CRA-Konformität: der praktische Leitfaden für kleine Hersteller

Der EU Cyber Resilience Act (Verordnung (EU) 2024/2847) macht Cybersicherheit für nahezu jedes Produkt mit digitalen Elementen verpflichtend, das auf dem EU-Markt verkauft wird — vom vernetzten Sensor über die Maschine mit Touchscreen bis zur installierbaren Software. Für kleine Hersteller wirft das eine praktische Frage auf: Was genau muss ich tun, und bis wann?

Dieser Leitfaden erklärt die CRA-Anforderungen in verständlicher Sprache — geschrieben für Teams von 2 bis 50 Personen ohne eigene Compliance-Abteilung.

Nicht sicher, ob der CRA für Ihr Produkt gilt? Machen Sie zuerst den kostenlosen Scope-Check.

Gilt der CRA überhaupt für Sie?

Der CRA erfasst „Produkte mit digitalen Elementen", die kommerziell auf dem EU-Markt bereitgestellt werden — unabhängig davon, wo Ihr Unternehmen sitzt. In den Anwendungsbereich fallen:

• Hardware mit Software (Geräte, Maschinen mit SPS/HMI, Sensoren, eingebettete Systeme)
• Software, die Kunden installieren (Desktop, mobile Apps, On-Premise, Firmware)
• Fernverarbeitung, von der ein physisches Produkt abhängt

Nicht erfasst: reine Cloud-Dienste ohne installierbare Komponente, nicht-kommerzielle Open Source, sowie Produkte unter anderer Sektorregulierung (Medizinprodukte, Fahrzeuge, Luftfahrt).

Wichtig: Rund 90 % der Produkte fallen in die Standardklasse und dürfen sich selbst bewerten — keine benannte Stelle, keine externe Zertifizierung nötig. Nur Produkte mit Sicherheitsfunktionen (VPNs, Passwortmanager, smarte Schlösser, Netzwerküberwachung, industrielle Firewalls, HSMs) fallen in die höheren Klassen.

Die zwei Fristen, die zählen

• 11. September 2026 — Meldepflicht: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen innerhalb von 24 Stunden an die ENISA und die nationale CSIRT gemeldet werden. Das gilt auch für Produkte, die bereits auf dem Markt sind.
• 11. Dezember 2027 — vollständige Konformität: Security by Design, SBOM, technische Dokumentation, CE-Kennzeichnung. Ohne CE-Kennzeichnung nach dem CRA darf ein Produkt mit digitalen Elementen danach nicht mehr legal in der EU verkauft werden.

Der häufigste Irrtum: Viele denken, die Frist sei erst Dezember 2027. Doch die Meldepflicht beginnt bereits im September 2026 — und „bereit sein" heißt, vorher einen SBOM, ein Monitoring und einen Meldeprozess zu haben, nicht erst während eines Vorfalls.

Die CRA-Anforderungen im Überblick

Konkret verlangt der CRA von einem Hersteller der Standardklasse Folgendes:

1. Software-Stückliste (SBOM). Eine maschinenlesbare Liste der Softwarekomponenten Ihres Produkts — mindestens der Top-Level-Abhängigkeiten. Wichtig: Der SBOM umfasst nur die Software von Drittanbietern, die Sie nicht selbst geschrieben haben (Betriebssystem, Verschlüsselungsbibliothek, Chip-SDK), nicht Ihren eigenen Code und keine physischen Teile.

2. Kontinuierliches Schwachstellen-Monitoring. Ihre Komponenten müssen laufend gegen bekannte Schwachstellen (CVEs) geprüft werden. Neue Schwachstellen werden bewertet und dokumentiert — offene Einträge bedeuten keine Nicht-Konformität, solange Sie jede Schwachstelle beurteilen und Ihre Entscheidung festhalten.

3. Meldeprozess (ab 11. September 2026). Ein festgelegter Ablauf: Wer meldet was, an welche nationale CSIRT, innerhalb von 24 bzw. 72 Stunden. Mit vorbereiteten Vorlagen und einem benannten Verantwortlichen.

4. Security by Design und Risikobewertung. Eine dokumentierte Cybersecurity-Risikobewertung des Produkts, sichere Standardkonfiguration, keine bekannten ausnutzbaren Schwachstellen bei Auslieferung.

5. Technische Dokumentation und EU-Konformitätserklärung. Die technische Datei nach Anhang VII (Produktbeschreibung, Risikobewertung, SBOM, Schwachstellen-Handling, Support-Zeitraum) plus die unterschriebene EU-Konformitätserklärung.

6. CE-Kennzeichnung und Support-Zeitraum. Nach der Selbstbewertung bringen Sie die CE-Kennzeichnung an und sichern Sicherheitsupdates für mindestens fünf Jahre zu.

„Ich baue die Software oder Elektronik nicht selbst"

Ein häufiger Irrtum bei Maschinenbauern: Sie kaufen die SPS von Siemens, lassen die Steuerungssoftware extern schreiben, beziehen Module von Zulieferern — und denken, die Software sei nicht ihr Problem. Das stimmt nicht.

Wenn Sie das fertige Produkt unter Ihrem Namen auf den EU-Markt bringen, sind Sie der Hersteller, und der SBOM umfasst die gesamte Software im Produkt — auch die in den zugekauften Modulen. Die gute Nachricht: Ihre Zulieferer unterliegen ebenfalls dem CRA. Sie fragen also deren SBOM an und verweisen darauf, statt alles selbst zu ermitteln.

Faustregel: Steckt Code darin? Zählt es. Rein physisch, ohne Software? Zählt es nicht.

Ein realistischer Weg zur Konformität

Für ein Team ohne Compliance-Abteilung, rückwärts von der nächsten Frist gedacht:

1. Scope und Klasse bestimmen — drei Minuten mit dem Checker oder ein Blick in Anhang III der Verordnung. Einen Verantwortlichen benennen.
2. SBOM erstellen — bei Software genügt die Lockfile; bei Firmware listen Sie die Drittkomponenten einmalig auf (RTOS, Netzwerkstack, Krypto-Bibliothek, Hersteller-SDK).
3. Monitoring einrichten — SBOM automatisch gegen Schwachstellendatenbanken (OSV, NVD) prüfen.
4. Meldeprozess schreiben — die einseitige Playbook vor September 2026, plus einen öffentlichen Sicherheitskontakt.
5. Risikobewertung und Dokumentation — vor Dezember 2027 die technische Datei und die Konformitätserklärung aus dem Vorhandenen zusammenstellen.

Nichts davon erfordert Neueinstellungen — es erfordert, es zu tun, bevor die Frist Sie zwingt, es schlecht zu tun. Oder Sie nutzen CRA-Compliance-Software, die SBOM, Monitoring und Dokumentation laufend aktuell hält.

Was bei Nicht-Konformität droht

Die Bußgelder erreichen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Doch für einen kleinen Hersteller ist das schärfere Risiko meist ein anderes: kein Marktzugang. Ohne CE-Kennzeichnung nach dem CRA kein legaler EU-Verkauf ab Dezember 2027 — und Distributoren und Geschäftskunden verlangen schon heute SBOMs und Konformitätserklärungen als Kaufbedingung. Der Wettbewerber, der konform ist, bekommt den Auftrag.

Der erste Schritt: Prüfen Sie kostenlos den Scope und die Klasse Ihres Produkts — drei Minuten, keine Anmeldung, auf Basis des Verordnungstextes.