Der Cyber Resilience Act für kleine und mittlere Unternehmen

Der Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, gilt für kleine Hersteller genauso wie für große. Ihr Produkt muss dieselben 22 Anforderungen aus Anhang I erfüllen, und Sie haben dieselben Melde- und Supportpflichten. Erleichterungen gibt es nur bei der Form: eine vereinfachte technische Dokumentation, kein Bußgeld für eine verspätete 24-Stunden-Frühwarnung, niedrigere Gebühren bei Prüfstellen und Unterstützungsangebote der Mitgliedstaaten.

Diese Seite ist für Teams mit fünf bis fünfzig Leuten, in denen oft dieselbe Person entwickelt, den Server betreut und jetzt auch noch den CRA verantwortet.

Wer als klein gilt

Der CRA verweist für die Größenklassen auf die Empfehlung 2003/361/EG der Kommission (Erwägungsgrund 5 der Verordnung (EU) 2024/2847). Dort gelten diese Schwellen (Empfehlung auf EUR-Lex):

Größe	Beschäftigte	Jahresumsatz oder Bilanzsumme
Kleinstunternehmen	weniger als 10	höchstens 2 Mio. €
Kleines Unternehmen	weniger als 50	höchstens 10 Mio. €
Mittleres Unternehmen	weniger als 250	Umsatz höchstens 50 Mio. € oder Bilanzsumme höchstens 43 Mio. €

Partner- und verbundene Unternehmen zählen mit. Gehört Ihr Zehn-Personen-Team zu einer größeren Gruppe, sind Sie für den CRA womöglich nicht klein.

Wichtig: Einige Erleichterungen gelten nur für Kleinst- und kleine Unternehmen, nicht für mittlere. Das steht jeweils dabei.

Was leichter wird

Vereinfachte technische Dokumentation. Kleinst- und kleine Unternehmen dürfen die Inhalte aus Anhang VII in einem vereinfachten Format liefern (Artikel 33 Absatz 5). Die Kommission legt das Formular per Durchführungsrechtsakt fest, und benannte Stellen müssen es akzeptieren. Die Inhalte bleiben gleich: Beschreibung, Risikobewertung, SBOM, Testberichte. Nur die Form wird schlanker.

Kein Bußgeld für eine verspätete Frühwarnung. Kleinst- und kleine Unternehmen bekommen kein Bußgeld, wenn sie die 24-Stunden-Frist für die Frühwarnung nach Artikel 14 verpassen (Artikel 64 Absatz 10 Buchstabe a). Die Frühwarnung bleibt Pflicht. Für die 72-Stunden-Meldung, den Abschlussbericht und die Information der Nutzer gilt keine Ausnahme.

Größe zählt beim Bußgeld. Bei jedem Bußgeld berücksichtigt die Behörde die Größe des Unternehmens, ausdrücklich auch bei KMU und Start-ups (Artikel 64 Absatz 5 Buchstabe c). Die Obergrenzen bleiben aber dieselben, siehe Bußgelder.

Niedrigere Gebühren bei Prüfstellen. Brauchen Sie eine benannte Stelle (im Verordnungstext: notifizierte Stelle), sollen deren Gebühren die Bedürfnisse von KMU berücksichtigen und verhältnismäßig gesenkt werden (Artikel 32 Absatz 6).

Unterstützung durch Staat und Kommission. Artikel 33 Absatz 1 verpflichtet die Mitgliedstaaten, wo angemessen, zu Schulungen, einem eigenen Kommunikationskanal für Kleinst- und kleine Unternehmen und Unterstützung bei Tests und Konformitätsbewertung. Die Kommission veröffentlicht Leitlinien für KMU (Artikel 33 Absatz 3) und weist auf Fördermittel aus EU-Programmen hin (Artikel 33 Absatz 4). In Deutschland lohnt der Blick auf die Hilfsmittel für Hersteller beim BSI.

Was gleich bleibt

Hier gibt es keine Rabatte:

• die 22 Anforderungen aus Anhang I, auch „keine bekannten ausnutzbaren Schwachstellen“ beim Inverkehrbringen;
• die Stückliste (SBOM) nach Anhang I Teil II Nr. 1;
• der Supportzeitraum von mindestens fünf Jahren (Artikel 13 Absatz 8);
• die Meldepflicht seit dem 11. September 2026, mit Meldung nach 72 Stunden und Abschlussbericht;
• die EU-Konformitätserklärung und die CE-Kennzeichnung;
• die Produktklasse: Ein smartes Türschloss von einem Drei-Personen-Start-up ist genauso ein Produkt der Klasse I wie eines von einem Konzern.

Wie ein kleines Team anfangen kann

Eine Reihenfolge, die zu wenig Zeit und knappem Budget passt. Sie ist ein Vorschlag, keine Vorgabe aus dem Gesetz.

1. Wissen, was drinsteckt. Erstellen Sie für jede ausgelieferte Firmware-Version eine Stückliste. Ohne sie können Sie weder melden noch bewerten.
2. Eine Adresse für Schwachstellen. Richten Sie eine Adresse wie security@ihre-firma.de ein, nennen Sie sie auf der Website und in der Anleitung, und legen Sie fest, wer sie liest.
3. Meldungen vorbereiten. Eine Person mit Vertretung, Textbausteine für die Frühwarnung, ein Zugang zur Meldeplattform der ENISA.
4. Produktklasse prüfen. Danach wissen Sie, ob Sie selbst bewerten dürfen oder eine benannte Stelle brauchen.
5. Supportzeitraum festlegen und das Enddatum auf die Produktseite schreiben.
6. Dokumentation schreiben. Risikobewertung zuerst, dann die übrigen Punkte aus Anhang VII.

Die ersten drei Schritte betreffen Pflichten, die schon heute gelten. Die letzten drei brauchen Sie bis zum 11. Dezember 2027.

Was Proofsheet hier erstellt

Proofsheet ist eine Web-App für genau diese Teams: ohne Sicherheitsabteilung, ohne Termin. Sie laden eine Datei hoch, die App erstellt den Bericht in wenigen Minuten, Sie zahlen per Karte und laden das Ergebnis herunter. Kein Mensch sieht sich Ihre Datei an.

Angebot	Preis	Was die App erstellt
Free peek	0 €	Ein einseitiger Bericht mit den drei größten Risiken
The Label	99 €	Vollständige Stückliste und Risikobericht für eine Version
The Paperwork	249 €	Label plus Dokumentenpaket: Index für Anhang VII, Supportzeitraum, Anleitung zu Artikel 14, Checkliste zur Konformitätserklärung, Richtlinien-Vorlagen
Watchdog	79 € pro Monat, startet bald	Software-Abo: neuer Scan jeder Version, Warnungen per E-Mail, 24-Stunden-Kit

Ihre Datei wird innerhalb von 24 Stunden gelöscht. Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Alle Details unter Preise. Weiter lesen: Pflichten für Hersteller und Fristen.