Die Fristen des Cyber Resilience Act

Der Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, gilt in drei Stufen. Seit dem 11. Juni 2026 gelten die Regeln für Prüfstellen, seit dem 11. September 2026 die Meldepflicht, und ab dem 11. Dezember 2027 gilt alles andere. Die Meldepflicht läuft also schon, für neue und alte Produkte.

Die Termine stehen in Artikel 71 Absatz 2 der Verordnung (EU) 2024/2847. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat, auch in Deutschland.

Die drei Termine

Datum	Was gilt	Wo im CRA
11. Juni 2026	Regeln für Konformitätsbewertungsstellen, also die Prüfstellen, die bestimmte Produkte bewerten	Kapitel IV, Artikel 35 bis 51
11. September 2026	Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle	Artikel 14
11. Dezember 2027	Alle übrigen Pflichten: Anforderungen aus Anhang I, Dokumentation, Konformitätserklärung, CE-Kennzeichnung	Artikel 71 Absatz 2

11. Juni 2026: die Prüfstellen

Dieser Termin betrifft Sie nur indirekt. Ab hier können die Mitgliedstaaten Stellen notifizieren, die Produkte nach dem CRA prüfen dürfen. Im Deutschen sagt man oft „benannte Stelle“, im Verordnungstext steht „notifizierte Stelle“.

Wichtig wird das, wenn Ihr Produkt in Anhang III oder IV steht, zum Beispiel ein Router oder eine Sicherheitskamera. Dann brauchen Sie unter Umständen so eine Stelle für die Konformitätsbewertung. Wer eine braucht, sollte früh fragen, denn eine Prüfung durch Dritte braucht Vorlauf.

11. September 2026: die Meldepflicht

Seit diesem Tag gilt Artikel 14. Erfahren Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt, schicken Sie innerhalb von 24 Stunden eine Frühwarnung, innerhalb von 72 Stunden eine Meldung und später einen Abschlussbericht. Gemeldet wird über die einheitliche Meldeplattform der ENISA, der EU-Agentur für Cybersicherheit. Für schwerwiegende Sicherheitsvorfälle gelten dieselben 24 und 72 Stunden.

Der Punkt, den viele übersehen: Die Meldepflicht gilt auch für Produkte, die Sie vor dem 11. Dezember 2027 verkauft haben (Artikel 69 Absatz 3). Das Thermostat, das seit 2022 bei Kunden hängt, ist also schon heute meldepflichtig, wenn jemand eine Lücke darin aktiv ausnutzt.

Die einzelnen Schritte erklärt der Ratgeber zur Meldepflicht.

11. Dezember 2027: alles andere

Ab diesem Tag darf ein neues Produkt mit digitalen Elementen nur noch auf den EU-Markt, wenn es die Anforderungen aus Anhang I erfüllt und die Unterlagen stehen: technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung.

Was ist mit Geräten, die vorher schon auf dem Markt waren? Artikel 69 Absatz 2 sagt: Sie fallen erst unter die übrigen Anforderungen, wenn sie ab diesem Datum wesentlich verändert werden. Für die Meldepflicht gilt diese Ausnahme nicht (siehe oben).

Ob ein Firmware-Update eine wesentliche Änderung ist, hängt vom Einzelfall ab. Das prüfen Sie am besten bei jedem größeren Release neu, statt sich auf eine Faustregel zu verlassen.

Was Sie bis wann erledigen sollten

Diese Reihenfolge ist ein Vorschlag, keine Vorgabe aus dem Gesetz. Sie folgt aus den Terminen.

Bis wann	Was	Warum
Jetzt	Zuständigkeit für Meldungen klären, Kontaktadresse für Schwachstellen einrichten	Die Meldepflicht gilt schon
Jetzt	Wissen, welche Bauteile in Ihren Geräten stecken (SBOM)	Ohne Liste merken Sie nicht, dass eine Lücke Sie betrifft
Anfang 2027	Produktklasse prüfen, bei Bedarf eine benannte Stelle anfragen	Eine Prüfung durch Dritte braucht Vorlauf
Mitte 2027	Risikobewertung und technische Dokumentation schreiben	Das dauert länger, als man denkt
Vor dem 11. Dezember 2027	Konformitätsbewertung abschließen, Erklärung unterschreiben, CE-Kennzeichnung	Ohne das kein Verkauf neuer Produkte

Was sich noch bewegen kann

Die Termine selbst stehen im Gesetz. Andere Dinge sind noch offen. Bis heute ist keine harmonisierte Norm zum CRA im Amtsblatt veröffentlicht; die Normenreihe EN 40000 ist im Entwurf. Ein Durchführungsrechtsakt zum SBOM-Format fehlt ebenfalls, obwohl Artikel 13 Absatz 24 ihn erlaubt.

Die EU-Kommission hat außerdem einen „Digital Omnibus“ vorgeschlagen, der eine gemeinsame Meldestelle für mehrere EU-Gesetze schaffen soll, aufbauend auf der Meldeplattform der ENISA. Der Vorschlag ist nicht beschlossen und verschiebt keine CRA-Frist. Planen Sie mit den Daten in der Tabelle oben.

Den aktuellen Stand veröffentlicht die EU-Kommission.

Was Proofsheet hier erstellt

Für die Meldepflicht müssen Sie zuerst wissen, was in Ihrer Firmware steckt. Proofsheet ist eine Web-App: Sie laden eine Datei hoch, und in wenigen Minuten listet die App Bestandteile und Versionen auf, gleicht exakte Versionen mit der NVD ab und markiert Lücken, die auf der CISA-Liste aktiv ausgenutzter Schwachstellen stehen. Die Stückliste erzeugt sie als CycloneDX 1.5 und SPDX 2.3.

Watchdog ist ein Software-Abo. Es scannt künftig jede neue Version erneut und schickt eine E-Mail, wenn ein Bauteil aktiv ausgenutzt wird. Dazu erstellt das 24-Stunden-Kit vorausgefüllte Entwürfe für Frühwarnung, 72-Stunden-Meldung, Abschlussbericht und Nutzerinformation. Absenden müssen Sie selbst, auf der Plattform der ENISA. Die App reicht nichts für Sie ein. Watchdog kostet 79 € pro Monat und startet bald. Alles dazu auf der Seite Watchdog.

Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Weiter geht es mit den Pflichten für Hersteller.