri. Die Seriennummer ist je Produkt eindeutig; so lässt sich eine Sicherheitsmeldung bis zur einzelnen Maschine beim Kunden verfolgen. Beide Angaben erscheinen bei den betroffenen Maschinen einer Schwachstelle, auf der Kundenseite und im Kunden-Evidenzpaket; im CSV-Flottenimport heißen die Spalten SerialNumber und AssetId (eine bereits vergebene Seriennummer überspringt die Zeile). Zu jeder Maschine zeigt Resilic außerdem, worauf der eingetragene Versionsstand beruht: Stand vom … ist ein gemeldeter Stand — im Register erfasst, nicht am Gerät ausgelesen —, Stand verifiziert heißt, ein Edge-Scanner hat dieselbe Version am zugeordneten Gerät ausgelesen. Weicht die ausgelesene Version ab, zeigt die Zeile den beobachteten Stand. Das sind Registerangaben für Ihre eigene Rückverfolgbarkeit: CRA Anhang II verlangt Angaben, die eine eindeutige Identifizierung des Produkts ermöglichen; welche Kennung Sie dafür nutzen, entscheiden Sie. Resilic speichert die Kennung wie eingegeben und prüft sie nicht gegen AAS oder OPC UA.
Kunden-Evidenzpaket: jede Installation bietet ein herunterladbares Sicherheits-Evidenzpaket und einen ablaufenden Freigabelink für Ihren Kunden.
Sicherheitspass: eine stabile öffentliche Seite je Produkt mit den CRA-Anhang-II-Nutzerinformationen — auf der Produktseite erneuerbar und widerrufbar.