Cyber Resilience Act: Was er für Ihre TYPO3-Agentur bedeutet
Ihre Rolle je Lieferung, was Sie ausliefern, die Grundlagen und die Umsetzung in Kundenprojekten. Vier Schritte für Agenturen und Extension-Anbieter, mit der Quelle zu jeder Aussage.
- Ihre Rolle je Lieferung kennen: Website, Extension oder Code für einen Kunden
- Produkte, Versionen, Komponenten und Support-Ende in einem Register erfassen
- Kontakt, Updates und Meldefristen einrichten und Pflichten im Vertrag klären
Was brauchen Sie zuerst?
Das hängt davon ab, was Sie liefern. Eine Kunden-Website, die nur Informationen darstellt, ist kein Produkt; eine verkaufte Extension schon; an Kunden übergebener Code kann als in Verkehr gebracht gelten. Leitfaden Seite 4 und 5.
Eine Zeile je bereitgestellter Produktversion, mit Support-Ende (mindestens fünf Jahre, außer bei kürzerer Nutzung) und einer verantwortlichen Person. Leitfaden Seite 7.
composer audit für bekannte Sicherheitshinweise, das CycloneDX-Plugin für eine maschinenlesbare SBOM je Release. Sie muss nicht veröffentlicht werden. Leitfaden Seite 8.
Aktiv ausgenutzte Schwachstelle: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht 14 Tage nach einem Fix, über die Single Reporting Platform der ENISA. Leitfaden Seite 10.
Sechs Themen für die Anwältin oder den Anwalt: Hersteller von individuellem Code, Supportzeitraum, Komponenten, Meldung, Übergabe, spätere Änderungen. Leitfaden Seite 11.
Neun Fragen an jeden Extension-Anbieter, den Sie integrieren, vom Support-Ende bis zur SBOM. Leitfaden Seite 12.
Dieser Leitfaden dient der Orientierung und ist keine Rechtsberatung. Klären Sie Ihre Rolle je Produkt schriftlich mit Ihrer Anwältin oder Ihrem Anwalt.
Leitfaden und CRA-Register kostenlos erhalten
PDF und Excel-Datei, sofort zum Download. Wir schreiben Ihnen nur zu diesem Leitfaden.
So nutzen wir Ihre Angaben: Datenschutzerklärung.
Fragen zum Partnerprogramm vor dem Download? Schreiben Sie Sophia: sales@t3planet.de
Was bedeutet der Cyber Resilience Act für eine TYPO3-Agentur?
- Der Cyber Resilience Act, Verordnung (EU) 2024/2847, legt Sicherheitsregeln für Produkte mit digitalen Elementen fest, auch für Software, die Nutzern bereitgestellt wird. Er regelt Produkte, nicht Agenturen.
- Eine Website, die nur Informationen darstellt, ist kein Produkt im Sinne des CRA; eine Extension, die Sie verkaufen oder gegen Entgelt lizenzieren, schon, und Sie sind ihr Hersteller (Leitlinien der Kommission C(2026) 5252).
- Code, den Sie einem Kunden übergeben, kann als in Verkehr gebracht gelten. Klären Sie deshalb im Vertrag, wer Hersteller ist und wer Schwachstellen wie lange behebt.
- Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in drei Stufen (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, dann Abschlussbericht) über die Single Reporting Platform der ENISA; das gilt seit dem 11. September 2026.
- Die übrigen Pflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden: sichere Konzeption, Supportzeitraum von mindestens fünf Jahren, SBOM, Dokumentation und Konformitätserklärung.
Dieser Leitfaden dient der Orientierung und ist keine Rechtsberatung. Klären Sie Ihre Rolle je Produkt schriftlich mit Ihrer Anwältin oder Ihrem Anwalt.
Drei Fragen, die Agenturen zuerst stellen
Drehen Sie eine Karte um: Dort steht, was der Leitfaden sagt.
Wir bauen und betreuen Kunden-Websites. Ist die Website ein CRA-Produkt?
Wir haben eine individuelle Extension für einen Kunden geschrieben.
Unsere kostenlose TER-Extension hat auch eine Pro-Edition.
Quellen: Verordnung (EU) 2024/2847, Art. 13, 14, 71; Leitlinien der Kommission C(2026) 5252. Stand 20. Oktober 2026.
Fünf Personen, ein Register
Wählen Sie eine Rolle, um zu sehen, was sie abdeckt.
Agenturleitung
- Zuständig
- Inhaber oder Geschäftsführung
- Deckt ab
- Entscheidet mit Anwältin oder Anwalt über die Rolle je Lieferung, unterschreibt die Vertragsklauseln, spricht mit Kunden.
- Leitfaden
- Schritt 1 und 4
Das Register hat je Produkt eine Spalte für die verantwortliche Person. Tragen Sie einen echten Namen ein, keine Rolle.
Leitende Entwicklung
- Zuständig
- Technische Leitung
- Deckt ab
- Pflegt das Register, composer.lock und SBOM je Release, führt composer audit aus, verantwortet Sicherheitsreleases.
- Leitfaden
- Schritt 2 und 3
Das Register hat je Produkt eine Spalte für die verantwortliche Person. Tragen Sie einen echten Namen ein, keine Rolle.
Product Owner
- Zuständig
- Je verkaufter Extension
- Deckt ab
- Supportzeitraum und Enddatum, Offenlegungsrichtlinie, Nutzerinformationen, Meldeplan.
- Leitfaden
- Schritt 3
Das Register hat je Produkt eine Spalte für die verantwortliche Person. Tragen Sie einen echten Namen ein, keine Rolle.
Anwältin oder Anwalt
- Zuständig
- Ihre Rechtsberatung
- Deckt ab
- Offene Fälle aus dem Rollen-Check und die sechs Vertragsthemen. Der Leitfaden nennt die Fragen.
- Leitfaden
- Schritt 1 und 4
Das Register hat je Produkt eine Spalte für die verantwortliche Person. Tragen Sie einen echten Namen ein, keine Rolle.
Kunde
- Zuständig
- Website-Betreiber
- Deckt ab
- Weiß, was die Website ist und was nicht, was die Wartung abdeckt und wer meldet.
- Leitfaden
- Schritt 4
Das Register hat je Produkt eine Spalte für die verantwortliche Person. Tragen Sie einen echten Namen ein, keine Rolle.
Siebzehn Seiten, vier Schritte, ein Register
Der CRA in fünf Minuten
Was er erfasst, was nicht, und die zwei Termine.
Rolle klären
Rolle je Lieferung, vier Fälle aus dem Agenturalltag, was ein Hersteller tun muss.
Bestand erfassen
Das Register, Komponenten, composer audit und die SBOM.
Grundlagen schaffen
Sicherheitskontakt, Offenlegung, Sicherheitsreleases, die Meldefristen.
In Projekten umsetzen
Vertragsthemen zur anwaltlichen Klärung, neun Anbieter-Fragen, was Sie Kunden sagen.
Checkliste und Quellen
Zehn Schritte der Reihe nach, wo T3Planet hilft, jede Quelle.
Dieser Leitfaden dient der Orientierung und ist keine Rechtsberatung. Klären Sie Ihre Rolle je Produkt schriftlich mit Ihrer Anwältin oder Ihrem Anwalt.
Vier Schritte, von der Rolle bis zum Kundenvertrag
Rolle klären
Je Lieferung, nicht je Agentur.
- Website, Extension oder Code für einen Kunden
- Verkauft, lizenziert oder monetarisiert?
- Offene Fälle zur anwaltlichen Klärung
Bestand erfassen
Produkte, Versionen, Komponenten.
- Support-Ende je Version
- Eine verantwortliche Person je Produkt
- composer.lock und SBOM je Release
Grundlagen schaffen
Kontakt, Offenlegung, Updates.
- security.txt und ein Rollenpostfach
- Sicherheitsreleases getrennt
- Nutzerinformationen bereit
Meldefristen
24 Std., 72 Std., Abschlussbericht.
- Zwei benannte Personen erreichbar
- Plattformkonto bereit
- Nutzer informiert
In Projekten umsetzen
Verträge, Anbieter, Kunden.
- Sechs Themen zur anwaltlichen Klärung
- Neun Anbieter-Fragen
- Klare Worte für Kunden
Seiten aus dem Leitfaden, deutsche Ausgabe.
Eine Zeile je Lieferung, Produkt und Meldung
Rollen-Check je Lieferung, Produkte und Versionen mit Support-Ende, Komponenten mit Prüfdatum, Antworten der Anbieter und ein Meldeprotokoll. Checkliste und Übersicht füllen sich selbst.
- Auswahllisten für Rollen und Antworten, Farbe für offene Fälle
- Ein ausgefülltes Beispiel einer fiktiven Agentur
- Lässt sich in Excel, LibreOffice und Google Sheets öffnen
T3Planet-Partnerprogramm
Für Agenturen, Freelancer und IT-Firmen, die T3Planet-Produkte in Kundenprojekten einsetzen: umsatzbasierte Stufen mit Rabatt auf Produkt-Abonnements, ein Partner-Abzeichen und ein Eintrag im Verzeichnis.
Sophia · Sales & Partnerschaften bei T3PlanetFür wen der Leitfaden ist
TYPO3-Agenturen und Freelancer
Sie bauen und betreuen Kunden-Websites, manchmal mit individuellen Extensions. Sie bekommen einen Rollen-Check je Lieferung, Vertragsthemen zur anwaltlichen Klärung und Formulierungen für Kundengespräche.
Extension-Anbieter und interne Entwicklungsteams
Sie veröffentlichen oder verkaufen eigene Extensions. Sie bekommen die Herstellerpflichten in klaren Worten, ein Register, den Weg zur SBOM und die Meldefristen.
Häufige Fragen
Gilt der Cyber Resilience Act für TYPO3-Agenturen?
Der CRA regelt Produkte, nicht Agenturen. Entscheidend ist, was Sie liefern: Eine Kunden-Website, die nur Informationen darstellt, ist kein Produkt, eine Extension, die Sie verkaufen oder gegen Entgelt lizenzieren, schon, und an Kunden übergebener Code kann als in Verkehr gebracht gelten. Der Leitfaden prüft jeden Fall.
Ist der Leitfaden wirklich kostenlos?
Ja. Sie erhalten das PDF und das Excel-CRA-Register sofort, ohne Zahlungsdaten.
Sind kostenlose TER-Extensions erfasst?
Kostenlose Open-Source-Software, die nicht monetarisiert wird, wird nicht in Verkehr gebracht. Eine Bezahl-Edition oder ein an Zahlung gebundener Download schon. Wer ohne Entscheidungsbefugnis über Releases beiträgt, hat für den Beitrag keine CRA-Pflichten.
Welche Meldefristen gelten nach dem CRA?
Bei einer aktiv ausgenutzten Schwachstelle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen 14 Tagen, nachdem ein Fix verfügbar ist. Bei einem schwerwiegenden Sicherheitsvorfall ist der Abschlussbericht binnen eines Monats nach der Meldung fällig. Gemeldet wird über die Single Reporting Platform der ENISA.
Ab wann gilt der CRA?
Die Meldepflicht gilt seit dem 11. September 2026, auch für Produkte, die schon auf dem Markt sind. Die übrigen Pflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Ist das Rechtsberatung?
Nein. Dieser Leitfaden dient der Orientierung und ist keine Rechtsberatung. Klären Sie Ihre Rolle je Produkt schriftlich mit Ihrer Anwältin oder Ihrem Anwalt.