Checkliste zur Einhaltung der Cyber Resilience Act für Hersteller

Falls Ihr Team vernetzte Hardware oder Software entwickelt, importiert oder in der EU vertreibt, ist die nachstehende Checkliste zur Einhaltung der Cyber Resilience Act für Hersteller Ihre operative Roadmap. Die Verordnung (EU) 2024/2847 trat am 10. Dezember 2024 in Kraft und legt Sicherheitspflichten entlang des gesamten Produktlebenszyklus fest – von der Gestaltung über die Entwicklung, Markteinführung bis hin zu Updates. Zwei Fristen sind aktuell besonders relevant: Die Meldung von Sicherheitslücken und Vorfällen gemäß Artikel 11 und 14 beginnt am 11. September 2026, und die allgemeine Anwendung der grundlegenden Anforderungen sowie die Konformitätsbewertung erfolgt am 11. Dezember 2027. Nutzen Sie diese Liste als Arbeitsbacklog für Ihre Produkt- und Sicherheitsteams.

Was der CRA von Herstellern erwartet

Hersteller tragen die primäre Verantwortung gemäß CRA. Vor der Markteinführung eines Produkts mit digitalen Elementen müssen Sie sicherstellen, dass es sicher konzipiert wurde, zum Zeitpunkt der Inverkehrbringung keine bekannten ausnutzbaren Schwachstellen aufweist, über die gesamte erwartete Lebensdauer unterstützt wird, entsprechend dokumentiert ist und Probleme über die Single Reporting Platform der ENISA gemeldet werden. Die Geldbußen können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist. Die folgende Checkliste wandelt diese groben Verpflichtungen in konkrete, zuweisbare, nachweisbare und genehmigungsfähige Arbeitspunkte um.

Die CRA-Compliance-Checkliste für Hersteller

Bearbeiten Sie jeden Abschnitt der Reihe nach. Jeder Punkt entspricht einer spezifischen Verpflichtung der Verordnung.

1. Geltungsbereich bestätigen und Produkt klassifizieren

• Erfassen Sie jedes Produkt mit digitalen Elementen, das Sie auf dem EU-Markt anbieten, einschließlich eigenständiger Software, vernetzter Geräte und eingebetteter Komponenten.
• Prüfen Sie Ausnahmen – beispielsweise kommerziell nicht unterstützte kostenlose Open-Source-Software sowie Produkte, die bereits durch branchenspezifische Regelungen mit gleichwertigen Anforderungen abgedeckt sind.
• Klassifizieren Sie jedes Produkt: Standard oder „kritisch“ gemäß Anhang II oder Anhang III. Dies bestimmt den Weg der Konformitätsbewertung.

2. Sicherheit durch Design und Standardeinstellungen (Anhang I)

• Stellen Sie Produkte sicherheitsgerecht her und gewährleisten Sie, dass sie bei der Inverkehrbringung keine bekannten ausnutzbaren Sicherheitslücken enthalten.
• Aktivieren Sie standardmäßig sichere Konfigurationen direkt nach der Installation.
• Schützen Sie vor unbefugtem Zugriff und reduzieren Sie die potenzielle Angriffsfläche.
• Dokumentieren Sie die Entwurfsentscheidungen, die jede grundlegende Anforderung des Anhangs I erfüllen.

3. Umgang mit Sicherheitslücken und Sicherheitsupdates

• Richten Sie einen Prozess zur Behandlung von Sicherheitslücken und zur Bereitstellung von Sicherheitsupdates ein, inklusive benannter Verantwortlicher.
• Veröffentlichen Sie eine Kontaktmöglichkeit für Meldungen zu Sicherheitslücken und definieren Sie eine Offenlegungsrichtlinie.
• Stellen Sie Sicherheitsupdates während der erwarteten Produktlebensdauer oder mindestens fünf Jahre bereit – je nachdem, was länger dauert.

4. Software Bill of Materials (SBOM)

• Erstellen und pflegen Sie eine SBOM für jedes Produkt, inklusive transitiver Abhängigkeiten.
• Versionieren Sie die SBOM mit jeder Version und speichern Sie sie zusammen mit der technischen Datei.

5. CRA-Konformitätsbewertung

• Bei Standardprodukten: Führen Sie eine Selbstbewertung gemäß Modul A durch.
• Bei kritischen Produkten gemäß Anhang II/III: Beauftragen Sie eine benannte Stelle mit der Drittbewertung.
• Erstellen und unterzeichnen Sie die EU-Konformitätserklärung.
• Bringen Sie die CE-Kennzeichnung vor der Markteinführung am Produkt an.

6. Technische Dokumentation gemäß CRA

• Erstellen Sie die technische Dokumentation: Produktspezifikation, Entwurfsbegründung, Risikobewertungen, Testergebnisse, SBOM und Konformitätserklärung.
• Halten Sie diese Dokumentation während der gesamten Unterstützungsphase aktuell – es handelt sich hierbei um lebende Dokumentation, keine einmalige Lieferung.
• Stellen Sie diese Dokumentation auf Verlangen den zuständigen Marktüberwachungsbehörden zur Verfügung.

7. Meldung von Sicherheitslücken und Vorfällen (Artikel 14)

• Verbinden Sie Ihre interne Eskalationskette bis spätestens zum 11. September 2026 mit der Single Reporting Platform der ENISA.
• Melden Sie aktive Ausnutzung von Sicherheitslücken innerhalb von 24 Stunden, sobald diese bekannt werden, inklusive Angaben zu Auswirkungen und Gegenmaßnahmen.
• Bei schwerwiegenden Sicherheitsvorfällen: Frühwarnmeldung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden, abschließender Bericht innerhalb angemessener Zeit (typischerweise etwa ein Monat).
• Berücksichtigen Sie eine Doppelmeldung gemäß NIS2, falls derselbe Vorfall beide Regelwerke auslöst.

8. Überwachung nach Markteinführung

• Betreiben Sie einen Überwachungsplan nach Markteinführung, der proportional zum Risiko des Produkts ist.
• Verfolgen Sie Sicherheitslücken im Einsatz, Kundenmeldungen und Sicherheitsdaten.
• Integrieren Sie die Erkenntnisse in die Produktdesignprozesse, die SBOM sowie die technische Dokumentation.

Zeitplan im Überblick

• 11. Juni 2026 – Mitgliedstaaten benennen nationale Cybersicherheitsbehörden und CSIRTs.
• 11. September 2026 – Beginn der Meldung von Sicherheitslücken und Vorfällen gemäß Artikel 11/14.
• 11. Dezember 2027 – Allgemeine Anwendung der grundlegenden Anforderungen und Konformitätsbewertung.

Checkliste in strukturiertes Risikomanagement überführen

Eine statische Checkliste wird bei einer Marktüberwachungsprüfung nicht ausreichen. Wandeln Sie jeden offenen Punkt in einen strukturiert verfolgbaren Eintrag um – mit Verantwortlichem, Nachweis, Fälligkeitsdatum und Restrisiko – und prüfen Sie diese regelmäßig gegen den CRA-Zeitplan. Unser Risikoregister bietet Herstellern einen strukturierten Ort, um diese Verpflichtungen neben anderen Cyberrisiken zu dokumentieren. Vergleichen Sie bereits jetzt verschiedene Lösungsansätze auf unserer Preisgestaltungsseite, lange vor der Meldefrist zum September 2026.