CRA Evidence OS

Company: CRA Evidence OS

Selbstauskunft: Die Beschreibung ist vollständig selbst gemeldet und nicht verifiziert, basiert auf einer Devpost-Einreichung für den OpenAI 2026 Hackathon. Es gibt keine externe Bestätigung.

Was es offenbar ist: Ein vertikales MVP-Tool für kleine EU-Hersteller zur Vorbereitung von Sicherheitsevidenzen gemäß dem EU Cyber Resilience Act (CRA), das GPT-5.6 für strukturierte Evidenzvorschläge und deterministische Logik für das Evidenzmanagement nutzt.

Was sich geändert hat: Das Projekt entwickelte sich von einem Hackathon-Prototyp zu einem fokussierten Produkt mit definierten Workflows, KI-Integration und menschlichen Prüfungsstufen.

Wichtigste offene Frage: Stimmt die vom Autor selbst gemeldete Vision von CRA Evidence OS mit einem tragfähigen kommerziellen Produkt überein, das über eine synthetische Demo hinaus skalieren kann?

Die Beschreibung besagt, dass CRA Evidence OS ein Dokumentations- und Evidenzarbeitsbereich für kleine Hersteller von EU-Software, IoT und Industrieanlagen ist. Es unterstützt Workflows, einschließlich:

• Evidenzprüfung (Verwendung von GPT-5.6, um technische Quellen in strukturierte, zitierte Vorschläge umzuwandeln)
• Menschliche Genehmigung (Vorschläge bleiben unzuverlässig, bis sie geprüft wurden)
• Evidenzgraph (genehmigte Aussagen werden mit Quellen, Versionen, Komponenten und Kontrollen verknüpft)
• SBOM-Auswirkung (deterministische Logik erkennt veraltete Evidenz, wenn sich Komponenten ändern)
• Incident-Entwurf (stellt genehmigte Fakten in 24/72-Stunden-Meldungsprotokolle zusammen)
• Dossier-Export (bereitet nachvollziehbare Protokolle für die fachliche Prüfung vor)

Das System ist mit Next.js, React, TypeScript gebaut und verwendet GPT-5.6 ausschließlich für sprachliche Reasoning-Aufgaben – nicht für endgültige Compliance-Entscheidungen.

Es behauptet nicht, CRA-Compliance zu zertifizieren, sondern hilft Teams eher dabei, erforderliche Evidenz vorzubereiten, zu verknüpfen, zu prüfen und zu pflegen.

Schlussfolgerung: Das Produkt ist ein vertikales MVP, das sich auf einen spezifischen regulatorischen Bereich (CRA) und einen Anwendungsfall (Evidenzvorbereitung) konzentriert, wobei KI als Assistenzschicht und deterministische Logik für die Governance dienen.

Die Beschreibung besagt, dass das Projekt vom EU Cyber Resilience Act inspiriert wurde, der Hersteller verpflichtet, Vorfälle innerhalb von 24–72 Stunden zu melden. Das Team stellte die Frage:

„Kann KI einem kleinen Hersteller helfen, prüffertige Sicherheitsevidenz zu pflegen, ohne vorzutäuschen, Sicherheitsexperten, Rechtsberater oder Konformitätsbewertungsstellen zu ersetzen?“

Diese Frage entwickelte sich zu CRA Evidence OS – einem Tool, das nicht behauptet, Compliance-Experten zu ersetzen, sondern sie stattdessen unterstützt, indem es Evidenz strukturiert und Teile des Dokumentationsprozesses automatisiert.

Das Produkt wird positioniert als:

• Ein menschlich geprüftes Evidenzvorbereitungstool
• Kein Compliance-Chatbot
• Kein universelles Dokumenteneingabesystem
• Keine Rechtsberatung oder Konformitätsbewertung

Schlussfolgerung: Die Positionierung ist klar – es ist ein unterstützendes, nicht autoritatives Tool für Compliance-Dokumentation. Es betont Transparenz und Nachvollziehbarkeit gegenüber Automatisierung.

Die Beschreibung besagt, dass CRA Evidence OS folgende Zielgruppe anspricht:

• Kleine Hersteller von EU-Software, IoT und Industrieanlagen
• Diejenigen, die sich an den EU Cyber Resilience Act (CRA) halten müssen

Es ist für Teams konzipiert, die prüfbereite Sicherheitsevidenzen vorbereiten müssen, nicht für große Unternehmen oder Nicht-EU-Hersteller.

Schlussfolgerung: Die ICP ist eng gefasst – kleine und mittlere EU-Hersteller in regulierten Sektoren, mit einem Fokus auf Compliance-Dokumentation und Incident-Reporting im Rahmen des CRA.

Nicht belegt.

Die Beschreibung erwähnt kein Preismodell, keine Monetarisierungsstrategie oder kein Geschäftsmodell.

Das System wird mit folgenden Komponenten erstellt:

• Next.js, React, TypeScript
• GPT-5.6 für strukturierte Sprachlogik
• OpenAI Responses API
• Strukturierte Schemata, deterministische Logik für Zustandsübergänge und Impact-Erkennung
• Serverseitige Verarbeitung von Secrets und Zitaten
• Validierung von Modell-Ausgaben anhand strenger Schemata

Zu den wichtigsten technischen Entscheidungen gehören:

• Trennung von KI-Logik und deterministischer Logik
• Anforderung einer menschlichen Genehmigung, bevor Evidenz den Status „approved“ erhält
• Erhalt unbekannter Fakten, anstatt dem Modell zu erlauben, diese zu erfinden
• Verwendung von Codex für Architektur, Schnittstelle, API-Integration, Testing und Deployment

Schlussfolgerung: Das Produkt wird mit einem starken Fokus auf Sicherheitsgrenzen, Nachverfolgbarkeit und human-in-the-loop-Governance entwickelt. Es vermeidet durch Design ein Übermaß an KI-Autonomie.

Nicht belegt.

Die Beschreibung erwähnt keine Umsätze, Kunden, Nutzungsdaten oder Adoptionsdaten über die synthetische Demo und die Hackathon-Einreichung hinaus.

Nicht belegt.

Es werden keine Informationen zu Wettbewerbern, Marktvolumen oder Wettbewerbspositionierung über den selbst gemeldeten Anwendungsfall hinaus bereitgestellt.

• Ungeprüfte Behauptungen: Die Beschreibung ist vollständig selbst gemeldet und ungeprüft.
• Keine kommerzielle Traction: Keine Belege für Umsatz, Kunden oder Nutzung über eine Demo hinaus.
• KI-Abhängigkeitsrisiko: Die Abhängigkeit von GPT-5.6 für strukturierte Ausgaben ist möglicherweise ohne menschliche Aufsicht nicht skalierbar.
• Begrenzter Umfang: Das MVP wird als „kontrollierter synthetischer vertikaler Ausschnitt“ beschrieben, nicht als vollständiges Produkt.
• Regulatorische Komplexität: CRA-Compliance ist hochkomplex; das Tool behauptet nicht, Experten zu ersetzen, aber seine Nützlichkeit im realen Einsatz bleibt unbewiesen.

1. Welche spezifischen EU-Regulierungen oder -Standards unterstützt dieses Tool neben dem CRA?
2. Wie handhabt das System den mehrbenutzerfähigen Zugriff und die Datenisolation in einer Produktionsumgebung?
3. Gibt es Pläne zur Integration mit bestehenden SBOM-Tools (z. B. SPDX, CycloneDX)?
4. Wie hoch ist der derzeitige Grad der menschlichen Beteiligung bei der Evidenzvorbereitung im Vergleich zu KI-gestützten Aufgaben?
5. Hat das Team das Tool mit echten Herstellern oder Compliance-Teams getestet?
6. Wie stellt das System sicher, dass Modell-Ausgaben nicht als endgültige Compliance-Entscheidungen missbraucht werden?
7. Welche sind die wichtigsten Annahmen über das Nutzerverhalten und die Adoption in einer realen Umgebung?