CRA: Welche Pflichten hat ein Hersteller?

Hersteller tragen im CRA eine zentrale Verantwortung. Für kleine Unternehmen bedeutet das vor allem: Produkt, Cybersecurity, Schwachstellenmanagement und Dokumentation müssen zusammen gedacht werden.

Rechtsstand: 08.09.2026Regelwerk: Verordnung (EU) 2024/2847Geltungsbereich: EU

Kurzantwort

Als Hersteller gelten Sie nach dem CRA grundsätzlich, wenn Sie ein Produkt mit digitalen Elementen entwickeln oder herstellen – oder entwickeln beziehungsweise herstellen lassen – und es unter Ihrem Namen oder Ihrer Marke vermarkten.

Das Wichtigste

In zwei Minuten verstanden

Hersteller müssen die einschlägigen Cybersecurity-Anforderungen an das Produkt berücksichtigen.

Eine Cybersecurity-Risikobewertung und technische Dokumentation gehören zu den zentralen Aufgaben.

Schwachstellen müssen während des Unterstützungszeitraums wirksam behandelt werden.

Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist.

Artikel-14-Meldepflichten gelten bereits ab 11. September 2026.

Wann bin ich Hersteller?

Der Herstellerbegriff hängt nicht davon ab, ob Sie eine große Fabrik besitzen.

Auch ein kleines Unternehmen kann Hersteller sein, wenn es ein digitales Produkt entwickelt oder entwickeln lässt und dieses unter eigenem Namen oder eigener Marke vermarktet.

Ein Produkt nur von einem externen Entwickler programmieren zu lassen bedeutet deshalb nicht automatisch, dass die Herstellerverantwortung beim Entwickler liegt.

Cybersecurity muss Teil des Produkts werden

Der CRA stellt wesentliche Cybersecurity-Anforderungen an Produkte mit digitalen Elementen und an die Prozesse der Hersteller.

Praktisch bedeutet das unter anderem, dass Sicherheitsrisiken nicht erst nach einem Vorfall betrachtet werden sollten.

Cybersecurity-Risikobewertung dokumentieren

Für Hersteller wird eine nachvollziehbare Bewertung der Cybersecurity-Risiken des Produkts wichtig.

Eine praktische Dokumentationsstruktur kann beispielsweise erfassen:

Produkt und Version
vorgesehene Nutzung
relevante Bedrohungen
erkannte Schwachstellen oder Angriffsmöglichkeiten
festgelegte Schutzmaßnahmen
offene Restrisiken
Änderungen und neue Erkenntnisse

Schwachstellen nach dem Verkauf weiter behandeln

Hersteller müssen Schwachstellen ihrer Produkte während des Unterstützungszeitraums wirksam behandeln.

Dazu gehören geeignete Strategien und Verfahren zur Bearbeitung gemeldeter Schwachstellen.

Wie lange muss der Hersteller unterstützen?

Der Unterstützungszeitraum soll sich an der erwarteten Nutzungsdauer des Produkts orientieren.

Grundsätzlich beträgt er mindestens fünf Jahre. Wird erwartet, dass das Produkt weniger als fünf Jahre genutzt wird, kann der Unterstützungszeitraum entsprechend kürzer sein.

Die Überlegungen zur Bestimmung des Unterstützungszeitraums sollten nicht nur im Kopf bleiben, sondern in der technischen Dokumentation nachvollziehbar sein.

Hersteller: erste CRA-Arbeitsliste

Betroffene Produkte identifizieren.
Herstellerrolle dokumentieren.
Produktverantwortlichen benennen.
Cybersecurity-Risikobewertung strukturieren.
Schwachstellenprozess definieren.
Meldeprozess für Artikel 14 vorbereiten.
Unterstützungszeitraum festlegen und dokumentieren.
Technische Dokumentation aufbauen.
Konformitätsprozess bis 2027 vorbereiten.

Quellen

Rechtsgrundlagen und offizielle Informationen

SicherDok verwendet für regulatorische Aussagen vorrangig offizielle EU-Quellen.

CRA – Artikel 13 Herstellerpflichten ↗CRA – Artikel 14 Meldepflichten ↗

Dieser Ratgeber dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung oder verbindliche Einzelfallprüfung. Ob und in welcher Rolle der Cyber Resilience Act auf ein konkretes Produkt oder Unternehmen anwendbar ist, kann von den tatsächlichen Umständen abhängen.

SicherDok CRA

Aus einer EU-Verordnung soll eine konkrete Arbeitsliste werden.

SicherDok entwickelt derzeit eine CRA-Dokumentationshilfe für kleine Hersteller, Importeure und Händler.

CRA Themenbereich öffnen