Use Cases
Gesetze mit KI-Agenten erfüllen: zehn typische Situationen je Vorschrift
Use Case
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden, auch für Produkte, die längst im Markt sind. Ab Dezember 2027 gilt die Verordnung vollständig. KI-Agenten bereiten Meldungen, Stücklisten und Nachweise vor. Das gelingt aber nur, wenn sie auf das Wissen Ihres Unternehmens zugreifen können.
Zehn Szenarien aus der Praxis
An Beispielen aus Antriebs- und Elektrotechnik, Haushaltsgeräten und Zulieferindustrie: was das Gesetz verlangt, was KI-Agenten vorbereiten und was beim Menschen bleibt. Die Punkte zeigen, welche Wissensebenen dafür vorliegen müssen.
Klicken Sie auf ein Szenario, um Situation, Pflicht, heutigen Ablauf und Arbeitsteilung zu sehen.
Das Agenten-Team
Dieselben Agenten arbeiten in allen Szenarien in wechselnder Besetzung. Jeder Schritt läuft über eine Prüfebene, bevor ein Mensch freigibt.
Macht das Gesetz maschinenlesbar, leitet die Pflichten aus Ihrem Unternehmensprofil ab, ordnet Übergangsregeln und wesentliche Änderungen ein.
Erzeugt und pflegt Software-Stücklisten, kennt Abhängigkeiten, Firmware-Stände und die Installationsbasis.
Gleicht öffentliche Schwachstellenmeldungen laufend mit allen Stücklisten ab und überwacht Komponenten Dritter.
Erkennt Lücken bei zugekauften Komponenten, fragt an, fasst nach und strukturiert die Antworten.
Befüllt Meldungen nach Artikel 14 vor, überwacht die Fristen und erfasst eingehende Meldungen Dritter.
Erstellt technische Dokumentation, Konformitätserklärung, Nutzer- und Kundeninformationen im Entwurf.
Prüft Vollständigkeit und Plausibilität und meldet fehlende Nachweise vor jeder Freigabe.
Prüfen, entscheiden, geben frei und unterschreiben. Kein Agent meldet selbstständig an eine Behörde.
Ergebnis
Eine Wissensbasis, in der Stücklisten, Installationsbasis, Abläufe und Erfahrungswissen geprüft vorliegen. Agenten, die Meldungen, Dokumentation und Lieferantenanfragen vorbereiten. Und die Gewissheit, an einem Freitagnachmittag binnen Minuten zu wissen, welche Produkte und welche Kunden betroffen sind.
Die Agenten bereiten vor. Sie entscheiden, geben frei und unterschreiben.
So läuft es heute
Jedes System kennt einen Teil. Keines kennt die Kette von der Komponente über die Firmware bis zum Kunden.
Der Befund
Die 24-Stunden-Frist verstreicht, bevor feststeht, wer betroffen ist.
Zeitplan
Die Verordnung (EU) 2024/2847 gilt in Stufen. Die Meldepflicht greift schon heute, auch für Produkte, die längst im Markt sind.
10.12.2024gilt
Inkrafttreten
Die Übergangsfristen beginnen.
11.06.2026gilt
Prüfstellen
Konformitätsbewertungsstellen können benannt werden.
11.09.2026gilt
Meldepflicht
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, auch für Bestandsprodukte.
11.12.2027
Vollanwendung
Alle Herstellerpflichten, Konformitätsbewertung und CE-Kennzeichnung.
Die Frist beginnt mit Ihrer Kenntnis, nicht mit Ihrer Vorbereitung. Betroffen ist jedes Produkt mit digitalen Elementen, vom Antriebsregler über den Sensor bis zum vernetzten Haushaltsgerät. Wer unter eigener Marke vertreibt, trägt die Herstellerpflichten auch dann, wenn Hardware und Firmware vom Auftragsfertiger stammen.
Aus dem Fachdokument
Rollen, Produktklassen, Herstellerpflichten, Meldefristen und Bußgelder mit Artikelbezug. Klicken Sie auf ein Thema, um die Übersicht zu öffnen.
| Rolle | Wer das ist | Pflichten |
|---|---|---|
| Hersteller | Entwickelt oder lässt entwickeln und vermarktet unter eigenem Namen oder eigener Marke | Sämtliche Pflichten nach Artikel 13, 14 und Anhang I |
| Einführer | Bringt ein Produkt eines Herstellers aus einem Drittland in der EU in Verkehr (Art. 19) | Prüft Konformitätsbewertung, Dokumentation, CE-Kennzeichnung und Angaben |
| Händler | Stellt ein Produkt bereit, ohne Hersteller oder Einführer zu sein (Art. 20) | Prüft CE-Kennzeichnung, Begleitunterlagen und Herstellerangaben |
| Bevollmächtigter | In der EU niedergelassen und vom Hersteller beauftragt (Art. 18) | Übernimmt festgelegte Aufgaben und hält die Dokumentation bereit |
Achtung: Wer ein Produkt unter eigenem Namen oder eigener Marke bereitstellt oder wesentlich verändert, gilt als Hersteller (Art. 21 und 22). Das gilt auch für zugekaufte Ware.
| Klasse | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standard | Die meisten Industriekomponenten, Steuerungen ohne Sicherheitsfunktion, Sensoren, Anwendungssoftware | Interne Kontrolle in eigener Verantwortung (Modul A) |
| Wichtig, Klasse I (Anhang III) | Router, Modems und Switches, Betriebssysteme, VPN-Produkte, Identitäts- und Passwortverwaltung, Smart-Home-Produkte mit Sicherheitsfunktion | Harmonisierte Norm oder notifizierte Stelle |
| Wichtig, Klasse II (Anhang III) | Hypervisoren und Container-Laufzeitsysteme, Firewalls, Angriffserkennungs- und Abwehrsysteme, manipulationssichere Mikroprozessoren und Mikrocontroller | Notifizierte Stelle oder europäische Zertifizierung |
| Kritisch (Anhang IV) | Hardware mit Sicherheitsboxen, Smart-Meter-Gateways, Smartcards und sichere Elemente | Europäische Zertifizierung, soweit vorgeschrieben |
Nach Schätzung der EU-Kommission fallen rund 90 Prozent der Produkte in die Standardklasse.
| Pflicht | Fundstelle | Was zu tun ist |
|---|---|---|
| Sicherheit durch Konzeption | Art. 13, Anhang I Teil I | Produkt mit angemessenem Cybersicherheitsniveau entwickeln: Security by Design und by Default |
| Risikobewertung | Art. 13 | Risiken je Produkt bewerten und dokumentieren; das Ergebnis fließt in Planung, Entwicklung, Produktion, Lieferung und Wartung ein |
| Komponenten Dritter | Art. 13 | Zugekaufte Komponenten einschließlich Open Source dürfen die Sicherheit nicht beeinträchtigen; Schwachstellen an deren Hersteller melden |
| Software-Stückliste | Anhang I Teil II | Komponenten und Schwachstellen dokumentieren; Stückliste in maschinenlesbarem Format, mindestens oberste Abhängigkeitsebene |
| Keine bekannten Schwachstellen | Anhang I Teil I | Produkt ohne bekannte ausnutzbare Schwachstellen bereitstellen |
| Sichere Grundeinstellung | Anhang I Teil I | Sichere Voreinstellungen, Zurücksetzen, Zugangskontrolle, Verschlüsselung, Integritätsschutz, Datenminimierung, Protokollierung |
| Supportzeitraum | Art. 13 | Nach erwarteter Nutzungsdauer, grundsätzlich mindestens fünf Jahre; Angabe in den Nutzerinformationen |
| Technische Dokumentation | Art. 13, Anhang VII | Vor dem Inverkehrbringen erstellen und während des Supportzeitraums aktuell halten |
| Konformität und CE | Art. 28, 30, 32 | Verfahren nach Produktklasse durchführen, EU-Konformitätserklärung ausstellen, CE-Kennzeichnung anbringen |
| Nutzerinformationen | Anhang II | Kontaktstelle, Supportzeitraum, Anleitung zur sicheren Nutzung, Bezugsquelle für Updates, Zugang zur Stückliste |
| Aufbewahrung | Art. 13 | Dokumentation und Konformitätserklärung zehn Jahre oder für den Supportzeitraum, je nachdem, was länger ist |
| Pflicht | Fundstelle | Was zu tun ist |
|---|---|---|
| Schwachstellen behandeln | Anhang I Teil II | Unverzüglich beheben, auch durch Sicherheitsupdates; regelmäßig prüfen |
| Sicherheitsupdates | Art. 13, Anhang I Teil II | Kostenlos, unverzüglich, getrennt von Funktionsupdates, soweit möglich automatisch mit Abwahlmöglichkeit |
| Updates verfügbar halten | Art. 13 | Jedes Sicherheitsupdate mindestens zehn Jahre oder für den Rest des Supportzeitraums bereithalten |
| Offenlegung | Anhang I Teil II | Behobene Schwachstellen veröffentlichen: Beschreibung, betroffene Produkte, Auswirkungen, Schweregrad, Abhilfe |
| Koordinierte Offenlegung | Anhang I Teil II | Richtlinie einführen, Kontaktadresse für Meldungen Dritter bereitstellen |
| Sichere Verteilung | Anhang I Teil II | Mechanismen für die sichere Verteilung von Updates |
| Konformität erhalten | Art. 13 | Konformität über den gesamten Supportzeitraum sicherstellen, Dokumentation aktuell halten |
| Frist | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| 24 Stunden | Frühwarnung, dass die Schwachstelle ausgenutzt wird, mit betroffenen Mitgliedstaaten, soweit bekannt | Frühwarnung, ob der Vorfall mutmaßlich rechtswidrig oder böswillig verursacht wurde |
| 72 Stunden | Meldung mit Angaben zum Produkt, zur Art der Ausnutzung und zu ergriffenen Maßnahmen | Meldung mit erster Bewertung, Schweregrad, Auswirkungen und Anzeichen einer Kompromittierung |
| Abschlussbericht | Spätestens 14 Tage, nachdem eine Korrektur verfügbar ist | Spätestens einen Monat nach der 72-Stunden-Meldung |
Gemeldet wird über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT. Ein Vorfall ist schwerwiegend, wenn er die Fähigkeit des Produkts beeinträchtigt, sensible Daten oder Funktionen zu schützen, oder wenn Schadcode eingebracht wurde.
Betroffene Nutzer sind unverzüglich zu informieren, einschließlich Abhilfemaßnahmen. Das setzt voraus, dass bekannt ist, welcher Kunde welches Produkt mit welchem Softwarestand einsetzt.
| Regel | Folge |
|---|---|
| Grundsatz | Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nur, wenn sie ab diesem Datum wesentlich verändert werden |
| Ausnahme Meldepflicht | Die Meldepflichten nach Artikel 14 gelten für alle Produkte im Anwendungsbereich, auch für solche, die bereits im Markt sind |
| Rolle | Prüfung vor der Bereitstellung | Laufende Pflichten |
|---|---|---|
| Einführer | Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, Herstellerangaben und Nutzerinformationen | Eigene Kontaktangaben am Produkt; Hersteller über Schwachstellen informieren; bei erheblichem Risiko die Marktaufsicht |
| Händler | CE-Kennzeichnung, Hersteller- und Einführerangaben, Nutzerinformationen | Keine Bereitstellung bei Zweifeln an der Konformität; Mitwirkung bei Korrekturmaßnahmen |
| Verstoß gegen | Bußgeld bis |
|---|---|
| Grundlegende Anforderungen, Herstellerpflichten, Meldepflichten | 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes |
| Sonstige Pflichten der Verordnung | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes |
| Falsche oder unvollständige Angaben gegenüber Behörden | 5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes |
Fachdokument
Alle Pflichten mit Artikelbezug, die zehn Szenarien im Detail und das Agenten-Team im Überblick. Stand November 2026.
Wir senden Ihnen das PDF per E-Mail.
Warum die Wissensbasis zuerst kommt
In allen zehn Szenarien brauchen die Agenten dieselben vier Wissensebenen. Fehlt eine davon, bereitet der Agent nichts vor, sondern rät. Deshalb beginnt CRA-Compliance bei den Daten und nicht beim Agenten.
01
Im CRAProduktstamm mit Datum des Inverkehrbringens, Software-Stückliste je Produkt und Variante, Komponenten- und Zuliefererregister, Supportzeiträume, Zuständigkeiten, Pflichtenmatrix.
HerkunftStammdaten, Repositorien und das aufbereitete Gesetz.
10 von 10 Szenarien
02
Im CRAAuslieferungen je Kunde und Softwarestand, Servicetickets, Versionsverwaltung, Fernwartungsprotokolle.
Herkunftbleibt in ERP, Ticketsystem und Entwicklungssystemen und wird über den MCP-Server live abgefragt, mit Berechtigungen und ohne Kopien.
5 von 10 Szenarien
03
Im CRAMeldeablauf, Eskalationskette, Vorlagen, Richtlinie zur koordinierten Offenlegung, Update- und Änderungsprozess, Konformitätsverfahren.
Herkunftdokumentierte Abläufe, ergänzt mit instructor von tepcon direkt am Ort der Handlung.
9 von 10 Szenarien
04
Im CRABewertung von Schweregrad und Betroffenheit, Priorisierung von Kunden, Einordnung wesentlicher Änderungen, Umgang mit Zulieferern.
Herkunftdie Erfahrung Ihrer Produktsicherheit und Entwicklung. Wir erfassen sie, wir ersetzen sie nicht.
9 von 10 Szenarien
Die Arbeit lohnt sich doppelt. Stücklisten und Installationsbasis brauchen Sie für den CRA. Dieselben Daten tragen Service, Ersatzteilgeschäft, Nachfolge und Verkauf und sind die Grundlage für jeden weiteren Agenten.
Unsere Leistungen
In der Reihenfolge, in der die Fristen drücken: erst wissen, wer betroffen ist, dann die Agenten.
01
An einem Ihrer Produkte prüfen wir, welche Wissensebenen für die 24-Stunden-Frist heute vorliegen. Ergebnis ist eine Lückenliste mit Prioritäten.
02
Produktstamm, Stücklisten, Komponenten- und Zuliefererregister kommen geprüft und mit Prüfdatum in Ihre Corporate KI Wissensbasis.
03
ERP, Ticketsystem und Entwicklungssysteme bleiben, wo sie sind. Über den MCP-Server fragen die Agenten live ab, mit Berechtigungen und Quellenangabe.
04
Meldeablauf, Eskalationskette und Offenlegung dokumentieren wir mit instructor von tepcon am Arbeitsplatz. Das Erfahrungswissen Ihrer Produktsicherheit erfassen wir in strukturierten Gesprächen.
05
Wir beginnen mit dem Melde- und dem Stücklisten-Agenten, weil dort die Fristen am kürzesten sind. Jede Stufe hat eine Prüfebene und eine menschliche Freigabe.
06
Betrifft ein Vorfall personenbezogene Daten, läuft parallel die 72-Stunden-Frist nach Art. 33 DSGVO. Als externer Datenschutzbeauftragter verbinden wir beide Meldewege in einem Ablauf.
Klare Rollen
Kein Agent meldet selbstständig an eine Behörde und keiner unterschreibt. Drei Dinge bleiben immer beim Menschen.
Ob eine Schwachstelle aktiv ausgenutzt wird und ob ein Vorfall schwerwiegend ist.
Jede Meldung an die ENISA-Plattform, die Konformitätserklärung und Angaben in Ausschreibungen.
Supportzeiträume, Abkündigungen und Grenzfälle. Rechtliche Fragen klären Sie mit Ihrem Fachanwalt.
Pflichten in Zahlen
Fristen und Zeiträume aus der Verordnung (EU) 2024/2847.
24 Std.
Frühwarnung an die ENISA-Plattform, sobald eine aktiv ausgenutzte Schwachstelle bekannt ist.
Quelle: Art. 14 CRA
72 Std.
ausführliche Meldung mit Angaben zu Produkt, Ausnutzung und ergriffenen Maßnahmen.
Quelle: Art. 14 CRA
5 Jahre
Mindestdauer des Supportzeitraums, länger bei längerer erwarteter Nutzungsdauer.
Quelle: Art. 13 Abs. 8 CRA
10 Jahre
Verfügbarkeit jedes Sicherheitsupdates und Aufbewahrung der Dokumentation.
Quelle: Art. 13 Abs. 9 und 13 CRA
Bei Verstößen
Bußgelder bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, wenn Herstellerpflichten oder Meldepflichten verletzt werden.
Falsche oder unvollständige Angaben gegenüber Behörden kosten bis zu 5 Mio. Euro oder 1 % des Umsatzes.
Der Kern
Die 24-Stunden-Frist scheitert nicht an der Technik, sondern an fehlenden Stücklisten und einer unbekannten Installationsbasis.
Fragen und Antworten
Ja, teilweise. Die Meldepflichten gelten seit dem 11. September 2026 für alle Produkte im Anwendungsbereich. Die übrigen Anforderungen gelten für jedes Exemplar, das ab dem 11. Dezember 2027 neu in Verkehr gebracht wird, und für Bestandsprodukte nach einer wesentlichen Änderung.
Nein. Die Agenten befüllen die Meldung vor und überwachen die Fristen. Freigabe und Einreichung bleiben bei Ihnen.
In der Regel ja. Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt, trägt die Herstellerpflichten. Die Einordnung im Einzelfall klären Sie mit Ihrem Fachanwalt, wir bereiten die Unterlagen dafür vor.
Meist nicht. Nach Schätzung der EU-Kommission fallen rund 90 Prozent der Produkte in die Standardklasse und werden in eigener Verantwortung bewertet. Wichtige Produkte der Klasse I wie Router oder Betriebssysteme brauchen eine harmonisierte Norm oder eine Prüfstelle, Produkte der Klasse II wie Firewalls immer eine Prüfstelle.
Nein. Wissensbasis und Agenten laufen auf Ihren Servern oder in einer europäischen, DSGVO-konformen Umgebung. Fachsysteme werden nicht kopiert, sondern live abgefragt.
Mit einem Produkt und der Frage, ob Sie bei einer aktiv ausgenutzten Schwachstelle binnen 24 Stunden wissen, wer betroffen ist. Daraus ergibt sich, welche Wissensebene zuerst aufgebaut wird.
Nein. Wir machen Pflichten, Fristen und Nachweise handhabbar. Die rechtliche Bewertung im Einzelfall bleibt bei Ihrem Fachanwalt.
Diese Seite fasst die Verordnung (EU) 2024/2847 vereinfacht zusammen und ersetzt keine Rechtsberatung. Maßgeblich ist der Verordnungstext im Amtsblatt der EU.
Weiterlesen
Lassen Sie uns sprechen
Wir prüfen mit Ihnen an einem Ihrer Produkte, welche Wissensebenen für die Meldepflicht fehlen und was zuerst aufgebaut werden sollte.
Erstgespräch vereinbarenUnverbindlich · 30 Minuten
