{
  "bam_id": "CRA-004-TECHNISCHE-DOKU",
  "regulation": "CRA",
  "article": "Art. 23-28",
  "status": "ausstehend",
  "tags": [
    "technische-dokumentation",
    "ce",
    "konformität"
  ],
  "cross_refs": [
    "ISO 27001 A.18.1"
  ],
  "requirement": {
    "text": "Erstellung und Pflege vollständiger technischer Dokumentation sowie CE-Kennzeichnung für Produkte mit digitalen Elementen.",
    "source": "CRA Art. 23-28",
    "priority": "mittel"
  },
  "gap_check": {
    "question": "Existiert vollständige technische Dokumentation nach CRA-Anforderungen für alle Produkte mit digitalen Elementen (Sicherheitsarchitektur, Schwachstellenbewertung, SBOM)?",
    "if_yes": "Dokumentation bei Produktupdates aktualisieren. Aufbewahrungsfrist 10 Jahre.",
    "if_no": "Technische Dokumentation fehlt – CE-Kennzeichnung ohne Dokumentation unmöglich.",
    "if_partial": "Dokumentation teilweise vorhanden. CRA-spezifische Pflichtinhalte ergänzen."
  },
  "remediation": {
    "summary": "Vollständige CRA-konforme technische Produktdokumentation erstellen",
    "steps": [
      "CRA-Pflichtinhalte der technischen Dokumentation identifizieren",
      "SBOM für alle Produkte erstellen (alle Softwarekomponenten und Abhängigkeiten)",
      "Sicherheitsarchitektur und Risikoanalyse je Produkt dokumentieren",
      "Dokumentationsmanagement mit 10-Jahres-Aufbewahrung einrichten"
    ],
    "effort": "hoch",
    "deadline": "mittelfristig",
    "tools": [
      "SBOM-Tool (CycloneDX, SPDX)",
      "Dokumentations-Template",
      "DMS"
    ],
    "book_reference": {
      "book": "Cyber Resilience Act in der Praxis",
      "chapter": "Kap. 8 – Dokumentation und Konformität"
    },
    "cost_estimate": {
      "pt_min": 10,
      "pt_max": 20,
      "note": "Technische Dokumentation + SBOM erstellen"
    }
  },
  "risk": {
    "likelihood": 2,
    "impact": 4,
    "score": 6,
    "description": "Fehlende technische Dokumentation verhindert CE-Kennzeichnung und erzeugt Marktüberwachungsrisiko.",
    "regulatory_fine": {
      "max_eur": 15000000,
      "max_pct": "2,5% Jahresumsatz",
      "basis": "CRA Art. 64 – je nachdem was höher ist"
    }
  },
  "control": {
    "measure": "Vollständige technische Dokumentation mit SBOM, Sicherheitsarchitektur und 10-Jahres-Archivierung",
    "priority": "hoch",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Technische Dokumentation + SBOM + CE-Konformitätserklärung",
    "template": "CRA Technische Dokumentation",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.18.1.1",
      "A.18.2.1",
      "A.8.1.1"
    ],
    "coverage": "teilweise",
    "note": "ISO A.18.1 (Compliance-Dokumentation) ist verwandt. CRA-technische Dokumentation mit SBOM und CE-Konformität geht über ISO hinaus."
  },
  "iso27001_2022_controls": [
    "5.21",
    "5.33",
    "8.30"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/CRA-004-TECHNISCHE-DOKU",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}