CRA · Themen-Hub

Der EU Cyber Resilience Act — alles Wichtige auf einer Seite.

Zehn Kernthemen der Verordnung (EU) 2024/2847 in kompakten Erklärungen — vom Anwendungsbereich bis zu Sanktionen. Jeder Punkt mit direkten Rechtsverweisen und, wo verfügbar, einem interaktiven Tool.

Topic 01
Scope Definitions Manufacturer

Anwendungsbereich & Produkt mit digitalen Elementen

Wer und was fällt unter den CRA — Hersteller, Importeur, Händler und die Definition des „Produkts mit digitalen Elementen“.

Der CRA gilt für jedes Produkt mit digitalen Elementen (Hardware oder Software), das auf dem EU-Markt bereitgestellt wird. Ein „Produkt mit digitalen Elementen“ ist gemäß Art. 3 Nr. 1 jedes Software- oder Hardware-Produkt und dessen Fernverarbeitungslösungen, dessen bestimmungsgemäße Verwendung eine Datenverbindung zu einem Gerät oder Netz voraussetzt. Rollen: Hersteller (primär verantwortlich), Bevollmächtigter (für Nicht-EU-Hersteller), Importeur, Händler.

Rechtsverweise: Art. 2 CRA · Art. 3(1)-(15) CRA
Topic 02
Classification Annex III Annex IV Notified Body

Klassifizierung — Default / Important I & II / Critical

Vier Produktkategorien mit unterschiedlich strenger Konformitätsbewertung. Von reinen Self-Assessment-Produkten bis zu EU-Zertifizierungs-pflichtigen kritischen Produkten.

Standard-Produkte (Art. 7, kein Anhang III/IV) — Module A Self-Assessment. Important Class I (Anhang III Klasse I, z. B. Passwort-Manager, Netzwerk-Management-Systeme, VPN, Firewalls) — Module A oder B+C. Important Class II (Anhang III Klasse II, z. B. Hypervisoren, IDS/IPS, Firewalls mit Traffic-Scanning) — Module B+C oder H mit Notified Body. Critical (Anhang IV, z. B. Hardware Security Modules, Smart Cards) — verpflichtende EU-Zertifizierung nach delegiertem Rechtsakt.

Rechtsverweise: Art. 7 CRA · Art. 8 CRA · Anhang III CRA · Anhang IV CRA
Topic 03
Essential requirements Annex I SBOM Vulnerability handling

Grundanforderungen — Anhang I Part I & II

Part I definiert 13 Sicherheitseigenschaften des Produkts. Part II definiert Prozessanforderungen für Vulnerability Handling.

Anhang I Part I (Produkt-Eigenschaften): Auslieferung ohne bekannte ausnutzbare Schwachstelle; sichere Standardkonfiguration; Sicherheits-Updates; Schutz gegen unautorisierten Zugriff; Vertraulichkeit / Integrität / Verfügbarkeit; Datenminimierung; Ausfalltoleranz; Angriffsflächenreduzierung; Ausnutzungsschutz; Sicherheits-Logging; Möglichkeit der sicheren Löschung. Anhang I Part II (Prozesse): Identifikation & Dokumentation von Schwachstellen; SBOM; unverzügliche Behebung; Sicherheits-Update-Verteilung; koordinierte Offenlegung; Kontaktpunkt für Meldungen.

Rechtsverweise: Anhang I Part I CRA · Anhang I Part II CRA
Reifegrad-Assessment starten
Topic 04
Conformity assessment Notified Body Module A Module H

Konformitätsbewertung — Module A, B+C, H

Drei Verfahren, abhängig von der Produktklasse. Der Hersteller muss vor CE-Kennzeichnung ein passendes Modul durchlaufen.

Module A (interne Fertigungskontrolle / Self-Assessment) — Hersteller erstellt technische Dokumentation und Konformitätserklärung. Anwendbar auf Standard-Produkte und Important Class I. Module B+C (EU-Baumusterprüfung + Konformität zum Baumuster) — Notified Body prüft die technische Bauart, Hersteller sichert Serienfertigung zu. Anwendbar auf Important I & II. Module H (umfassende Qualitätssicherung) — Notified Body zertifiziert das Qualitätsmanagementsystem des Herstellers. Anwendbar auf Important II und optional andere.

Rechtsverweise: Art. 32 CRA · Anhang VIII CRA
Topic 05
CE marking DoC Technical documentation

CE-Kennzeichnung & EU-Konformitätserklärung

Vor Bereitstellung auf dem EU-Markt sind CE-Kennzeichnung, EU-Konformitätserklärung und technische Dokumentation zu vervollständigen.

Die CE-Kennzeichnung (Art. 30) wird sichtbar, lesbar und dauerhaft am Produkt (oder auf der Verpackung / im Begleitdokument bei Software) angebracht. Die EU-Konformitätserklärung (Art. 28, Muster Anhang V) muss folgende Elemente enthalten: Herstelleridentität, Produktbezeichnung und -kennung, alle einschlägigen EU-Rechtsakte, verwendetes Konformitätsbewertungsverfahren, Referenz zur technischen Dokumentation (Anhang VII), Ort/Datum/Unterschrift. Technische Dokumentation wird 10 Jahre aufbewahrt und Marktüberwachungsbehörden auf Anfrage vorgelegt.

Rechtsverweise: Art. 28 CRA · Art. 30 CRA · Anhang V CRA · Anhang VII CRA
Topic 06
Reporting SRP ENISA Article 14

Meldepflichten — Art. 14 Schwachstellen & Vorfälle

Aktive ausgenutzte Schwachstellen und schwere Vorfälle sind über die ENISA SRP zu melden — 24 h / 72 h / 14 Tage / 1 Monat.

Hersteller melden aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die Single Reporting Platform an ENISA und den CSIRT-Koordinator. Fristen: Frühwarnung (24 h), 72-h-Meldung, Abschlussbericht (14 Tage nach Verfügbarkeit einer Korrektur bei Schwachstellen; 1 Monat bei Vorfällen). Der zuständige CSIRT ergibt sich aus der Hauptniederlassung (Art. 14(7)). SRP-Go-Live: 11. September 2026.

Rechtsverweise: Art. 14 CRA · Art. 15 CRA · Art. 16 CRA · Art. 17 CRA
Reporting-Playbook öffnen
Topic 07
SBOM CycloneDX SPDX Annex I Part II

SBOM — Software Bill of Materials

Anhang I Part II verpflichtet Hersteller, ihre eingebetteten Komponenten zu identifizieren und zu dokumentieren.

Ein SBOM listet alle Software-Komponenten und -Bibliotheken eines Produkts mit Version, Lieferant und Lizenz. Es ist Grundlage für Schwachstellen-Triage (Wenn CVE-X in Komponente Y auftaucht — welche unserer Produkte sind betroffen?) und für die Meldung nach Art. 14. Formate: CycloneDX 1.5 (empfohlen), SPDX 2.3. Wird als Teil der technischen Dokumentation aufbewahrt.

Rechtsverweise: Anhang I Part II (1) CRA
SBOM-Baukasten öffnen
Topic 08
Support period Substantial modification Lifecycle

Support-Period & Substantial Modification

Der CRA legt einen Mindest-Support-Zeitraum fest und definiert, wann eine Änderung ein Produkt zu einem neuen Produkt macht.

Support-Period (Art. 13(8)): mindestens die erwartete Nutzungsdauer des Produkts, jedoch nicht weniger als **5 Jahre** ab Inverkehrbringen (kürzere Frist möglich, wenn objektiv gerechtfertigt). In diesem Zeitraum liefert der Hersteller Sicherheits-Updates. Substantielle Modifikation (Art. 3(32)): jede Änderung, die die Cybersicherheit erheblich beeinflusst oder die bestimmungsgemäße Verwendung ändert — löst eine erneute Konformitätsbewertung aus. Software-Updates zur Schwachstellenbehebung sind ausdrücklich keine substantielle Modifikation.

Rechtsverweise: Art. 3(32) CRA · Art. 13(8) CRA
Topic 09
Open source Steward Article 24

Open-Source-Software-Stewards (Art. 24)

Rechtsperson-Stewards von Open-Source-Software haben leichtere, angepasste Pflichten — u. a. eine Cybersecurity-Policy und Meldeobligationen.

Ein „Open-Source-Software-Steward“ ist eine juristische Person, die die Entwicklung eines nicht-kommerziellen Open-Source-Software-Produkts systematisch und dauerhaft unterstützt. Verpflichtungen (Art. 24): eine dokumentierte Cybersecurity-Policy, die schwachstellenorientierte Zusammenarbeit mit Marktüberwachungsbehörden fördert, sowie die Meldepflichten aus Art. 14. Klassische Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation greifen nicht.

Rechtsverweise: Art. 3(14) CRA · Art. 24 CRA
Topic 10
Sanctions Market surveillance Enforcement

Marktüberwachung & Sanktionen

Verstöße gegen die Grundanforderungen werden mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet.

Marktüberwachungsbehörden (Art. 52) können Prüfungen anordnen, Korrekturen und Rückrufe verlangen und Bußgelder verhängen. Sanktionsrahmen (Art. 64): bis zu 15 Mio. € oder 2,5 % Jahresumsatz weltweit (je nachdem, was höher ist) für Verstöße gegen Grundanforderungen und Vulnerability-Handling-Pflichten; bis zu 10 Mio. € oder 2 % für Verletzung anderer CRA-Pflichten; bis zu 5 Mio. € oder 1 % für Falschinformationen. Bemessung nach Schwere, Dauer, Größe des Herstellers, Wiederholung.

Rechtsverweise: Art. 52 CRA · Art. 64 CRA

CRA-Glossar

Die wichtigsten Definitionen des Cyber Resilience Act — verlinkt und suchbar.

Produkt mit digitalen Elementen
Software- oder Hardware-Produkt (und dessen Fernverarbeitungslösungen), dessen bestimmungsgemäße Verwendung eine Datenverbindung zu einem Gerät oder Netz umfasst (Art. 3(1) CRA).
Aktiv ausgenutzte Schwachstelle
Schwachstelle, für die belastbare Hinweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Erlaubnis des Systeminhabers ausgenutzt hat (Art. 3(42) CRA).
Substantielle Modifikation
Änderung, die die Konformität mit den CRA-Grundanforderungen erheblich beeinflusst oder die bestimmungsgemäße Verwendung ändert. Reine Vulnerability-Fixes sind ausgeschlossen (Art. 3(32) CRA).
Wichtiges Produkt (Klasse I / II)
Produkt aus Anhang III mit erhöhtem Cybersecurity-Risiko (z. B. VPN, IDS/IPS, Passwort-Manager, Hypervisoren) — verschärfte Konformitätsbewertung.
Kritisches Produkt
Produkt aus Anhang IV mit höchster Cybersecurity-Sensitivität (z. B. HSM, Smart Cards) — verpflichtende EU-Zertifizierung nach delegiertem Rechtsakt.
Support-Period
Zeitraum, in dem der Hersteller Sicherheits-Updates bereitstellt — mindestens die erwartete Nutzungsdauer und nicht weniger als 5 Jahre (Art. 13(8) CRA).
Bevollmächtigter
Natürliche oder juristische Person in der EU, die vom Nicht-EU-Hersteller schriftlich beauftragt ist, in dessen Namen bestimmte CRA-Pflichten wahrzunehmen (Art. 3(15) CRA).
SBOM
Maschinenlesbare Liste aller in einem Produkt enthaltenen Software-Komponenten mit Version, Lieferant und Lizenz. Grundlage für Vulnerability-Triage (Anhang I Part II CRA).

CRA-Strategie ohne Umwege.

NexTech.Law strukturiert Ihre CRA-Konformität – aus rechtlicher, strategischer und operativer Perspektive.

Erstgespräch buchen

Allgemeine Orientierung, keine Rechtsberatung. Maßgeblich ist der amtliche Verordnungstext und die Leitlinien der Europäischen Kommission und der ENISA.