Recommended Free Tools
Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, macht Cybersicherheit für viele Hardware- und Softwareprodukte mit digitalen Elementen zur Aufgabe über den gesamten Produktlebenszyklus. Für Hersteller heißt das: den Anwendungsbereich klären, Risiken bewerten, Schutzmaßnahmen in Entwicklung und Produktion verankern, Schwachstellen während eines festgelegten Supportzeitraums behandeln und die Konformität belegen. Seit dem 11. September 2026 gelten außerdem die CRA-Meldepflichten; die meisten übrigen Pflichten greifen ab dem 11. Dezember 2027.
Was verlangt der Cyber Resilience Act von Produktteams?
Der CRA ist ein verbindlicher EU-Rechtsrahmen für Cybersicherheit bei erfassten Produkten mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden. Er beschränkt Sicherheit nicht auf einen Test vor der Markteinführung: Hersteller müssen sie in Planung, Design, Entwicklung, Produktion, Lieferung und Wartung berücksichtigen.
As an Amazon Associate I earn from qualifying purchases.
Im Zentrum steht ein nachvollziehbarer Prozess. Eine produktbezogene Cybersicherheits-Risikobewertung bildet die Grundlage dafür, welche Maßnahmen umgesetzt werden und wie sie sich in technischen Unterlagen begründen lassen. Dazu gehören beispielsweise sichere Standardeinstellungen, Zugangskontrollen, Kryptografie und Sicherheitsupdates. Welche Maßnahmen angemessen sind, hängt vom Produkt und seiner Risikobewertung ab; eine einzelne Prüfliste ersetzt diese Bewertung nicht.
Für die rechtliche Auslegung ist der Verordnungstext maßgeblich. Die Zusammenfassung der Europäischen Kommission bietet eine Orientierung, und ihre am 27. Juli 2026 veröffentlichte Umsetzungsleitlinie ist ausdrücklich nicht bindend. Sie enthält 67 praktische Beispiele, auch mit Blick auf Kleinstunternehmen und KMU.
#1 Best Overall
Welche Produkte können unter den CRA fallen?
Grundsätzlich erfasst die Verordnung Hardware- und Softwareprodukte mit digitalen Elementen, wenn sie auf dem EU-Markt bereitgestellt werden und ihrem Zweck oder ihrer vernünftigerweise vorhersehbaren Verwendung nach direkt oder indirekt logisch oder physisch mit einem anderen Gerät oder Netzwerk verbunden werden können. Die konkrete Einordnung hängt daher nicht allein davon ab, ob ein Produkt als „Software“ oder „Hardware“ verkauft wird.
Endprodukte, Komponenten und notwendige Remote-Verarbeitung
Zum Prüfbestand gehören mögliche Endprodukte ebenso wie separat vermarktete Hardware- und Softwarekomponenten. Auch eine entfernte Datenverarbeitungslösung kann einbezogen sein, wenn sie für eine Produktfunktion notwendig ist und vom Hersteller entwickelt oder verantwortet wird. Produktarchitektur, Liefermodell und Verantwortlichkeiten sind deshalb Teil der Anwendungsbereichsprüfung.
Ausnahmen und Einzelfallprüfung
Es gibt Ausnahmen, darunter bestimmte Produkte, die bereits unter andere EU-Rechtsvorschriften fallen. Aus der allgemeinen Beschreibung lässt sich deshalb nicht zuverlässig ableiten, ob ein bestimmtes Produkt erfasst ist. Prüft Zweck, vorhersehbare Verwendung, Verbindungsmöglichkeiten, Marktbereitstellung und einschlägige Ausnahmen anhand der konkreten Produktunterlagen.
Outdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchWindows Errors? Fix Them Before They Spread
Repair common Windows errors and clear accumulated junk for a smoother, more stable PC - no reinstall needed.Free scan · no reinstallAb wann gelten die CRA-Pflichten?
Die Verordnung trat am 10. Dezember 2024 in Kraft. Die Pflichten gelten gestaffelt:
| Datum | Was gilt |
|---|---|
| 10. Dezember 2024 | Der CRA tritt in Kraft. |
| 11. Juni 2026 | Die Vorschriften zur Benennung von Konformitätsbewertungsstellen gelten. |
| 11. September 2026 | Die Meldepflichten aus Artikel 14 gelten. Die Europäische Kommission bezeichnet die CRA Single Reporting Platform als operativ. |
| 11. Dezember 2027 | Die Hauptpflichten des CRA gelten vollständig. |
Für Produkte, die vor dem 11. Dezember 2027 bereits in Verkehr gebracht wurden, gilt grundsätzlich: Die übrigen CRA-Pflichten greifen ab diesem Datum, wenn das Produkt wesentlich geändert wird. Die Meldepflichten sind davon ausgenommen und gelten auch für bereits bereitgestellte Produkte. Ob eine konkrete Änderung wesentlich ist, muss anhand des Einzelfalls und der Verordnung beurteilt werden.
Wie wird CRA-Konformität in den Entwicklungsprozess eingebaut?
Behandelt die Risikobewertung nicht als nachträglichen Compliance-Anhang. Sie sollte Entscheidungen beeinflussen, bevor Architektur und Umsetzung feststehen, und bei Änderungen am Produkt erneut berücksichtigt werden. Ein praktikabler Ablauf verbindet Sicherheitsziele, technische Entscheidungen, Nachweise und Zuständigkeiten.
Rank #3
- Bestand und Anwendungsbereich erfassen. Erfasst Produkte und separat vermarktete Komponenten, ihre vorgesehenen und vorhersehbaren Verbindungen, die EU-Bereitstellung sowie gegebenenfalls notwendige Remote-Verarbeitung. Haltet fest, warum ein Produkt als erfasst oder ausgenommen bewertet wird.
- Risiken in Anforderungen und Architektur übersetzen. Bewertet Cybersicherheitsrisiken produktbezogen und leitet daraus Sicherheitsanforderungen ab. Dokumentiert, wie Bedrohungen und Risiken Architekturentscheidungen, Implementierung und Wartungsplanung beeinflussen.
- Maßnahmen über den Lebenszyklus umsetzen. Verankert geeignete Schutzmaßnahmen in Design, Entwicklung, Produktion, Lieferung und Wartung. Sichere Voreinstellungen, Zugangskontrollen, Kryptografie und Updates sind Beispiele; Auswahl und Begründung müssen zur Risikobewertung passen.
- Schwachstellen- und Supportprozess festlegen. Bestimmt, wie Meldungen eingehen, bewertet, behoben und an betroffene Nutzer kommuniziert werden. Plant Zuständigkeiten und Abläufe so, dass Schwachstellen auch in Komponenten während des festgelegten Supportzeitraums behandelt werden können.
- Produktkategorie und Konformitätsweg klären. Prüft früh, ob das Produkt einer wichtigen oder kritischen Kategorie angehört und welches Konformitätsbewertungsverfahren dafür vorgesehen ist. Das kann beeinflussen, ob eine interne Bewertung genügt oder eine externe Stelle beziehungsweise ein europäisches Zertifizierungsschema benötigt wird.
- Nachweise zusammenführen. Haltet Risikobewertung, ausgewählte technische Maßnahmen und ihre Begründung in einer konsistenten technischen Dokumentation fest. Bereitet das zutreffende Konformitätsbewertungsverfahren vor; bei erfolgreichem Nachweis folgen die EU-Konformitätserklärung und die CE-Kennzeichnung.
ENISA beschreibt wiederholbare Secure-by-Design- und Secure-by-Default-Maßnahmen, die sich in bestehende Produkt-, Engineering- und Releaseabläufe integrieren lassen. Sie können Teams bei der Prozessgestaltung unterstützen, ersetzen aber weder die produktspezifische Bewertung noch die rechtlichen Anforderungen des CRA.
Quick wins for a faster PC:
Repair Windows errors before they cause bigger problemsFix Now →Scan for outdated or missing drivers - takes under a minuteDriver Scan →Welche Meldepflichten gelten seit September 2026?
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts beeinträchtigen, nach Artikel 14 melden. Die Pflicht gilt auch für bereits bereitgestellte Produkte. Meldungen erfolgen über die CRA Single Reporting Platform an das zuständige CSIRT; ENISA erhält die Informationen grundsätzlich ebenfalls.
Der Meldeprozess enthält mehrere Fristen: eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden. Hinzu kommen fristgebundene Abschlussmeldungen. Die konkreten Abläufe und Fristen müssen für den jeweiligen Meldungsfall anhand der Verordnung festgelegt werden; ein interner Prozess sollte erkennen, wann ein Fall meldepflichtig ist, wer entscheidet und wer die Meldung tatsächlich einreicht.
- Richtet einen Eingang für Sicherheitsmeldungen ein und sorgt dafür, dass Hinweise rasch an die zuständigen Personen gelangen.
- Definiert, wie das Team aktive Ausnutzung und schwerwiegende Vorfälle bewertet und die Produktsicherheitsrelevanz dokumentiert.
- Legt Vertretungen und Eskalationswege fest, damit Meldefristen nicht von einer einzelnen Person abhängen.
- Plant die Kommunikation mit betroffenen Nutzern und die Nachverfolgung von Korrektur- oder Minderungsmaßnahmen.
Wie lange müssen Sicherheitsupdates bereitgestellt werden?
Der Hersteller legt einen Supportzeitraum fest, in dem Schwachstellen effektiv behandelt werden müssen. Der CRA gibt dafür keinen einheitlichen Zeitraum vor, der für jedes Produkt gilt. Die Dauer hängt vom Produkt und den erwarteten Nutzungsumständen ab; ein Hersteller sollte sie deshalb aus dem vorgesehenen Einsatz und der realistischen Nutzungsdauer ableiten und dokumentieren.
Das Support-Enddatum muss beim Kauf klar angegeben werden. Der Schwachstellenprozess sollte zugleich abdecken, wie Sicherheitsmeldungen entgegengenommen, untersucht, behoben und Nutzern mitgeteilt werden. Die Verantwortung erstreckt sich auch auf Schwachstellen in Komponenten. Die nicht bindende Kommissionsleitlinie vom 27. Juli 2026 behandelt Supportzeiträume und Schwachstellenprozesse ebenfalls.
The Tool Desk
Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Outbyte Driver Updater FREEScan for outdated or missing drivers - takes under a minuteDriver Scan →Benötigt das Produkt eine externe Konformitätsbewertung?
Das hängt von der Produktkategorie und dem dafür geltenden Verfahren ab. Nicht für jedes erfasste Produkt ist derselbe Nachweisweg vorgeschrieben. Eine frühe Klassifizierung ist wichtig, weil sie beeinflussen kann, ob interne Kontrolle möglich ist oder eine notifizierte Konformitätsbewertungsstelle beziehungsweise ein anwendbares europäisches Zertifizierungsschema einbezogen werden muss.
Best Value
| Produktgruppe | Orientierung zum Konformitätsweg |
|---|---|
| Erfasste Produkte ohne besondere Einstufung als wichtig oder kritisch | Das zutreffende Verfahren richtet sich nach den CRA-Anforderungen für das konkrete Produkt; eine pauschale Aussage für alle Fälle wäre nicht belastbar. |
| Wichtige Produkte, Klasse I | Selbstbewertung ist nur unter den in der Verordnung vorgesehenen Bedingungen möglich. |
| Wichtige Produkte, Klasse II | Grundsätzlich ist eine Drittbewertung oder ein anwendbares europäisches Zertifizierungsschema vorgesehen. |
| Kritische Produktkategorien | Grundsätzlich ist eine Drittbewertung oder ein anwendbares europäisches Zertifizierungsschema vorgesehen. |
Die Tabelle ersetzt keine Produktklassifizierung. Die Produktkategorie und die anwendbaren Konformitätsanforderungen sollten geprüft werden, bevor Teams einen Bewertungsweg einplanen oder Konformität erklären.
Was sollte ein Produktteam als Nächstes tun?
Der unmittelbare Schwerpunkt hängt vom Zeitplan ab: Die Meldepflichten gelten bereits, während die Hauptpflichten am 11. Dezember 2027 vollständig anwendbar werden. Ein sinnvoller Start ist, Verantwortliche und Abläufe für Artikel 14 festzulegen und parallel Produktbestand, Risiken, Supporttermine und Konformitätswege zu ordnen.
- Erstellt eine Liste möglicher CRA-Produkte samt Komponenten und notwendigen Remote-Diensten.
- Dokumentiert je Produkt die Anwendungsbereichs- und gegebenenfalls Ausnahmeprüfung.
- Verknüpft Risikobewertung und Sicherheitsmaßnahmen mit Entwicklungs-, Produktions- und Wartungsabläufen.
- Legt Supportzeitraum, veröffentlichtes Support-Enddatum und Schwachstellenprozess fest.
- Bestimmt Meldeverantwortliche und bereitet die fristgerechte Nutzung der Single Reporting Platform vor.
- Klärt Produktklasse, Konformitätsbewertungsverfahren und technische Dokumentation.
Normen und weitere Umsetzungsakte zum CRA befanden sich zum Stand der Kommissionsleitlinie von 2026 noch in Entwicklung. Für konkrete Konformitätsentscheidungen sollten Hersteller daher den geltenden Verordnungstext und die jeweils anwendbaren Umsetzungsanforderungen prüfen.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
