CRA 2027: Was kleine Unternehmen jetzt vorbereiten sollten

Dezember 2027 klingt weit entfernt. Für Unternehmen mit eigenen Produkten, langen Lieferketten oder wenig dokumentierten Cybersecurity-Prozessen ist die verbleibende Zeit aber wertvoll.

Rechtsstand: 08.09.2026Regelwerk: Verordnung (EU) 2024/2847Geltungsbereich: EU

Kurzantwort

Unternehmen sollten nicht mit einem riesigen CRA-Handbuch beginnen. Sinnvoller ist eine strukturierte Bestandsaufnahme: Produkte, Rollen, Verantwortliche, Schwachstellenprozesse, Lieferanten, technische Unterlagen und offene Maßnahmen.

Das Wichtigste

In zwei Minuten verstanden

Der CRA gilt grundsätzlich umfassend ab 11. Dezember 2027.

Die Vorbereitung sollte produkt- und rollenbezogen erfolgen.

Hersteller benötigen besonders umfangreiche technische und organisatorische Vorbereitungen.

Importeure und Händler benötigen belastbare Prüf- und Lieferkettenprozesse.

Eine nachvollziehbare Maßnahmenliste ist für kleine Unternehmen oft der beste Ausgangspunkt.

1. Produktinventar erstellen

Erfassen Sie zunächst alle Produkte, die möglicherweise digitale Elemente enthalten.

Mindestens sinnvoll sind:

Produktname
Version oder Modell
Hersteller
Lieferant
eigene Rolle
Markt
Status der CRA-Prüfung

2. Rolle je Produkt festlegen

Ein Unternehmen kann bei verschiedenen Produkten verschiedene Rollen haben.

Sie können beispielsweise ein Produkt selbst herstellen, ein anderes aus einem Drittstaat importieren und ein drittes lediglich weiterverkaufen.

3. Zuständigkeit festlegen

Auch in einem Drei-Personen-Betrieb sollte klar sein, wer sich um CRA-Themen kümmert.

Es braucht dafür keine neue Vollzeitstelle. Aber die Verantwortlichkeit darf nicht zwischen Geschäftsführung, Entwickler und Lieferant verschwinden.

4. Schwachstellenprozess aufbauen

Hersteller müssen Schwachstellen ihrer Produkte über den vorgesehenen Unterstützungszeitraum wirksam bearbeiten.

Deshalb sollte geklärt sein, wie externe und interne Schwachstellenmeldungen eingehen, bewertet, priorisiert, behoben und dokumentiert werden.

5. Lieferanten und Komponenten erfassen

Cybersecurity endet nicht an der eigenen Bürotür.

Gerade Hersteller und Importeure sollten nachvollziehen können, welche wichtigen Komponenten, Softwarebestandteile und Lieferanten in einem Produkt eine Rolle spielen.

6. Aus Lücken einen Maßnahmenplan machen

Jede erkannte Lücke sollte mindestens vier Informationen bekommen:

Was fehlt?
Wer ist verantwortlich?
Bis wann soll es geklärt sein?
Wie wird die Erledigung nachgewiesen?

Genau diese Art von Umsetzungsdokumentation ist der Schwerpunkt des geplanten SicherDok CRA-Produkts.

Quellen

Rechtsgrundlagen und offizielle Informationen

SicherDok verwendet für regulatorische Aussagen vorrangig offizielle EU-Quellen.

Verordnung (EU) 2024/2847 ↗EUR-Lex CRA Zusammenfassung ↗

Dieser Ratgeber dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung oder verbindliche Einzelfallprüfung. Ob und in welcher Rolle der Cyber Resilience Act auf ein konkretes Produkt oder Unternehmen anwendbar ist, kann von den tatsächlichen Umständen abhängen.

SicherDok CRA

Aus einer EU-Verordnung soll eine konkrete Arbeitsliste werden.

SicherDok entwickelt derzeit eine CRA-Dokumentationshilfe für kleine Hersteller, Importeure und Händler.

CRA Themenbereich öffnen