Der Cyber Resilience Act, Verordnung (EU) 2024/2847, liest sich als sechzig Artikel und acht Anhänge. Für einen kleinen Hersteller eines Produkts mit digitalen Elementen reduziert er sich auf zwölf Dinge, in einer Reihenfolge, die zählt, weil die frühen die späteren bestimmen. Zwei sind jetzt fällig; der Rest bis zum 11. Dezember 2027, oder früher, wenn Sie nach diesem Datum ein neues Produkt in Verkehr bringen.

Das ist die Liste. Jeder Schritt verlinkt auf den Text, der die Grundlage dafür liefert.

Jetzt: die zwei Dinge, die seit dem 11. September 2026 gelten

1. Entscheiden Sie, ob Sie im Anwendungsbereich sind, und schreiben Sie es auf. Installierte oder herunterladbare Software, Apps, Bibliotheken, Firmware und Geräte sind drin; reines Software-as-a-Service ist draußen und unter NIS2; Fernverarbeitung, ohne die ein Produkt nicht funktioniert, ist wieder drin. Artikel 2 Absatz 1, Artikel 3 Absätze 1 und 2, Erwägungsgrund 12. Der Text, der es entscheidet, und sechs Fragen, die die einseitige Feststellung erzeugen. Fällt Ihr Unternehmen auch unter NIS2, ist das eine eigene Feststellung.

2. Richten Sie die Meldung nach Artikel 14 ein. Seit dem 11. September 2026 startet eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall in einem Produkt im Anwendungsbereich eine 24-Stunden-Uhr, auch für Produkte, die bereits auf dem Markt sind. Das heißt: die zwei Auslöser in Ihr Verfahren geschrieben, wie die Verordnung sie definiert; das CSIRT Ihres Mitgliedstaats benannt; eine meldende Person und eine Vertretung auf der zentralen Meldeplattform der ENISA mit EU Login und Zwei-Faktor-Authentifizierung registriert; eine vereinbarte Bedeutung von „Kenntnis erlangt“; und die drei Fristen mit ihren tatsächlichen Ankern, die die meisten Darstellungen falsch haben. Die Seite zu den Fristen berechnet sie.

Vor der Dokumentation: die Entscheidungen, die sie formen

3. Finden Sie Ihre Stufe. Standard, wichtig Klasse I oder II, oder kritisch. Die Listen der Anhänge III und IV, wörtlich, und der Weg nach Artikel 32, den jede Stufe erlaubt: Selbstbewertung für Standardprodukte, eine notifizierte Stelle für die meisten anderen.

4. Wissen Sie, wer durchsetzt. Die Marktüberwachungsbehörde Ihres Mitgliedstaats, falls er eine registriert hat; an dem Tag, an dem Artikel 14 zu gelten begann, hatten es sieben von 27. Schreiben Sie auf, welche, oder das Datum, an dem Sie nachgesehen und keine gefunden haben.

5. Legen Sie den Unterstützungszeitraum fest. Mindestens fünf Jahre, oder die erwartete Nutzungsdauer, wenn sie kürzer ist, mit Begründung; das Enddatum beim Kauf angezeigt, Monat und Jahr. Artikel 13 Absatz 8 und die drei Aufbewahrungsuhren, die daran hängen.

Bis zum 11. Dezember 2027: das Produkt und die Dokumentation

6. Erfüllen Sie die 22 grundlegenden Anforderungen des Anhangs I. Vierzehn Produkteigenschaften in Teil I, dreizehn davon „soweit anwendbar“ auf Grundlage Ihrer Risikobewertung, und acht Anforderungen an die Schwachstellenbehandlung in Teil II, die immer gelten. Die Tabelle, mit dem, was ausgeschlossen werden darf und warum.

7. Führen Sie die Cybersicherheitsrisikobewertung durch. Artikel 13 Absatz 2 und Anhang VII Nummer 3: das Dokument, das entscheidet, welche Anforderungen aus Teil I für Ihr Produkt gelten, und jeden Ausschluss begründet. Beginnen Sie hier; alles danach hängt davon ab.

8. Schreiben Sie die vier Betriebsdokumente, die Teil II voraussetzt. Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, eine öffentliche Kontaktstelle für Schwachstellenmeldungen, einen Weg, Sicherheitsupdates sicher und kostenlos zu verteilen, und ein SBOM-Verfahren, das eine pro Produkt und Version erzeugt.

9. Stellen Sie die technische Dokumentation zusammen. Die acht Punkte des Anhangs VII und die elf Dokumente, zu denen sie werden: zehn Jahre oder den Unterstützungszeitraum aufbewahrt, je nachdem, was länger ist, aktualisiert, wenn sich das Produkt ändert. Vor dem Inverkehrbringen des Produkts.

10. Führen Sie die Konformitätsbewertung durch. Für ein Standardprodukt das Verfahren der internen Fertigungskontrolle nach Anhang VIII Modul A, in eigener Verantwortung. Für wichtige und kritische Produkte der Weg über die notifizierte Stelle oder die Zertifizierung aus Schritt 3.

11. Unterschreiben Sie die EU-Konformitätserklärung und bringen Sie die CE-Kennzeichnung an. Artikel 28 und Anhang V für die Erklärung; Artikel 30 dafür, wohin die Kennzeichnung bei Software gehört: auf die Erklärung oder in einen für Verbraucher erreichbaren Abschnitt der Produkt-Website, vor dem Inverkehrbringen.

12. Stellen Sie die Nutzerinformationen bereit. Anhang II: wer Sie sind, der Kontakt für Schwachstellen und wo die Offenlegungsrichtlinie steht, das Enddatum des Unterstützungszeitraums, wie Updates installiert werden, wie sicher außer Betrieb genommen wird und wo die Erklärung zu finden ist. Zehn Jahre oder den Unterstützungszeitraum verfügbar gehalten.

Was die Reihenfolge Ihnen bringt

Die Schritte 1 und 2 sind heute fällig und dauern einen Nachmittag; ein Unternehmen, das sie erledigt hat, kann die zwei Fragen beantworten, die eine Behörde oder ein Kunde zuerst stellt. Die Schritte 3 bis 5 sind Entscheidungen, keine Dokumente, und sie bestimmen, ob die Dokumentation in Schritt 9 eine Selbstbewertung oder ein Auftrag an eine notifizierte Stelle ist und wie lange sie aufzubewahren ist. Die Schritte 6 bis 12 sind die Arbeit für Dezember 2027, und Schritt 7 ist der Anfang, weil die Risikobewertung das Argument ist, das der Rest der Dokumentation führt.

Nichts davon erfordert einen Berater, der die Verordnung für Sie liest; jeder Schritt oben zitiert den Artikel, und die Artikel sind kurz. Was es erfordert, ist, dass die Antworten aufgeschrieben, datiert und aufbewahrt werden, und das ist der Teil, der zwischen einer guten Absicht und einer Prüfung verloren geht.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 2, 3, 13, 14, 28, 30, 31, 32, 52, 64, 69 und 71 Absatz 2; Erwägungsgrund 12; Anhänge I, II, III, IV, V, VII und VIII. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026. Jeder verlinkte Text trägt seine eigenen Verweise.

Das ist keine Rechtsberatung. Es ist die Lesereihenfolge, mit dem Text bei jedem Schritt einen Klick entfernt.