CRA Compliance: Schritt für Schritt zur Umsetzung des Cyber Resilience Act

Jede CRA-Pflicht erzeugt ein spezifisches Dokument mit einem klaren Verwendungszweck. Diese Zuordnung erspart Ihnen doppelte Arbeit bei Audits und Meldungen. Die folgende Tabelle zeigt, welches Dokument bei welcher Prüfung vorgelegt wird.

Ein CRA Risk Assessment bewertet systematisch, welche Sicherheitsrisiken von einem Produkt mit digitalen Elementen ausgehen. Es unterscheidet sich grundlegend von einem Assessment nach ISO 27001 oder IEC 62443. ISO 27001 bewertet die Informationssicherheit einer Organisation. IEC 62443 fokussiert auf industrielle Automatisierungssysteme. Der CRA dagegen ist produktzentriert: Er fragt, welche Cybersecurity-Risiken sich aus dem Produkt, seinen Komponenten, Schnittstellen, vorgesehenen und vorhersehbaren Nutzungen sowie dem gesamten Supportzeitraum ergeben.

Diese Unterscheidung hat praktische Folgen. Ein Unternehmen mit ISO-27001-Zertifizierung hat noch kein CRA-konformes Risk Assessment für seine Produkte. Die Zertifizierungen ergänzen sich, ersetzen sich aber nicht.

Ein Gap-Assessment vergleicht den aktuellen Stand Ihrer Produkte und Prozesse mit den CRA-Anforderungen und liefert einen priorisierten Maßnahmenplan. Die Methodik folgt einer klaren Vorgehensweise. Zuerst werden strukturiert existierende Dokumente und Prozesse erfasst und analysiert. Es folgt ein systematisches Assessment. Aus diesem können Maßnahmenpläne abgeleitet werden.

Vier Maßnahmen lassen sich innerhalb weniger Wochen umsetzen und schaffen eine erste belastbare Evidence-Basis. Diese Quick Wins gewinnen an Bedeutung, weil die Meldepflichten bereits im September 2026 greifen. 

• Scope dokumentieren: Halten Sie schriftlich fest, welche Produkte unter den CRA fallen und in welche Kategorie sie einzuordnen sind.
• SBOM-Erstellung starten: Beginnen Sie mit den Produkten, die am nächsten an Release, Inverkehrbringen oder CE-Kennzeichnung stehen. Erfassen Sie zunächst Hauptkomponenten, Drittkomponenten und Open-Source-Abhängigkeiten und bauen Sie die SBOM anschließend schrittweise aus.
• Verantwortlichkeiten klären: Legen Sie fest, wer für Risikoanalyse, Meldeprozess, Konformitätsbewertung und Dokumentation zuständig ist.
• Meldeprozess definieren: Skizzieren Sie, wie eine Schwachstellenmeldung intern von der Entdeckung über Bewertung und Eskalation bis zur externen Meldung läuft.

Diese vier Punkte lassen sich parallel zu laufenden Projekten bearbeiten. Sie schaffen die Grundlage, auf der weitere Maßnahmen aufbauen.

Laut ONEKEY IoT & OT Cybersecurity Report 2025 (Befragung von 300 deutschen Industrieunternehmen) ist nur ein knappes Drittel (32 Prozent) der Unternehmen mit den CRA-Anforderungen umfassend vertraut. Diese Zahl verdeutlicht, warum strukturelle Maßnahmen frühzeitig starten sollten. 

Für die Priorisierung dieser Maßnahmen dienen die gesetzlichen Fristen als Orientierung: Meldepflichten gelten ab September 2026, die volle Geltung des CRA ab Dezember 2027. Alle CRA-Fristen im Überblick

CRA Compliance ist ein Dauerprozess, kein einmaliges Projekt mit Abschlussdatum. Produkte verändern sich über ihren Lebenszyklus, neue Schwachstellen tauchen laufend auf. Zwei Elemente sichern diese fortlaufende Compliance: die SBOM und das PSIRT. 

Die SBOM braucht drei wiederkehrende Prozessschritte: 

1. Erstellung bei jedem neuen Release, 
2. Aktualisierung bei jeder Komponentenänderung und 
3. Versionierung, damit jede Produktversion ihre eigene, nachvollziehbare SBOM besitzt. 

Das Product Security Incident Response Team (PSIRT) ist die organisatorische Antwort auf laufende Schwachstellenmeldungen. Es bündelt Verantwortlichkeiten für Aufnahme, Bewertung und Behebung von Sicherheitslücken.

Die Meldepflichten gelten ab dem 11. September 2026: Für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gilt jeweils: eine Frühwarnung innerhalb von 24 Stunden und eine weitergehende Meldung innerhalb von 72 Stunden nach Bekanntwerden. Bei aktiv ausgenutzten Schwachstellen folgt zusätzlich ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme. Bei schweren Sicherheitsvorfällen folgt ein Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung. Die Meldung erfolgt über die CRA Single Reporting Platform (SRP) gleichzeitig an ENISA, das und das koordinierenden CSIRT (Computer Security Incident Response Team). Die Details dieses Meldeprozesses beschreiben wir separat: Meldepflichten im Detail

Ein funktionsfähiges PSIRT braucht nicht zwingend eine eigene Sicherheitsabteilung. Für den Einstieg genügen: eine benannte Kontaktstelle für Schwachstellenmeldungen, ein dokumentierter Eskalations- und Triageweg, mit klaren Rollen und Verantwortlichkeiten, sowie einem Zeitrahmen für die erste Reaktion. 

Viele mittelständische Unternehmen kombinieren interne und externe Ressourcen. Die Kontaktstelle und die Entscheidungshoheit bleiben intern, während technische Bewertung und Behebung teilweise extern eingekauft werden. Diese Kombination funktioniert, solange die Verantwortlichkeiten klar dokumentiert sind und die Reaktionszeiten eingehalten werden.

Nicht jede Rolle braucht dasselbe Trainingsformat. Technische Rollen benötigen tiefes Fachwissen, kaufmännische Rollen brauchen vor allem Bewusstsein für Risiken. 

Ein Beispiel verdeutlicht den Unterschied: Entwickler:innen brauchen Secure-Coding-Training, um Schwachstellen von Anfang an zu vermeiden. Der Einkauf braucht dagegen Awareness für Lieferanten-Compliance, um bei der Auswahl von Zulieferern auf CRA-Konformität zu achten.

Der Einstieg in die CRA-Umsetzung gelingt über drei Sofortmaßnahmen:

1.  Scope prüfen: Klären Sie, welche Produkte unter den CRA fallen und in welche Kategorie sie gehören.
2. Checkliste durcharbeiten: Gehen Sie die zehn Pflichten systematisch durch und dokumentieren Sie den Status.
3. Gap-Assessment starten: Identifizieren Sie offene Punkte und priorisieren Sie Maßnahmen nach Aufwand und Frist. 

Checkliste herunterladen  Gap-Assessment anfragen