// VERORDNUNG (EU) 2024/2847 · CYBER RESILIENCE ACT
Ihr Produkt hat digitale Elemente. Dann betrifft Sie der CRA.
Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Ab 11. Dezember 2027 kommt kein Produkt mehr ohne CRA-Konformität auf den EU-Markt. Wir helfen Ihnen dabei, mit Analyse, sauberen Prozessen und belastbaren Nachweisen.
Der Fahrplan
Stand: Oktober 2026- 10. Dez 2024
In Kraft getreten
Die Verordnung gilt unmittelbar, ohne nationales Umsetzungsgesetz.
- 11. Sep 2026
Meldepflichten gelten
Art. 14: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die ENISA-Plattform.
- 11. Dez 2027
Volle Anwendung
Alle Produktanforderungen, Konformitätsbewertung, CE-Kennzeichnung.
Was seit September gilt und oft übersehen wird
Die Meldepflicht nach Art. 14 ist keine Zukunftsmusik, sie läuft. Wer ein Produkt mit digitalen Elementen in der EU in Verkehr bringt und von einer aktiv ausgenutzten Schwachstelle erfährt, hat 24 Stunden für die Frühwarnung. Gemeldet wird über die Single Reporting Platform der ENISA, die seit dem 11. September 2026 in Betrieb ist; Empfänger ist das zuständige nationale CSIRT, die ENISA wird parallel informiert.
24 Stunden
Frühwarnung ab Kenntnis
72 Stunden
Vollständige Meldung
14 Tage
Abschlussbericht, sobald Gegenmaßnahmen verfügbar sind
Der Haken: Eine 24-Stunden-Frist lässt sich nicht improvisieren. Sie braucht eine definierte Eingangsstelle, benannte Verantwortliche inklusive Vertretung, einen Entscheidungsbaum für „meldepflichtig oder nicht" und vorbereitete Meldetexte. Wer das erst baut, wenn der Fall eintritt, hält die Frist nicht ein.
Betrifft mich das überhaupt?
Der CRA erfasst „Produkte mit digitalen Elementen“, die in der EU in Verkehr gebracht werden, also Hardware und Software. Das betrifft weit mehr Unternehmen, als viele annehmen: neben Softwarehäusern auch den Maschinenbauer mit vernetzter Steuerung, den Hersteller eines Geräts mit App oder den Anbieter einer Desktop-Anwendung.
Erfasst, wenn…
- Sie entwickeln Software, die Sie verkaufen oder lizenzieren
- Ihr Gerät hat eine Netzwerk-, Bluetooth- oder USB-Schnittstelle
- Zu Ihrem Produkt gehört eine App oder ein Cloud-Dienst
- Sie importieren oder vertreiben solche Produkte in der EU
- Sie integrieren fremde Komponenten in Ihr eigenes Produkt
Außerhalb des Anwendungsbereichs
- Medizinprodukte, Kfz und Luftfahrt, für die eigene Regelwerke gelten
- Reine Dienstleistungen ohne Produkt
- Nicht-kommerzielle Open-Source-Software (Stewards haben eigene, leichtere Pflichten ab Dez 2027)
Die Abgrenzung entscheidet über Aufwand und Zeitplan, und bei zusammengesetzten Produkten ist sie selten offensichtlich. Deshalb klären wir sie zuerst.
Vier Klassen, vier Wege zur Konformität
Standard
Der Regelfall. Interne Konformitätskontrolle durch den Hersteller selbst.
Die große Mehrheit aller Produkte
Wichtig · Klasse I
Selbstbewertung nur über harmonisierte Normen; sonst Prüfung durch eine notifizierte Stelle.
Betriebssysteme, Browser, Passwort-Manager, VPN, Router, Identitätsmanagement
Wichtig · Klasse II
Immer Beteiligung einer notifizierten Stelle. Interne Kontrolle ist ausgeschlossen.
Firewalls, IDS/IPS, Hypervisoren, Container-Runtimes
Kritisch
Europäisches Zertifizierungsschema auf Vertrauenswürdigkeitsstufe „substanziell".
Hardware-Sicherheitsmodule, Smartcards, Smart-Meter-Gateways
Der Punkt, an dem viele Planungen scheitern
Für die Selbstbewertung über harmonisierte Normen braucht es harmonisierte Normen. Die gibt es noch nicht: Mit Stand August 2026 war keine CRA-Norm als EN verabschiedet oder im Amtsblatt veröffentlicht. Die Konformitätsvermutung nach Art. 27 steht damit für keine Produktkategorie zur Verfügung.
Wer auf die Normen wartet, verliert Zeit, die er nicht hat. Konformität lässt sich auch ohne harmonisierte Norm nachweisen, nämlich über eine saubere technische Dokumentation, die die Erfüllung von Anhang I selbst herleitet. Die bauen wir mit Ihnen auf und gliedern sie so, dass Sie später auf die Normen umstellen können, ohne von vorn anzufangen.
Was der CRA von Ihnen verlangt
Sicherheit ab Werk
Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, mit sicherer Standardkonfiguration und dem Grundsatz der minimalen Angriffsfläche. Die Anforderungen stehen in Anhang I.
Risikobewertung
Eine dokumentierte Cybersicherheits-Risikobewertung gehört in die Produktkonzeption und in die technische Dokumentation.
SBOM & Komponenten
Eine Stückliste der Softwarekomponenten, mindestens der Abhängigkeiten der obersten Ebene. Dazu ein Prozess, der Schwachstellen in Fremdkomponenten erkennt, bevor Ihr Kunde sie meldet.
Schwachstellenbehandlung
Meldekanal, Behebung und kostenlose Sicherheitsupdates, getrennt von Funktionsupdates. Dazu die Meldewege nach Art. 14.
Supportzeitraum
Mindestens fünf Jahre Sicherheitsupdates, bei kürzerer erwarteter Lebensdauer entsprechend angepasst. Diese Zusage ist kalkulationsrelevant und gehört ins Produktmanagement, nicht in die Rechtsabteilung.
Nachweise
Technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung. Aufbewahrung mindestens zehn Jahre.
Der Rahmen bei Verstößen
bis 15 Mio. € oder 2,5 %
Grundlegende Anforderungen nach Anhang I und zentrale Herstellerpflichten
bis 10 Mio. € oder 2 %
Übrige Pflichten: Konformitätsbewertung, Dokumentation, CE, Pflichten von Einführern und Händlern
bis 5 Mio. € oder 1 %
Falsche oder unvollständige Auskünfte gegenüber Behörden und notifizierten Stellen
Jeweils der höhere Wert aus Festbetrag und Anteil am weltweiten Jahresumsatz. In der Praxis spürt ein mittelständisches Unternehmen den CRA eher über den Einkauf großer Kunden als über ein Bußgeld: Ab 2027 wollen Kunden die Konformitätserklärung sehen, bevor sie bestellen.
Wie wir unterstützen
Fünf Bausteine. Einzeln buchbar, aufeinander aufbauend.
Betroffenheits- und Klassenanalyse
Welche Ihrer Produkte fallen unter den CRA, welche Klasse gilt, und welcher Konformitätsweg ergibt sich daraus? Ergebnis ist eine belastbare Einstufung je Produkt mit Begründung. Darauf bauen alle weiteren Schritte und Ihre Zeitplanung auf.
Produktliste mit Einstufung · Begründung je Produkt · Zeitplan bis Dez 2027
Meldeprozess nach Art. 14
Der dringendste Baustein, weil die Pflicht bereits läuft. Wir definieren Eingangsstelle, Rollen und Vertretung, den Entscheidungsbaum für die Meldepflicht und die Anbindung an die ENISA-Plattform. Die Meldetexte für 24 h, 72 h und den Abschlussbericht bereiten wir vor.
Meldeprozess · Rollen & Eskalation · Entscheidungsbaum · Textvorlagen · Trockenübung
Gap-Analyse gegen Anhang I
Ihr Produkt und Ihr Entwicklungsprozess gegen die grundlegenden Anforderungen geprüft. Jede Abweichung wird bewertet, priorisiert und mit einer konkreten Maßnahme versehen. Wir gehen dabei so systematisch vor wie in einem ISO-27001-Audit.
Gap-Bericht je Anforderung · Priorisierte Maßnahmenliste · Aufwandsschätzung
Schwachstellenmanagement & SBOM
Von der Stückliste zum laufenden Prozess: SBOM-Erzeugung im Build, Abgleich gegen Schwachstellendatenbanken, Bewertung, Patch-Pfad und der zugesagte Supportzeitraum. Inklusive Coordinated-Vulnerability-Disclosure-Richtlinie für Meldungen von außen.
SBOM im Build · VM-Prozess · CVD-Richtlinie · Support- und Update-Politik
Technische Dokumentation & Konformität
Die Nachweiskette, die am Ende zählt: Risikobewertung, Anhang-I-Nachweis, Testnachweise, EU-Konformitätserklärung. Aufgebaut so, dass sie auf harmonisierte Normen umgestellt werden kann, sobald diese vorliegen.
Technische Dokumentation · Konformitätserklärung · Ablage für 10 Jahre
Lieber selbst umsetzen? Das CRA Readiness Kit
Neun editierbare Werkzeuge für Ihr Team: Klassifizierungs-Tool, Gap-Assessment gegen Anhang I, Melde-Playbook nach Art. 14, SBOM- und CVD-Richtlinie, Vorlagen für technische Dokumentation und Konformitätserklärung, Fahrplan bis Dezember 2027. Deutsch und Englisch, €349, Sofort-Download.
Dazu passend: Produkt-Sicherheitstests
Die Aussage „keine bekannten ausnutzbaren Schwachstellen“ braucht einen Beleg. Über unser Netzwerk zertifizierter Penetrationstester prüfen wir Firmware, Web-Oberfläche, API oder mobile App Ihres Produkts und liefern den Testnachweis für die technische Dokumentation.
Zuständigkeiten in DACH
Deutschland
Das BSI ist als marktüberwachende und als notifizierende Behörde benannt; das CRA-Durchführungsgesetz schafft den nationalen Rahmen. Das BSI kann Produkte stichprobenartig oder gezielt prüfen und Sanktionen verhängen.
Österreich
Die notifizierende Behörde ist im Bundeskanzleramt angesiedelt (nationale Behörde für Cybersicherheitszertifizierung). Die Marktüberwachungsbehörde ist noch nicht abschließend benannt. Die Pflichten gelten trotzdem, weil der CRA als Verordnung unmittelbar anwendbar ist.
Schweiz
Nicht EU-Mitglied und damit nicht direkt gebunden. Wer aber in die EU liefert, ist als Hersteller aus einem Drittland voll erfasst und braucht zusätzlich einen Bevollmächtigten in der Union.
Häufige Fragen
Der erste Schritt ist klein
Am Anfang steht eine Frage: Welche Ihrer Produkte fallen unter den CRA, und in welche Klasse? Schreiben Sie uns kurz, was Sie herstellen. Wir melden uns mit einer ersten Einschätzung und einem Festpreis für die Analyse.
CRA-Betroffenheit anfragenDiese Seite gibt den Stand Oktober 2026 wieder und dient der Information. Sie ist keine Rechtsberatung. Die Einstufung Ihrer Produkte und die daraus folgenden Pflichten hängen vom Einzelfall ab.