Die EU-Konformitätserklärung nach dem Cyber Resilience Act
Stand: 1. November 2026 · Dieser Ratgeber erklärt das Gesetz in einfachen Worten. Er ist keine Rechtsberatung.
Mit der EU-Konformitätserklärung erklären Sie als Hersteller, dass Ihr Produkt die grundlegenden Cybersicherheitsanforderungen aus Anhang I des Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, erfüllt. Sie unterschreiben sie selbst und übernehmen damit die Verantwortung. Erst danach darf die CE-Kennzeichnung aufs Produkt.
Die Regeln stehen in Artikel 28 und Anhang V der Verordnung (EU) 2024/2847. Für neue Produkte gelten sie ab dem 11. Dezember 2027.
Die Reihenfolge
Die Erklärung steht am Ende, nicht am Anfang. Artikel 13 Absatz 12 gibt die Reihenfolge vor:
- Sie erstellen die technische Dokumentation (Artikel 31).
- Sie führen die Konformitätsbewertung durch oder lassen sie durchführen (Artikel 32).
- Ist damit nachgewiesen, dass Produkt und Prozesse Anhang I erfüllen, stellen Sie die EU-Konformitätserklärung aus.
- Sie bringen die CE-Kennzeichnung an (Artikel 30).
Welche Konformitätsbewertung für Sie gilt, hängt von der Produktklasse ab. Bei Standardprodukten bewerten Sie selbst (interne Kontrolle, Modul A). Bei wichtigen Produkten der Klasse I geht das nur, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder eine Zertifizierung vollständig anwenden; sonst braucht es eine benannte Stelle (im Verordnungstext: notifizierte Stelle). Klasse II und kritische Produkte kommen nie ohne Dritte aus. Mehr im Ratgeber zu den Produktklassen.
Was in der Erklärung stehen muss
Anhang V listet die Pflichtangaben:
| Nr. | Angabe |
|---|---|
| 1 | Name und Typ des Produkts, dazu alles, was es eindeutig identifiziert |
| 2 | Name und Anschrift des Herstellers oder seines Bevollmächtigten |
| 3 | Die Erklärung, dass der Hersteller die alleinige Verantwortung für die Ausstellung trägt |
| 4 | Gegenstand der Erklärung, so beschrieben, dass er rückverfolgbar ist, wo sinnvoll mit Foto |
| 5 | Die Erklärung, dass der Gegenstand den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht |
| 6 | Verweise auf angewandte harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungen |
| 7 | Wo zutreffend: Name und Nummer der benannten Stelle, das durchgeführte Verfahren und die Kennung der Bescheinigung |
| 8 | Zusatzangaben, Ort und Datum, Name und Funktion der unterzeichnenden Person, Unterschrift |
Ein Punkt, der kleine Teams oft überrascht: Fällt Ihr Produkt unter mehrere EU-Gesetze, die eine Konformitätserklärung verlangen, schreiben Sie eine einzige Erklärung für alle (Artikel 28 Absatz 3). Darin nennen Sie jedes Gesetz mit Fundstelle im Amtsblatt. Ein Funkgerät hat dann zum Beispiel eine Erklärung, die den CRA und die anderen einschlägigen Gesetze aufführt.
Sprache und Aktualisierung
Die Erklärung muss in den Sprachen vorliegen, die der Mitgliedstaat verlangt, in dem Sie das Produkt verkaufen (Artikel 28 Absatz 2). Wer in Deutschland, Österreich und Frankreich verkauft, braucht also mehrere Sprachfassungen. Sie aktualisieren die Erklärung, wenn nötig, zum Beispiel wenn sich eine angewandte Norm ändert.
Die Erklärung bewahren Sie zusammen mit der technischen Dokumentation mindestens 10 Jahre nach dem Inverkehrbringen oder für den Supportzeitraum auf, der längere Wert gilt (Artikel 13 Absatz 13). Eine Kopie gehört außerdem in die technische Dokumentation (Anhang VII Nr. 7).
Die vereinfachte Erklärung
Sie müssen dem Produkt nicht die ganze Erklärung beilegen. Artikel 13 Absatz 20 erlaubt eine vereinfachte Fassung nach Anhang VI. Das ist ein einziger Satz, in dem Sie erklären, dass der Produkttyp der Verordnung (EU) 2024/2847 entspricht, dazu die genaue Internetadresse, unter der die vollständige Erklärung abrufbar ist.
Für die Beilage im Karton oder die Fußzeile der Bedienungsanleitung ist das der übliche Weg. Die vollständige Erklärung muss dann unter der Adresse auch wirklich erreichbar sein.
CE-Kennzeichnung
Die CE-Kennzeichnung kommt erst nach der Erklärung (Artikel 30). Sie muss sichtbar, lesbar und dauerhaft auf dem Produkt angebracht sein; wo das nicht geht, auf der Verpackung und der Erklärung. Bei reiner Software sitzt sie auf der Erklärung oder auf der Website zum Produkt, und dieser Bereich muss für Verbraucher leicht und direkt erreichbar sein.
War eine benannte Stelle nach Modul H beteiligt, also mit umfassender Qualitätssicherung, folgt auf das CE-Zeichen ihre Kennnummer.
Was die Unterschrift bedeutet
Artikel 28 Absatz 4 ist deutlich: Mit der Erklärung übernehmen Sie die Verantwortung dafür, dass das Produkt die Verordnung erfüllt. Wer unterschreibt, sollte die technische Dokumentation kennen und hinter jeder Aussage stehen können. Fehlt in der Akte eine Begründung, hilft die beste Erklärung nichts.
Unterschreiben kann das niemand außer Ihnen. Ein Berater kann helfen, ein Werkzeug kann Belege liefern. Die Erklärung bleibt Ihre.
Was Proofsheet hier erstellt
Keine Software kann die Erklärung unterschreiben, Ihr Bewertungsverfahren wählen oder die CE-Kennzeichnung anbringen. Das können nur Sie. Die Web-App Proofsheet erstellt aber das Paket „The Paperwork“ (249 €). Es enthält eine Checkliste für die Konformitätserklärung entlang der Angaben aus Anhang V, einen Index für die technische Dokumentation nach Anhang VII mit allem, was Sie noch ergänzen müssen, und die Zuordnung Ihrer Firmware zu den 22 Punkten aus Anhang I, jeweils belegt, teilweise oder offen.
Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Was die Pakete enthalten, steht unter Preise. Weiter lesen: technische Dokumentation und Produktklassen.