SicherDok
SicherDok
Weniger Bürokratie. Mehr Klarheit.
← CRA Themenbereich

Cyber Resilience Act

Cyber Resilience Act: Was kleine Unternehmen jetzt wissen müssen

Der CRA bringt EU-weite Cybersecurity-Anforderungen für viele Software- und Hardwareprodukte. Entscheidend ist zuerst nicht die Unternehmensgröße, sondern welches Produkt Sie anbieten und welche Rolle Sie dabei haben.

Rechtsstand: 08.09.2026Regelwerk: Verordnung (EU) 2024/2847Geltungsbereich: EU

Kurzantwort

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847. Er betrifft Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Für Unternehmen ist zuerst zu klären, ob das eigene Produkt betroffen ist und ob man als Hersteller, Importeur oder Händler handelt.

Das Wichtigste

In zwei Minuten verstanden

01

Der CRA betrifft grundsätzlich bestimmte Software- und Hardwareprodukte mit digitalen Elementen.

02

Hersteller, Importeure und Händler haben unterschiedliche Pflichten.

03

Die Meldepflichten nach Artikel 14 gelten ab 11. September 2026.

04

Die wesentlichen übrigen Anforderungen gelten grundsätzlich ab 11. Dezember 2027.

05

Auch kleine Unternehmen sollten Rollen, Produkte und Zuständigkeiten bereits jetzt dokumentieren.

01

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act schafft EU-weit horizontale Cybersecurity-Anforderungen für Produkte mit digitalen Elementen.

Ziel ist unter anderem, dass Cybersecurity stärker über den Lebenszyklus eines Produkts berücksichtigt wird und Schwachstellen nach dem Inverkehrbringen nicht einfach unbeachtet bleiben.

02

Was ist ein Produkt mit digitalen Elementen?

Der CRA definiert den Begriff grundsätzlich als Software- oder Hardwareprodukt einschließlich bestimmter Lösungen zur entfernten Datenverarbeitung sowie separat in Verkehr gebrachter Software- oder Hardwarekomponenten.

Typische Beispiele können – abhängig vom konkreten Produkt – sein:

  • Softwareprogramme
  • Apps
  • vernetzte Geräte
  • Router und Netzwerkprodukte
  • digitale Steuerungen
  • IoT-Produkte
  • bestimmte Softwarekomponenten
Nicht aus einer Produktbezeichnung allein ableiten, dass der CRA gilt oder nicht gilt. Die konkrete Einordnung kann zusätzliche Prüfung erfordern.
03

Welche Rolle hat mein Unternehmen?

Für kleine Unternehmen ist die Rollenbestimmung einer der wichtigsten ersten Schritte.

  • Hersteller: Sie entwickeln, fertigen oder lassen ein Produkt entwickeln und vermarkten es unter Ihrem Namen oder Ihrer Marke.
  • Importeur: Sie bringen ein Produkt eines außerhalb der EU ansässigen Herstellers auf den EU-Markt.
  • Händler: Sie stellen ein Produkt in der Lieferkette auf dem EU-Markt bereit, ohne Hersteller oder Importeur zu sein.
Zur Rollenübersicht →
04

Was ändert sich am 11. September 2026?

Ab dem 11.09.2026 gelten die Meldepflichten des Artikels 14.

Für Hersteller betrifft das insbesondere aktiv ausgenutzte Schwachstellen sowie schwere Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen betreffen.

Der CRA beginnt also nicht erst Ende 2027. Ein wichtiger Teil der Regelung wird bereits im September 2026 praktisch relevant.
Meldefristen verständlich erklärt →
05

Was passiert am 11. Dezember 2027?

Ab dem 11.12.2027 gilt der CRA grundsätzlich umfassend.

Dann werden unter anderem Anforderungen an Produktsicherheit, Schwachstellenmanagement, Konformität, technische Dokumentation und Informationen für Nutzer praktisch besonders relevant.

Vorbereitung bis Dezember 2027 →
06

Was sollte ein kleiner Betrieb jetzt tun?

  1. Produkte mit digitalen Elementen erfassen.
  2. Eigene Marktrolle bestimmen.
  3. Verantwortliche Person festlegen.
  4. Hersteller- und Lieferantendaten zusammentragen.
  5. Schwachstellen- und Vorfallprozess prüfen.
  6. Dokumentationslücken erfassen.
  7. Vorbereitung für 2027 in einen Maßnahmenplan überführen.
Für kleine Unternehmen ist ein einfaches Rollen- und Produktregister häufig ein wesentlich besserer Start als ein hundertseitiges CRA-Handbuch.

Quellen

Rechtsgrundlagen und offizielle Informationen

SicherDok verwendet für regulatorische Aussagen vorrangig offizielle EU-Quellen.

Verordnung (EU) 2024/2847 – Cyber Resilience Act ↗EUR-Lex Zusammenfassung – Cyber Resilience Act ↗

Dieser Ratgeber dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung oder verbindliche Einzelfallprüfung. Ob und in welcher Rolle der Cyber Resilience Act auf ein konkretes Produkt oder Unternehmen anwendbar ist, kann von den tatsächlichen Umständen abhängen.

SicherDok CRA

Aus einer EU-Verordnung soll eine konkrete Arbeitsliste werden.

SicherDok entwickelt derzeit eine CRA-Dokumentationshilfe für kleine Hersteller, Importeure und Händler.

CRA Themenbereich öffnen