Die CRA-Pflichten im Überblick

Betroffenheit: Produkte mit digitalen Elementen

Der CRA gilt für nahezu jedes Produkt mit digitalen Elementen, das in der EU auf den Markt kommt. Der erste Schritt ist die Feststellung, ob und wie Sie betroffen sind.

Produktklassen: Standard, wichtig und kritisch

Der CRA teilt Produkte in drei Risikoklassen ein. Von der Klasse hängt ab, wie streng die Konformitätsbewertung ausfällt und ob eine unabhängige Stelle eingebunden werden muss.

Security by Design und grundlegende Sicherheitsanforderungen

Produkte müssen von der Konzeption an sicher entwickelt werden und die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen, etwa sichere Standardeinstellungen und Angriffsflächenreduktion.

Schwachstellenmanagement und Support-Zeitraum

Hersteller müssen Schwachstellen über den gesamten Support-Zeitraum systematisch behandeln und kostenlose Sicherheitsupdates bereitstellen. Der Support-Zeitraum muss die erwartete Nutzungsdauer widerspiegeln.

Meldepflichten an ENISA und CSIRT

Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen ab dem 11. September 2026 gemeldet werden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen.

Konformitätsbewertung und CE-Kennzeichnung

Vor dem Inverkehrbringen müssen Hersteller die Konformität mit den CRA-Anforderungen nachweisen, eine EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen.

Technische Dokumentation

Hersteller müssen vor dem Inverkehrbringen eine technische Dokumentation erstellen, die die Erfüllung aller CRA-Anforderungen belegt, und sie über zehn Jahre aufbewahren.

Pflichten von Importeuren und Händlern

Nicht nur Hersteller stehen in der Pflicht. Importeure und Händler müssen prüfen, dass Produkte CE-gekennzeichnet und konform sind, bevor sie sie auf den EU-Markt bringen oder bereitstellen.

Übergangsfristen und Anwendungsdaten

Der CRA gilt gestaffelt: Meldepflichten ab 11. September 2026, Bestimmungen zu Konformitätsbewertungsstellen ab 11. Juni 2026, alle übrigen Pflichten ab 11. Dezember 2027.

Bußgelder und Marktüberwachung

Bei Verstößen gegen die grundlegenden Anforderungen und die Hersteller- und Meldepflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.