Der Cyber Resilience Act, verständlich erklärt
Der Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, legt Sicherheitsregeln für Produkte mit Software fest, die in der EU verkauft werden. Diese Ratgeber beantworten die Fragen, die kleine Gerätehersteller am häufigsten stellen, jeweils mit dem Artikel, auf dem die Antwort beruht.
11. September 2026
Die Meldepflichten gelten (Artikel 14), auch für Produkte, die schon auf dem Markt sind.
11. Dezember 2027
Alle übrigen Pflichten gelten (Artikel 71 Absatz 2).
Unsicher, in welche Klasse Ihr Produkt fällt?
Zum kostenlosen Produktklassen-CheckRatgeber
Pflichten für Hersteller nach dem Cyber Resilience Act
Was Sie als Hersteller vor dem Verkauf erledigen müssen und was danach jahrelang weiterläuft, mit den genauen Artikeln.
Die Fristen des Cyber Resilience Act
Drei Termine, ein Ablauf: was seit 2026 schon gilt, was im Dezember 2027 dazukommt und was das für Ihre Geräte im Lager bedeutet.
Die Meldepflicht nach dem Cyber Resilience Act
Seit September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle. Hier sind die Fristen, die Inhalte und der Weg der Meldung.
Die SBOM: Stückliste für Ihre Software
Der CRA schreibt eine maschinenlesbare Stückliste vor. Hier steht, was hinein muss, was nicht, und wer sie sehen darf.
Der Supportzeitraum nach dem Cyber Resilience Act
Wie lange Sie Sicherheitsupdates liefern müssen, wie Sie die Dauer begründen und wo Kunden das Enddatum sehen.
Die technische Dokumentation nach dem Cyber Resilience Act
Die acht Punkte aus Anhang VII, was davon ein Werkzeug liefern kann und was nur Ihr Team schreiben kann.
Die EU-Konformitätserklärung nach dem Cyber Resilience Act
Was in der Erklärung stehen muss, wann Sie sie unterschreiben dürfen und wie sie mit der CE-Kennzeichnung zusammenhängt.
Produktklassen im Cyber Resilience Act
Die meisten Geräte sind Standardprodukte. Für einige Kategorien gelten strengere Wege zur Konformität. So finden Sie heraus, wo Ihr Produkt wahrscheinlich steht.
Bußgelder nach dem Cyber Resilience Act
Drei Obergrenzen, eine Rechenregel und zwei Ausnahmen. Was ein Verstoß kosten kann und was bei der Höhe zählt.
Der Cyber Resilience Act für kleine und mittlere Unternehmen
Kein Bußgeld bei einer verpassten Frist, eine vereinfachte Dokumentation, niedrigere Prüfgebühren. Die Anforderungen an Ihr Produkt bleiben aber dieselben.
BSI TR-03183: die Richtlinie des BSI zum Cyber Resilience Act
Die Technische Richtlinie des BSI ist freiwillig, aber eine nützliche Messlatte. Was in den vier Teilen steht und was Teil 2 von einer SBOM verlangt.
Fakten geprüft anhand der Verordnung (EU) 2024/2847 auf EUR-Lex.