Kurz zusammengefasst: Der Cyber Resilience Act (CRA) gilt vollständig ab dem 11. Dezember 2027. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle startet bereits am 11. September 2026, unabhängig davon, wann Ihr Produkt in Verkehr gebracht wurde. Ohne bestehende Sicherheitszertifizierung sollten Sie 14 bis 20 Monate Vorlaufzeit bis zur vollständigen CRA-Konformität einplanen. Key Dates: Die EU CRA Timeline auf einen Blick Die EU-Cyberresilienz-Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten, veröffentlicht im Amtsblatt der EU am 20. November 2024. Die Cyber Resilience Act Timeline erstreckt sich über eine 36-monatige Übergangsfrist mit fünf zentralen Fristen, die Sie in der folgenden Tabelle finden. Der Cyber Resilience Act (CRA) gilt vollständig ab dem 11. Dezember 2027. Wenn Sie Produkte mit digitalen Elementen herstellen, müssen Sie deutlich früher aktiv werden: Bereits ab dem 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Zwischen beiden Deadlines liegen mehrere Zwischenschritte, die Sie in Ihre Planung einbeziehen sollten. Hinweis zu den Harmonisierungsnormen: Die generischen Cybersicherheitsnormen sollten bis zum 30. Oktober 2027 vorliegen, werden diese Deadline aber wahrscheinlich verfehlen. Im Dezember 2027 stehen Ihnen möglicherweise noch nicht alle harmonisierten Normen zur Verfügung. Orientieren Sie sich stattdessen an den essentiellen Anforderungen in Anhang I der CRA-Verordnung, an ISO/IEC 62443 für Industrieprodukte und an den BSI-Leitlinien (TR-03181). Notifizierte Stellen akzeptieren Nachweise auf dieser Basis, wenn Sie dokumentieren, wie Sie damit die CRA-Anforderungen erfüllen. CRA-Timeline Die wichtigsten CRA-Fristen im Überblick: 10.12.2024 Cyber Resilience Act 2024: Inkrafttreten Rechtsgrundlage gilt, Übergangsfristen beginnen zu laufen. 11.06.2026 Cyber Resilience Act 2026: Kapitel IV anwendbar Mitgliedstaaten benennen notifizierende Behörden, erste Konformitätsbewertungsstellen können akkreditiert werden. 11.09.2026 Cyber Resilience Act 2026: Meldepflichten Deadline Sie müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle an die Agentur der Europäischen Union für Cybersicherheit (ENISA) und die zuständige nationale Anlaufstelle für Computersicherheit (CSIRT) melden. Mitgliedstaaten sollen Engpässe bei Konformitätsbewertungen vermeiden (Art. 35 Abs. 2 CRA). 30.10.2027 Cyber Resilience Act 2027: Normen Deadline Technische Harmonisierungsnormen für generische Cybersicherheitsanforderungen sind angestrebt, werden aber wahrscheinlich erst nach diesem Termin vollständig vorliegen. Diese Normen helfen Herstellern, die grundlegenden CRA-Anforderungen (etwa zu Verschlüsselung, Zugriffskontrolle, Update-Mechanismen) technisch umzusetzen. 11.12.2027 EU CRA 2027: Volle Anwendbarkeit Security by Design, technische Dokumentation, Schwachstellenmanagement über den gesamten Produktlebenszyklus müssen erfüllt sein. CE-Kennzeichen können nur noch bei Erfüllung der CRA-Cybersicherheitsanforderungen vergeben werden. Zwei Termine verdienen Ihre besondere Aufmerksamkeit: der 11. September 2026 für den Beginn der Meldepflichten und der 11. Dezember 2027 für die volle Anwendbarkeit. Viele Unternehmen verwechseln genau diese beiden Fristen.Cyber Resilience Act aktueller Stand: 30. Juli 2026. Der CRA-Zeitplan basiert auf delegierten Rechtsakten und Standardisierungsarbeiten, deren Veröffentlichung sich noch verschieben können.Die Deadlines für die Veröffentlichung der harmonisierten Normen (etwa die EN-40000er-Reihe für generische Cybersicherheitsanforderungen) sind hingegen deutlich unsicherer. Orientieren Sie sich daher nicht primär an den kommunizierten Normungs-Deadlines, sondern an den verbindlichen Rechtsfristen. Bis zur Veröffentlichung der harmonisierten Normen können bestehende Standards wie die ISO/IEC-62443er-Reihe als Ersatz dienen. Wir aktualisieren diese Übersicht der CRA-Deadlines bei neuen Entwicklungen. Cyber Resilience Act 2026 – Meldepflicht ab 11. September Der Meldeweg im Detail Ab dem 11. September 2026 müssen Sie als Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, die Auswirkungen auf die Sicherheit Ihrer Produkte mit digitalen Elementen haben. Diese Deadline betrifft auch bereits am Markt befindliche Produkte. Die drei Kernpunkte zum Meldeweg: Kanal CRA Single Reporting Platform (SRP) – ein zentraler Meldekanal. Sie melden einen Vorfall einmal, nicht bei jeder nationalen Behörde einzeln. Empfänger Jede Meldung geht an ENISA und an das für Sie zuständige koordinierende CSIRT. Für Deutschland: CERT-Bund im BSI. Zuständigkeit Bestimmt sich nach Ihrer Hauptniederlassung. Nutzen Sie die Regelung des CRA oder beziehen Sie hierzu Rechtsrat ein. Ohne EU-Niederlassung folgt die Zuständigkeit dieser Rangfolge: Bevollmächtigter, Importeur, Händler, Nutzerkonzentration. Fristen: 24-Stunden-Frühwarnung, 72-Stunden-Vollmeldung, Abschlussbericht 14 Tage nach Bereitstellung eines Patches (oder einen Monat nach Meldung eines schwerwiegenden Vorfalls). Cyber Resilience Act 2027 – Volle Anwendbarkeit ab 11. Dezember Was dann verbindlich wird Ab dem 11. Dezember 2027 gelten alle CRA-Anforderungen. Anders als die Meldepflicht betrifft diese EU CRA Deadline in erster Linie neu in Verkehr gebrachte Produkte, es sei denn, ein bestehendes Produkt wird wesentlich verändert. Welche Pflichten kommen zur Meldepflicht hinzu? Security by Design und Security by Default Sie müssen Ihre Produkte von der Entwicklung an auf Cybersicherheit auslegen, etwa durch Verschlüsselung gespeicherter und übertragener Daten sowie sichere Standardeinstellungen. Technische Dokumentation Dazu zählt eine Software Bill of Materials (SBOM), eine strukturierte Liste aller Softwarekomponenten und Abhängigkeiten in Ihrem Produkt, vergleichbar mit einer Zutatenliste. Sie hilft dabei, Schwachstellen in Drittkomponenten schnell zu identifizieren. Konformitätsbewertung Standardprodukte bewerten Sie in der Regel selbst. Wichtige Produkte der Klasse II und kritische Produkte benötigen eine Prüfung durch eine notifizierte Stelle, ein von einer nationalen Behörde akkreditiertes Prüfinstitut. CE-Kennzeichnung Erst nach erfolgreicher Konformitätsbewertung und mit vollständiger EU-Konformitätserklärung dürfen Sie Ihr Produkt mit CE-Kennzeichnung in der EU in Verkehr bringen. Wer ist wofür zuständig? Security-by-Design-Prozesse verankern Entwicklung, Produktsicherheit Secure Development Lifecycle, Coding-Richtlinien, Update-Mechanismus Technische Dokumentation aufbauen Product Management, Entwicklung SBOM, Architekturunterlagen, Testberichte Konformitätsbewertung einleiten Legal, Quality Assurance Antrag bei notifizierter Stelle, Vorgespräche, Testplan Wenn Sie ohne bestehende Sicherheitszertifizierung (z.B. ohne eine der IEC-62443-Normen) starten, kalkulieren Fachpublikationen zur CRA-Umsetzung realistisch 14 bis 20 Monate Vorlaufzeit bis zur vollständigen Konformität. Rechnen Sie diese Zeitspanne von Dezember 2027 rückwärts, um Ihren Startzeitpunkt zu bestimmen. Meldepflicht und volle Anwendung: Der wichtige Unterschied Der häufigste Planungsfehler: Unternehmen setzen den 11. Dezember 2027 als einzigen relevanten Termin an und übersehen, dass die Meldepflicht bereits ab September 2026 gilt, unabhängig von Security by Design, CE-Kennzeichnung und Konformitätsbewertung. Wer erst mit den Vorbereitungen für 2027 beginnt, verpasst die Meldepflicht 2026. Das kann Bußgelder nach sich ziehen, wenn eine aktiv ausgenutzte Schwachstelle nicht fristgerecht gemeldet wird. Häufige Fragen zur CRA-Timeline Welche CRA-Meilensteine sind für uns relevant? Das hängt von Ihrer Rolle (Hersteller, Importeur, Händler) und der Risikoklasse Ihres Produkts ab. Hersteller von wichtigen oder kritischen Produkten tragen die umfassendsten Pflichten und sollten sich sowohl auf die Meldepflicht ab September 2026 als auch auf die volle Anwendbarkeit ab Dezember 2027 vorbereiten. Was ist der Unterschied zwischen Meldepflicht und voller Anwendung? Die Meldepflicht ab 11. September 2026 verlangt, aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle zu melden. Die volle Anwendung ab 11. Dezember 2027 umfasst alle CRA-Anforderungen, darunter Security by Design, technische Dokumentation und CE-Kennzeichnung. Welche To-dos entstehen je Meilenstein? Für September 2026 steht der Aufbau eines Meldeprozesses im Vordergrund. Für Dezember 2027 kommen sichere Produktentwicklung, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung hinzu. Die Tabelle im Abschnitt zu den Pflichtenpaketen zeigt die Details. Ab wann sollten wir mit der Roadmap starten? Rechnen Sie von Dezember 2027 rückwärts. Für Unternehmen ohne bestehende Sicherheitszertifizierung wie IEC 62443 kalkulieren Fachpublikationen zur CRA-Umsetzung realistisch 14 bis 20 Monate Vorlaufzeit bis zur vollständigen Konformität. Der Meldeprozess für September 2026 braucht einen eigenen, früheren Zeitplan. Wie aktuell sind die genannten Fristen? Die in diesem Artikel genannten Daten basieren auf der Verordnung (EU) 2024/2847 sowie auf Angaben der Europäischen Kommission und des BSI. Delegierte Rechtsakte und Standardisierungsarbeiten können einzelne Detailtermine noch verschieben. Wir aktualisieren diesen Artikel entsprechend. In sechs Schritten von der CRA Timeline zur Roadmap Eine Timeline allein schafft noch keine Umsetzung. Die folgenden sechs Schritte zeigen, wie Sie die CRA-Meilensteine in einen internen Plan überführen. 1. Schritt Produktinventar erstellen Listen Sie alle Produkte mit digitalen Elementen auf, die Sie aktuell oder zukünftig in der EU vermarkten oder herstellen. 2. Schritt Scope- und Rollen-Check durchführen Ordnen Sie jedes Produkt einer Rolle und einer Risikoklasse zu. 3. Schritt Gap-Analyse gegen die CRA-Anforderungen durchführen Vergleichen Sie Ihre Sicherheitsprozesse, Produktarchitektur, eingesetzte Technologien und Dokumentation mit den Anforderungen aus Anhang I des CRA. Prüfen Sie, welche Produkteigenschaften (etwa Verschlüsselung, Update-Mechanismen, Authentifizierung) bereits vorhanden sind und welche noch implementiert werden müssen. 4. Schritt Rückwärts von Dezember 2027 planen Rechnen Sie Pufferzeiten für die Konformitätsbewertung ein. Besonders wenn Ihr Produkt in die Klasse II oder kritische Produkte fällt, benötigen Sie mehrere Monate Vorlaufzeit bei einer notifizierten Stelle. 5. Schritt Meldeprozess bis September 2026 unabhängig von der übrigen Roadmap aufsetzen Ermitteln Sie frühzeitig Ihr zuständiges koordinierendes CSIRT und richten Sie den Zugang zur Single Reporting Platform ein. 6. Schritt Verantwortlichkeiten an Product Security, Product Management, Legal und Qualitätssicherung übergeben Jedes Team übernimmt die Pakete, die zu seiner Funktion passen, und meldet Fortschritt an eine zentrale Koordinationsstelle. CRA Checkliste Sie möchten die CRA-Fristen direkt in eine interne Roadmap überführen? Laden Sie sich unsere CRA-Checkliste mit allen Meilensteinen, Pflichtenpaketen und Verantwortlichkeiten herunter und übertragen Sie die Aufgaben direkt in Ihre Projektplanung. CRA-Checkliste kostenlos downloaden Quellen: BSI: Cyber Resilience Act, Europäische Kommission, CRA Summary, Europäische Kommission, CRA Implementation, Hinweis: Dieser Artikel bietet eine Orientierung zu den CRA-Fristen und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihrer konkreten Produkte ziehen Sie qualifizierten juristischen Rat hinzu. < Zurück zur Übersicht CRA
10.12.2024 Cyber Resilience Act 2024: Inkrafttreten Rechtsgrundlage gilt, Übergangsfristen beginnen zu laufen.
11.06.2026 Cyber Resilience Act 2026: Kapitel IV anwendbar Mitgliedstaaten benennen notifizierende Behörden, erste Konformitätsbewertungsstellen können akkreditiert werden.
11.09.2026 Cyber Resilience Act 2026: Meldepflichten Deadline Sie müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle an die Agentur der Europäischen Union für Cybersicherheit (ENISA) und die zuständige nationale Anlaufstelle für Computersicherheit (CSIRT) melden. Mitgliedstaaten sollen Engpässe bei Konformitätsbewertungen vermeiden (Art. 35 Abs. 2 CRA).
30.10.2027 Cyber Resilience Act 2027: Normen Deadline Technische Harmonisierungsnormen für generische Cybersicherheitsanforderungen sind angestrebt, werden aber wahrscheinlich erst nach diesem Termin vollständig vorliegen. Diese Normen helfen Herstellern, die grundlegenden CRA-Anforderungen (etwa zu Verschlüsselung, Zugriffskontrolle, Update-Mechanismen) technisch umzusetzen.
11.12.2027 EU CRA 2027: Volle Anwendbarkeit Security by Design, technische Dokumentation, Schwachstellenmanagement über den gesamten Produktlebenszyklus müssen erfüllt sein. CE-Kennzeichen können nur noch bei Erfüllung der CRA-Cybersicherheitsanforderungen vergeben werden.
Kanal CRA Single Reporting Platform (SRP) – ein zentraler Meldekanal. Sie melden einen Vorfall einmal, nicht bei jeder nationalen Behörde einzeln.
Empfänger Jede Meldung geht an ENISA und an das für Sie zuständige koordinierende CSIRT. Für Deutschland: CERT-Bund im BSI.
Zuständigkeit Bestimmt sich nach Ihrer Hauptniederlassung. Nutzen Sie die Regelung des CRA oder beziehen Sie hierzu Rechtsrat ein. Ohne EU-Niederlassung folgt die Zuständigkeit dieser Rangfolge: Bevollmächtigter, Importeur, Händler, Nutzerkonzentration.
Security-by-Design-Prozesse verankern Entwicklung, Produktsicherheit Secure Development Lifecycle, Coding-Richtlinien, Update-Mechanismus
Technische Dokumentation aufbauen Product Management, Entwicklung SBOM, Architekturunterlagen, Testberichte
Konformitätsbewertung einleiten Legal, Quality Assurance Antrag bei notifizierter Stelle, Vorgespräche, Testplan
1. Schritt Produktinventar erstellen Listen Sie alle Produkte mit digitalen Elementen auf, die Sie aktuell oder zukünftig in der EU vermarkten oder herstellen.
2. Schritt Scope- und Rollen-Check durchführen Ordnen Sie jedes Produkt einer Rolle und einer Risikoklasse zu.
3. Schritt Gap-Analyse gegen die CRA-Anforderungen durchführen Vergleichen Sie Ihre Sicherheitsprozesse, Produktarchitektur, eingesetzte Technologien und Dokumentation mit den Anforderungen aus Anhang I des CRA. Prüfen Sie, welche Produkteigenschaften (etwa Verschlüsselung, Update-Mechanismen, Authentifizierung) bereits vorhanden sind und welche noch implementiert werden müssen.
4. Schritt Rückwärts von Dezember 2027 planen Rechnen Sie Pufferzeiten für die Konformitätsbewertung ein. Besonders wenn Ihr Produkt in die Klasse II oder kritische Produkte fällt, benötigen Sie mehrere Monate Vorlaufzeit bei einer notifizierten Stelle.
5. Schritt Meldeprozess bis September 2026 unabhängig von der übrigen Roadmap aufsetzen Ermitteln Sie frühzeitig Ihr zuständiges koordinierendes CSIRT und richten Sie den Zugang zur Single Reporting Platform ein.
6. Schritt Verantwortlichkeiten an Product Security, Product Management, Legal und Qualitätssicherung übergeben Jedes Team übernimmt die Pakete, die zu seiner Funktion passen, und meldet Fortschritt an eine zentrale Koordinationsstelle.