Jetzt in Kraft . Meldepflichten gelten seit 11. Sep. 2026.
Sagen Sie uns, was Sie verkaufen. Wir sagen Ihnen, was dafür gilt, und ab wann.
Beispieldaten
- Für wen es gilt
- Jeder Hersteller, Einführer oder Händler eines Produkts mit digitalen Elementen, das in der EU in Verkehr gebracht wird, Software eingeschlossen, ohne Größenschwelle.
- Die Termine
- Die Meldepflicht des Artikels 14 gilt seit dem 11. September 2026, der Rest der Verordnung ab dem 11. Dezember 2027.
- Das eine, was zu tun ist
- Entscheiden Sie für jedes Produkt, das Sie in Verkehr bringen, ob es erfasst ist, schreiben Sie die Feststellung auf und richten Sie den Meldeweg ein, bevor Sie ihn brauchen.
Notifizierte Stellen
Kapitel IV: Konformitätsbewertungsstellen können ab diesem Tag notifiziert werden.
Meldepflicht
Artikel 14: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden ab diesem Tag gemeldet, 24 Stunden für die Frühwarnung.
Alles Übrige
Die grundlegenden Anforderungen, die technische Dokumentation und die CE-Kennzeichnung gelten ab diesem Tag für jedes in Verkehr gebrachte Produkt.
Auf einen Blick
111Anforderungen, jede mit der Vorschrift, auf der sie beruht
67auf ISO-Abschnitte oder -Maßnahmen abgebildet
8lösen eine Frist aus
Die Meldekette nach Artikel 14 Absatz 2
Senden Sie die Frühwarnung zur Schwachstelle innerhalb von 24 Stunden
14(2)(a)
Senden Sie die Schwachstellenmeldung innerhalb von 72 Stunden
14(2)(b)
Senden Sie den Abschlussbericht 14 Tage nach der Behebung
14(2)(c)
Der Cyber Resilience Act, für einen Softwarehersteller
Der Cyber Resilience Act erreicht jedes Produkt mit digitalen Elementen auf dem EU-Markt: die Meldepflicht nach Artikel 14 seit dem 11. September 2026, der Rest ab dem 11. Dezember 2027.
Beantworten Sie oben, um die Bestimmung für Ihren Fall zu lesen; das vollständige Werkzeug übernimmt Ihre Antworten.
In der kostenlosen Bestimmung fortfahrenDie vollständige Feststellung beantwortet jede Frage und hält die Lesung als datierten Nachweis für €29 fest.
CRA-Technische Dokumentation, für Sie erstellt: 2.900 €
Die 11 Dokumente des Pakets, für Ihr Produkt ausgefüllt.
Sieben Werkzeuge, kostenlos, ohne Konto
- Kostenlose PrüfungLiegt Ihr Produkt im Anwendungsbereich, und in welcher Stufe?Sechs Fragen aus Artikel 2, Artikel 3, Erwägungsgrund 12 und den Anhängen III und IV, mit der technischen Beschreibung jeder Kategorie und dem Koordinator für Ihren Mitgliedstaat.
- Kostenlose PrüfungJede Pflicht, nach RolleDie 111 Zeilen der Verordnung, die einen Hersteller, einen Einführer, einen Händler oder einen Verwalter quelloffener Software binden, im Wortlaut des Amtsblatts, mit einem Status je Zeile und der Checkliste als Dokument geschrieben.
- RechnerDer Fristenrechner zu Artikel 14Die 24-Stunden-, 72-Stunden- und Abschlussberichtsfristen für beide Auslöser, mit dem Abschlussbericht dort verankert, wo die Verordnung ihn verankert, den CSIRT-Koordinatoren aller 27 Staaten und dem Register der Durchsetzungsbehörden.
- LeitfadenWo gemeldet wird, nach MitgliedstaatWählen Sie den Staat Ihrer Hauptniederlassung und lesen Sie das als Koordinator benannte CSIRT, seine Kontaktseite und die drei Fristen; eine Zeile je Mitgliedstaat aus der Liste der ENISA, mit dem Lesedatum.
- LeitfadenDie technische Dokumentation, Anhang VII Punkt für PunktWas die Dokumentation enthalten muss, wie viele der 22 grundlegenden Anforderungen ein Produkt der Klasse I gegen eine noch nicht existierende harmonisierte Norm dokumentieren muss, und was StandardOS zusammenstellt.
- ZuordnungAnhang I, zugeordnet zu ISO 27001Jede der 22 grundlegenden Anforderungen gegen die Anhang-A-Maßnahmen, die den Prozess dahinter betreiben, und die, die nichts in Anhang A hervorbringt: die SBOM, die öffentliche Bekanntgabe, die Offenlegungsrichtlinie, kostenlose Updates.
- LeitfadenEinführer und HändlerDie Pflichten der Artikel 19 bis 21 für ein Unternehmen, das ein Produkt mit digitalen Elementen weiterverkauft oder einführt, und die Prüfungen, die sie erfüllen.
- Kostenlose PrüfungVernetzte VerbrauchergeräteEin Gerät, das ein Haushalt kauft: grundsätzlich erfasst, fünf Kategorien nennt Anhang III Klasse I gesondert.
- Kostenlose PrüfungIndustrielle und vernetzte AusrüstungEine Maschine, ein Antrieb, eine Steuerung oder ein Sensor ist Standardklasse; Anhang III listet die Netz- und Sicherheitsschicht darum herum.
- Kostenlose PrüfungEingebettete Software und FirmwareSoftware, die in fremden Produkten steckt, ist ein eigenes Produkt mit digitalen Elementen, und eine Open-Source-Ausnahme gibt es nicht.
- Kostenlose PrüfungSoftware zum InstallierenIn Verkehr gebrachte Software trägt eine CE-Kennzeichnung, auf der Erklärung oder der Website. Loggen Kunden sich nur ein, verweist Erwägungsgrund 12 auf NIS2.
Jede kostenlose Vorlage auf einer Seite
Drei Daten
- Gilt11. Juni 2026
Kapitel IV: die Regeln für notifizierte Stellen, damit die Konformitätsbewertungsstellen für wichtige und kritische Produkte benannt werden können. Am 13. Oktober 2026 war keine benannt.
- Gilt11. September 2026
Artikel 14: Eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall löst eine 24-Stunden-Frühwarnung, eine 72-Stunden-Meldung und einen Abschlussbericht aus, eingereicht auf der zentralen Meldeplattform der ENISA. Jedes Produkt im Anwendungsbereich, auch die bereits auf dem Markt.
- Gilt ab11. Dezember 2027
Volle Anwendung: die grundlegenden Anforderungen des Anhangs I, die Konformitätsbewertung, die technische Dokumentation, die CE-Kennzeichnung und der Unterstützungszeitraum, für jedes ab diesem Tag in Verkehr gebrachte Produkt und für ältere Produkte, sobald sie wesentlich geändert werden.
Der CRA und die KI-Verordnung, seit dem 27. Juli 2026
Ein Produkt mit digitalen Elementen kann zugleich ein Hochrisiko-KI-System nach Artikel 6 der KI-Verordnung sein. Artikel 12 Absatz 1 des CRA und seit dem 27. Juli 2026 Artikel 42 Absatz 3 der geänderten KI-Verordnung lassen ein solches System als konform mit den Cybersicherheitsanforderungen des Artikels 15 der KI-Verordnung gelten, wenn das Produkt die Anforderungen des Anhangs I Teil I erfüllt, die Prozesse des Herstellers Teil II erfüllen und das Schutzniveau in der EU-Konformitätserklärung nach dem CRA nachgewiesen ist. Eine Konformitätsbewertung nach Artikel 43 der KI-Verordnung deckt beides ab.
Ist Ihr Produkt auch ein Hochrisiko-KI-System? Die Einstufung, kostenlos
32 Artikel, aus den Primärquellen
Gilt er für Sie, und wie weit
- ArtikelFällt Ihr Produkt unter den Cyber Resilience Act? Wo SaaS stehtDie meistgestellte CRA-Frage ist nicht, wie man meldet, sondern ob die Verordnung überhaupt für Sie gilt.
- ArtikelWann ist Software nach dem CRA „in Verkehr gebracht“, und welcher Ihrer Builds ist ein Produkt? Die Regel der Leitlinien für eigenständige SoftwareAlles im CRA hängt an einem Datum und einem Substantiv: dem Datum, an dem ein Produkt in Verkehr gebracht wird, und der Frage, ob das, was Sie ausliefern, überhaupt ein Produkt ist.
- ArtikelWelche Teile Ihres Backends liegen im CRA? Datenfernverarbeitung, aus den Leitlinien der KommissionEin Produkt mit digitalen Elementen umfasst seine Lösungen zur Datenfernverarbeitung, und die Verordnung definiert sie in einem Satz.
- ArtikelCRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen.
- ArtikelGilt der CRA für Open-Source-Software? Drei Fälle, und die leichte Regelung für VerwalterDer Cyber Resilience Act erreicht freie und quelloffene Software nur, wenn sie im Rahmen einer gewerblichen Tätigkeit bereitgestellt wird.
- ArtikelIst Ihr Open-Source-Projekt „kommerziell“ im Sinne des CRA? Die sieben Tests der Kommission, mit ihren BeispielenDer CRA erfasst freie und quelloffene Software nur, wo sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird, und die Verordnung überlässt „kommerziell“ zwei Erwägungsgründen.
- ArtikelIst Ihr Produkt wichtig oder kritisch nach dem CRA? Standard, sofern es nicht eine der 19, 4 oder 3 Kategorien der Anhänge III und IV istIm Anwendungsbereich des CRA heißt Standard, wichtig Klasse I (19 Kategorien), wichtig Klasse II (4) oder kritisch (3), und die Stufe entscheidet, ob Sie selbst bewerten oder eine notifizierte Stelle nach Artikel 32 brauchen.
- ArtikelStandard, wichtig oder kritisch: die 26 technischen Beschreibungen der Durchführungsverordnung 2025/2392 und der KernfunktionalitätstestAnhang III und IV des CRA nennen 26 Produktkategorien in je einer Zeile.
- ArtikelWas der CRA von Einführern und Händlern verlangt, und wann er sie zum Hersteller machtWer Software oder Geräte in die EU weiterverkauft, statt sie zu bauen, bekommt von den Artikeln 19 und 20 des Cyber Resilience Act eine Checkliste vor dem Verkauf, eine Pflicht, Schwachstellen an den Hersteller weiterzugeben, eine Pflicht, Behörden über erhebliche Risiken zu informieren, und zehn Jahre Aufbewahrung.
- ArtikelWelches Update bringt Ihre bestehende Software unter den CRA? Wesentliche Änderungen, aus den Leitlinien der KommissionSoftware, die vor dem 11. Dezember 2027 in Verkehr gebracht wurde, bleibt außerhalb der Design- und Konformitätspflichten des CRA, bis sie wesentlich geändert wird.
Meldung, seit dem 11. September 2026
- ArtikelWas Sie nach dem CRA melden müssen: die zwei Auslöser, wie die Verordnung sie definiertArtikel 14 hat zwei Auslöser, und beide sind im Text definiert.
- ArtikelWann beginnt die 24-Stunden-Uhr des CRA? Bei hinreichender Gewissheit nach einer zügigen Erstbewertung, laut Leitfaden der KommissionArtikel 14 zählt 24 und 72 Stunden ab „Kenntnis erlangen“ und definiert den Begriff nie.
- ArtikelAn welches CSIRT melden Sie nach dem CRA? An den Koordinator Ihrer Hauptniederlassung, alle 27 mit NamenArtikel 14 schickt die Meldung an das CSIRT, das der Mitgliedstaat Ihrer Hauptniederlassung als Koordinator benannt hat; die ENISA hat alle 27 am 10.
- ArtikelCRA-Meldung auf der ENISA-Plattform einreichen: ein persönliches EU Login, ein Koordinator, drei Reiter, keine APIportal.cra-srp.enisa.europa.eu ist am 11.
- ArtikelDie Frist für den CRA-Abschlussbericht beginnt nicht, wenn Sie Kenntnis erlangenDie meisten Darstellungen von Artikel 14 des Cyber Resilience Act nennen drei Fristen ab einem Startpunkt: 24 Stunden, 72 Stunden, 14 Tage.
- ArtikelNIS2 oder CRA: Welche Vorfalls-Uhr läuft für ein Softwareunternehmen, und was macht einen Vorfall „erheblich“Beide Gesetze geben Ihnen 24 Stunden, 72 Stunden und einen Monat, und beide starten die Uhr, wenn Sie „Kenntnis erlangen“.
- ArtikelWer setzt den Cyber Resilience Act in Ihrem Mitgliedstaat durch? 7 von 27 haben es gesagtDer CRA wird national durchgesetzt, durch eine Marktüberwachungsbehörde, die jeder Mitgliedstaat benennt und bei der Kommission registriert.
- ArtikelDie eigene CRA-Maschinerie der EU am Tag, an dem die Pflicht begann: 0 notifizierte Stellen, 0 harmonisierte Normen, 7 von 27 DurchsetzungsbehördenDer Cyber Resilience Act verlangt von Herstellern, bereit zu sein.
- ArtikelCyber Resilience Act Strafen: welchem Risiko ein kleiner Hersteller tatsächlich ausgesetzt istDer CRA legt drei Bußgeldstufen fest, bis zu 15 Millionen EUR oder 2,5 % des weltweiten Umsatzes.
Die Dokumentation aufbauen, bis zum 11. Dezember 2027
- ArtikelDer Cyber Resilience Act für einen kleinen Softwarehersteller, in zwölf SchrittenAlles, was ein Zehn-Personen-Unternehmen, das installierte Software oder ein Gerät ausliefert, nach dem CRA tun muss, in der Reihenfolge, in der es zu tun ist: die Feststellung des Anwendungsbereichs, die Stufe, das CSIRT und die Durchsetzungsbehörde, das Meldeverfahren, das seit dem 11.
- ArtikelCRA Artikel 13 für einen Softwarehersteller: die fünfundzwanzig Absätze der Reihe nach, welche Ihre sind, welche der Kommission, und eine Checkliste nach RolleArtikel 13 des Cyber Resilience Act ist der Artikel des Herstellers: fünfundzwanzig Absätze von den grundlegenden Anforderungen in Absatz 1 bis zu den Befugnissen der Kommission in Absatz 25.
- ArtikelSelbstbewertung nach dem CRA: Was Modul A tatsächlich verlangt, aus Anhang VIII und den FAQ der KommissionDie meisten Softwareprodukte werden nie eine notifizierte Stelle sehen.
- ArtikelHarmonisierte Normen für den CRA: noch keine im Amtsblatt, 41 beauftragt, die ersten zwei waren zum 30. August 2026 fälligDer Normungsauftrag M/606 vom 3. Februar 2025 verlangt von CEN, CENELEC und ETSI 41 Normen: zwei horizontale bis zum 30.
- ArtikelCRA Anhang 1: die 22 grundlegenden Anforderungen als Checkliste, 14 Produktanforderungen und 8 zur SchwachstellenbehandlungWas Ihr Produkt ab dem 11. Dezember 2027 erfüllen und die technische Dokumentation zeigen muss: Teil I, 14 Produktanforderungen, 13 davon „soweit anwendbar“ auf Grundlage Ihrer Risikobewertung; Teil II, 8 Anforderungen an die Schwachstellenbehandlung, die immer gelten.
- ArtikelDie Cybersicherheitsrisikobewertung nach dem CRA: Was Artikel 13 tatsächlich verlangt, und das eine Ergebnis, das sie liefern mussArtikel 13 Absätze 2 bis 4 des Cyber Resilience Act machen die Risikobewertung zu dem Dokument, an dem jede andere CRA-Pflicht hängt.
- ArtikelWas in die technische Dokumentation nach dem CRA gehört: Anhang VII, Punkt für PunktAb dem 11. Dezember 2027 braucht jedes Produkt mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird, vor dem Inverkehrbringen eine technische Dokumentation, aufzubewahren für zehn Jahre oder den Unterstützungszeitraum, je nachdem, was länger ist.
- ArtikelVerlangt der CRA eine SBOM? Ja, und hier steht genau, was er sagtAnhang I Teil II Nummer 1 des Cyber Resilience Act verlangt eine Software-Stückliste in einem gebräuchlichen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt.
- ArtikelWas der CRA für Ihre Abhängigkeiten verlangt: Sorgfaltspflicht, Meldung nach oben und bekannte ausnutzbare Schwachstellen, aus den Leitlinien der KommissionEin Softwareprodukt besteht überwiegend aus fremdem Code.
- ArtikelDie Richtlinie zur koordinierten Offenlegung von Schwachstellen, die der CRA verlangt: drei Vorschriften, und eine einseitige Richtlinie, die sie erfülltAnhang I Teil II Nummer 5 des Cyber Resilience Act verlangt von jedem Hersteller im Anwendungsbereich, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen einzuführen und durchzusetzen.
- ArtikelWie lang ist der Unterstützungszeitraum nach dem CRA? Mindestens fünf Jahre, das Enddatum beim Kauf angegeben, jedes Update zehn Jahre verfügbarArtikel 13 Absatz 8 des Cyber Resilience Act: ein Unterstützungszeitraum von mindestens fünf Jahren oder, wenn kürzer, der erwarteten Nutzungsdauer; sein Enddatum, mindestens Monat und Jahr, beim Kauf angegeben; jedes Sicherheitsupdate zehn Jahre oder für den Rest des Zeitraums verfügbar; die technische Dokumentation, die Erklärung und die Nutzerinformationen zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum aufbewahrt.
- ArtikelBraucht Software nach dem CRA eine CE-Kennzeichnung? Ja, und Artikel 30 sagt, wohin sie gehörtAb dem 11. Dezember 2027 ist auf jedem Produkt mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird, eine CE-Kennzeichnung erforderlich, Software eingeschlossen.
- ArtikelDie EU-Konformitätserklärung nach dem CRA: Anhang V Punkt für Punkt, die vereinfachte Form und ein ausgearbeitetes BeispielArtikel 28 verpflichtet den Hersteller, vor dem Inverkehrbringen eine EU-Konformitätserklärung nach dem Muster in Anhang V auszustellen, und Artikel 28(4) macht die Unterschrift zu dem Akt, mit dem der Hersteller die Verantwortung für das Produkt übernimmt.
Was es von Ihnen verlangt
111 Anforderungen in 5 Gruppen
Pflichten
18- 13(1) Entwerfen, entwickeln und fertigen Sie das Produkt nach Anhang I
- 13(2) Bewerten Sie die Cybersicherheitsrisiken des Produkts und handeln Sie danach
- 13(5) Prüfen Sie Drittkomponenten, bevor Sie sie integrieren
und 15 weitere
Aufgaben
53- 13(3) Dokumentieren Sie die Risikobewertung und halten Sie sie aktuell
- 13(4) Nehmen Sie die Risikobewertung in die technische Dokumentation auf
- 13(6) Melden Sie eine Komponentenschwachstelle dem Betreuer
und 50 weitere
Maßnahmen
22- I.1 Sichern Sie das Produkt im Verhältnis zu seinen Risiken
- I.2.a Liefern Sie ohne bekannte ausnutzbare Schwachstellen aus
- I.2.b Liefern Sie sicher voreingestellt aus, darauf rücksetzbar
und 19 weitere
Klauseln
10- 13(8)-4 Achten Sie auf Mindestzeiträume per delegiertem Rechtsakt
- 14(5) Beurteilen Sie Schwere nach der Wirkung auf die Sicherheit
- 18(1) Sie können schriftlich einen Bevollmächtigten benennen
und 7 weitere
Fristen
8- 14(2)(a) Senden Sie die Frühwarnung zur Schwachstelle innerhalb von 24 Stunden
- 14(2)(b) Senden Sie die Schwachstellenmeldung innerhalb von 72 Stunden
- 14(2)(c) Senden Sie den Abschlussbericht 14 Tage nach der Behebung
und 5 weitere
Die CRA-Akte und die Meldeuhr, an einem Ort
Die Anforderungen des CRA als Katalog, die daraus erstellte technische Dokumentation und die Meldeuhr, in einem Arbeitsbereich.
Die Daten werden aus Artikel 71 der Verordnung gelesen und auf dieser Seite nie getippt. Dies ist keine Rechtsberatung, und die Verordnung ist der Text, den man lesen sollte: Verordnung (EU) 2024/2847.
Siehe auch:CRA für Berater und ihre MandantenEuropäischer Rechtsakt zur BarrierefreiheitProdukthaftungsrichtlinieArtikelKostenlose Werkzeuge