Anwendungsbereich, Rollen und Produkte klären
Früh prüfen, welche Produkte mit digitalen Elementen betroffen sein können, wer die Herstellerrolle trägt und wie Produkte, Komponenten und Support zusammenhängen.
Cyber Resilience Act (CRA)
CRA-Fristen: Wann gilt der Cyber Resilience Act?
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt gestuft. Dieser Überblick zeigt die wichtigsten CRA-Fristen – und was Hersteller bis dahin sinnvoll vorbereiten.
Kurzfakten
Die wichtigsten CRA-Termine
Maßgeblich ist immer der offizielle Verordnungstext; regulatorische Entwicklungen und nationale Durchführung sind fortlaufend zu prüfen.
- Verordnung
- (EU) 2024/2847 (Cyber Resilience Act)
- In Kraft seit
- 10. Dezember 2024
- Meldepflichten
- ab 11. September 2026
- Hauptpflichten
- ab 11. Dezember 2027
- jetzt
Produktliste und Rollen sortieren
Nicht erst kurz vor 2026 zusammensuchen: Produkte, Versionen, Komponenten und Verantwortliche in einer Übersicht sammeln.
- bis 09/2026
Meldeprüfung üben
Eingangskanal, Erstbewertung, Eskalation und 24h-/72h-Referenzpunkte vor dem ersten echten Fall testen.
- bis 12/2027
Nachweise belastbar machen
Maßnahmen, Freigaben und Dokumentationsverweise nachvollziehbar ablegen.
Zeitstrahl
Der CRA-Fahrplan im Detail
Von Inkrafttreten über die Meldepflichten bis zur Anwendbarkeit der übrigen Hauptpflichten.
- 10. Dezember 2024
Verordnung in Kraft getreten
Die Verordnung (EU) 2024/2847 ist in Kraft getreten. Ab hier laufen die gestuften Übergangsfristen.
- 11. Juni 2026
Regeln für notifizierte Stellen
Die Bestimmungen zur Benennung und Tätigkeit notifizierter Stellen (Konformitätsbewertung) werden anwendbar.
- 11. September 2026
Meldepflichten werden anwendbar
Die CRA-Meldepflichten werden ab diesem Zeitpunkt anwendbar. Ob ein konkreter Sachverhalt meldepflichtig ist, bleibt anhand der gesetzlichen Kriterien einzelfallabhängig zu prüfen.
- 11. Dezember 2026
Notifizierte Stellen verfügbar
EU-seitiger Zielpunkt für eine ausreichende Zahl notifizierter Stellen; kein eigener Herstellerstichtag. Für betroffene Produktklassen sollte ein möglicher Bedarf an notifizierter Stelle früh eingeplant werden.
- 11. Dezember 2027
Übrige Hauptpflichten werden anwendbar
Ab diesem Zeitpunkt werden die übrigen Hauptpflichten anwendbar. Dazu gehören – je nach Produkt und Rolle – insbesondere grundlegende Anforderungen, technische Dokumentation, Konformitätsbewertung und CE-Bezug.
Vorbereitung nach Phasen
Was bis wann zu tun ist
Die Fristen werden handhabbar, wenn früh klar ist, welche Produkte betroffen sein können, wer im Ernstfall entscheidet und wo Nachweise gepflegt werden.
Meldeprozess aufsetzen
Internen Prozess für Schwachstellen und Vorfälle mit 24h-/72h-Referenzpunkten, Eskalationswegen und Nachweisführung vorbereiten, bevor die CRA-Meldepflichten anwendbar werden.
Konformitätsarbeit und Nachweise vorbereiten
Technische Dokumentation, Produktsicherheitsanforderungen, Konformitätsbewertung und CE-Bezug fachlich vorbereiten und nachvollziehbar steuern.
CRA-Vorbereitung früh und Office-nah strukturieren
Das CRA-Dokumentationskit liefert eine deutschsprachige Word-/Excel-Arbeitsgrundlage, um Anwendungsbereich, Rollen, Meldeprozess, Maßnahmen und Nachweise rechtzeitig auf denselben Stand zu bringen.
Häufige Fragen
Häufige Fragen zu den CRA-Fristen
Kurzantworten zu Geltung, Meldepflichten und Übergangsfristen.
Ab wann werden die übrigen Hauptpflichten anwendbar?
Ab dem 11. Dezember 2027 werden die übrigen Hauptpflichten anwendbar. Dazu gehören – je nach Produkt und Rolle – insbesondere grundlegende Cybersicherheitsanforderungen, technische Dokumentation, Konformitätsbewertung und CE-Bezug. Die Verordnung selbst ist bereits Ende 2024 in Kraft getreten.
Was gilt ab dem 11. September 2026?
Ab dem 11. September 2026 werden die CRA-Meldepflichten anwendbar. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle können nach dem CRA meldepflichtig sein, wenn die gesetzlichen Kriterien erfüllt sind. Meldungen erfolgen dann über die CRA Single Reporting Platform an den zuständigen CSIRT; ENISA wird gemäß CRA einbezogen.
Gibt es eine Übergangsfrist beim CRA?
Ja. Der CRA gilt gestuft: Nach dem Inkrafttreten Ende 2024 werden die CRA-Meldepflichten am 11. September 2026 und die übrigen Hauptpflichten am 11. Dezember 2027 anwendbar. Maßgeblich ist immer der offizielle Verordnungstext.
Weiterlesen
Verwandte Themen zum Cyber Resilience Act
Quellen: Verordnung (EU) 2024/2847 / EUR-Lex BSI - Cyber Resilience Act EU-Kommission - Cyber Resilience Act Einordnung aus organisatorischer Sicht; keine Rechtsberatung, technische Produktprüfung oder Konformitätsbewertung.