Cyber Resilience Act · EU-Verordnung 2024/2847
Der Cyber Resilience Act macht Cybersicherheit zur Marktzugangsbedingung.
Der CRA verpflichtet Unternehmen, die Produkte mit digitalen Elementen in der EU vertreiben, zu nachweisbarer Produktsicherheit. Voll verbindlich ab Dezember 2027.
Wir unterstützen Sie bei der CRA-konformen Umsetzung.
- Pragmatische Umsetzung statt Compliance-Theater
- Integration in bestehende Entwicklungs- und Produktprozesse
- Fokus auf Sicherheit, Nachweisbarkeit und Marktzugang
Definition & Scope: Was regelt der Cyber Resilience Act?
Der CRA legt verbindliche Sicherheitsanforderungen für Produkte mit digitalen Komponenten fest. Im Mittelpunkt stehen sichere Entwicklung, Schwachstellenmanagement, Software-Transparenz und Nachweisbarkeit über den gesamten Produktlebenszyklus.
Sobald Ihr Produkt mit einem anderen Gerät oder dem Internet kommunizieren kann, wird Security by Design zur Voraussetzung für den Marktzugang.
Software
Anwendungen, digitale Services, Software-Produkte und Komponenten, die im EU-Markt bereitgestellt werden.
Hardware
Produkte mit Software, Firmware, Konnektivität oder Update-Funktionalität.
IoT & Embedded
Vernetzte Geräte, industrielle Steuerungen, Sensorik, Maschinen und Embedded Systems.
Open Source & Drittsoftware
Produkte mit externen Komponenten, Bibliotheken, SBOM-Pflichten und Abhängigkeiten.
Welche Unternehmen sind betroffen?
Entscheidend ist nicht der Firmensitz, sondern ob das Produkt im EU-Markt in Verkehr gebracht oder bereitgestellt wird.
- Hersteller
- Softwareanbieter
- Importeure
- Distributoren
- Private-Label-Anbieter
Was der CRA regelt
- Sicherheitseigenschaften digitaler Produkte
- Umgang mit Schwachstellen und Sicherheitsvorfällen
- Transparenz über eingesetzte Software-Komponenten
- Sichere Update- und Patch-Mechanismen
CRA-Anforderungen erklärt
Reduzierte Übersicht entlang der Verordnung: Produktsicherheit und Schwachstellenbehandlung.
Teil I: Produktsicherheit
Anforderungen an das Produkt selbst:
- Sichere Standardkonfiguration
- Schutz vor unbefugtem Zugriff
- Datenvertraulichkeit und -integrität
- Minimale Angriffsfläche
- Minderung der Auswirkungen von Vorfällen
- Sicherheitsprotokollierung und -überwachung
Teil II: Schwachstellenbehandlung
Anforderungen an das laufende Sicherheitsmanagement:
- Identifizierung und Dokumentation von Schwachstellen
- Koordinierte Schwachstellenoffenlegung (CVD)
- Zeitnahe Sicherheitspatches und Updates
- Software Bill of Materials (SBOM)
- Benutzerbenachrichtigung über Schwachstellen
Timeline: Warum 2027 zu spät ist
CRA-Compliance ist kein Stichtagsprojekt. Betroffene Produkte werden oft Jahre vor dem Launch spezifiziert, entwickelt, zertifiziert und in den Markt gebracht.
Risiko
Fehlende Security-by-Design-Prozesse, lückenhafte Dokumentation oder unklare Update-Mechanismen können Produktlaunches verzögern und Marktzugang gefährden. Diese Seite ersetzt keine Rechtsberatung.
Heute
Produktportfolio und Betroffenheit klären
Klären, welche Produkte, Komponenten und Entwicklungsprozesse in den CRA-Scope fallen.
11. September 2026
Meldepflichten werden verbindlich
Prozesse für Vulnerability Handling, Incident Response und interne Verantwortlichkeiten müssen tragfähig sein.
11. Dezember 2027
Vollständige Sicherheitsanforderungen gelten
Neue Produkte mit digitalen Elementen müssen die CRA-Anforderungen erfüllen, bevor sie im EU-Markt bereitgestellt werden.
Unser Angebot: CRA von der Analyse bis zur Umsetzung
TEQABLE verbindet regulatorisches Verständnis mit praktischer Engineering-Erfahrung. Der Fokus liegt auf umsetzbaren Massnahmen in echten Produkt- und Entwicklungsumgebungen.
CRA Scope Assessment
Einordnung von Produkten, Rollen, Pflichten, Risiken und betroffenen Entwicklungsprozessen.
Engineering Gap Analyse
Prüfung von Secure SDLC, Threat Modelling, Security Defaults, SBOM, Testing und Dokumentation.
Vulnerability Handling
Aufbau tragfähiger Prozesse für Schwachstellenannahme, Bewertung, Behebung, Meldewege und Nachweisbarkeit.
SBOM & Komponenten-Transparenz
Struktur für Software Bill of Materials, Open-Source-Komponenten und Abhängigkeiten.
Secure-by-Design Enablement
Integration von Sicherheitsanforderungen in Architektur, Entwicklung, Reviews, Tests und Release-Prozesse.
Nachweisbare Umsetzung
Dokumentationsstruktur, technische Evidenz, Management-Unterlagen und Vorbereitung auf externe Prüfungen.
CRA-Readiness: Erste Selbsteinschätzung
Ein kurzer Check macht sichtbar, ob akuter Klärungsbedarf besteht.
Frage 1/6
Nur Unternehmen mit Sitz in der EU müssen den Cyber Resilience Act einhalten.
Ihre Antwort ist richtig!
Tipp
Entscheidend ist, wo das Produkt verkauft wird — nicht wo das Unternehmen sitzt. Der CRA gilt für alle Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden. Auch Schweizer oder US-amerikanische Hersteller sind damit direkt betroffen.
Ihre Antwort ist leider falsch...
Erklärung
Entscheidend ist, wo das Produkt verkauft wird — nicht wo das Unternehmen sitzt. Der CRA gilt für alle Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden. Auch Schweizer oder US-amerikanische Hersteller sind damit direkt betroffen.
Frage 2/6
Der CRA betrifft nur Produkte, die nach Inkrafttreten neu entwickelt werden — bestehende Produktlinien sind ausgenommen.
Ihre Antwort ist richtig!
Erklärung
Auch bestehende Produkte, die weiterhin aktiv auf dem EU-Markt vertrieben werden, unterliegen den CRA-Anforderungen. Eine laufende Marktpräsenz genügt als Auslöser — unabhängig davon, wann das Produkt ursprünglich entwickelt wurde.
Ihre Antwort ist leider falsch...
Erklärung
Auch bestehende Produkte, die weiterhin aktiv auf dem EU-Markt vertrieben werden, unterliegen den CRA-Anforderungen. Eine laufende Marktpräsenz genügt als Auslöser — unabhängig davon, wann das Produkt ursprünglich entwickelt wurde.
Frage 3/6
Für die CRA-Konformität ist primär die IT-Abteilung zuständig.
Ihre Antwort ist richtig!
Erklärung
Der CRA betrifft den gesamten Produktlebenszyklus — von Entwicklung und Produktmanagement bis zur Lieferkette. Er definiert ausserdem unterschiedliche Rollen: Hersteller tragen die Hauptverantwortung, Importeure haben Sorgfaltspflichten, Händler dürfen keine nicht-konformen Produkte verkaufen. CRA-Compliance ist damit eine unternehmensweite Aufgabe.
Ihre Antwort ist leider falsch...
Erklärung
Der CRA betrifft den gesamten Produktlebenszyklus — von Entwicklung und Produktmanagement bis zur Lieferkette. Er definiert ausserdem unterschiedliche Rollen: Hersteller tragen die Hauptverantwortung, Importeure haben Sorgfaltspflichten, Händler dürfen keine nicht-konformen Produkte verkaufen. CRA-Compliance ist damit eine unternehmensweite Aufgabe.
Frage 4/6
Wer Sicherheitsupdates über den Produktlebenszyklus nicht sicherstellt, riskiert den Marktzugang.
Ihre Antwort ist richtig!
Erklärung
Die Pflicht zur Bereitstellung von Sicherheitsupdates über die gesamte Nutzungsdauer ist eine Kernpflicht des CRA (Anhang I, Teil II). Bei IoT- und Hardwareprodukten ist besondere Vorsicht geboten: Anders als Software kann Hardware nicht einfach zurückgerufen und gepatcht werden.
Fehlende Updates können zur Nicht-Konformität und damit zum Produktverbot, zur Rückrufpflicht oder zur öffentlichen Bekanntgabe führen — Sanktionen bis zu 15 Mio. EUR oder 2,5 % des weltweiten Umsatzes sind möglich.
Ihre Antwort ist leider falsch...
Erklärung
Die Pflicht zur Bereitstellung von Sicherheitsupdates über die gesamte Nutzungsdauer ist eine Kernpflicht des CRA (Anhang I, Teil II). Bei IoT- und Hardwareprodukten ist besondere Vorsicht geboten: Anders als Software kann Hardware nicht einfach zurückgerufen und gepatcht werden.
Fehlende Updates können zur Nicht-Konformität und damit zum Produktverbot, zur Rückrufpflicht oder zur öffentlichen Bekanntgabe führen — Sanktionen bis zu 15 Mio. EUR oder 2,5 % des weltweiten Umsatzes sind möglich.
Frage 5/6
Mit CRA-Massnahmen kann gewartet werden, bis die Vollpflicht am 11. Dezember 2027 gilt.
Ihre Antwort ist richtig!
Erklärung
Der CRA folgt einem gestaffelten Zeitplan: Bereits ab 11. Juni 2026 gelten Regeln für benannte Konformitätsbewertungsstellen, ab 11. September 2026 werden Meldepflichten für aktiv ausgenutzte Schwachstellen obligatorisch. Konformitätsprozesse — Risikoanalyse, SBOM, technische Dokumentation nach Anhang VII — brauchen erhebliche Vorlaufzeit. Wer jetzt nicht startet, riskiert Verzug.
Ihre Antwort ist leider falsch...
Erklärung
Der CRA folgt einem gestaffelten Zeitplan: Bereits ab 11. Juni 2026 gelten Regeln für benannte Konformitätsbewertungsstellen, ab 11. September 2026 werden Meldepflichten für aktiv ausgenutzte Schwachstellen obligatorisch. Konformitätsprozesse — Risikoanalyse, SBOM, technische Dokumentation nach Anhang VII — brauchen erhebliche Vorlaufzeit. Wer jetzt nicht startet, riskiert Verzug.
Frage 6/6
Enthält Ihr Produkt digitale Komponenten oder eine Netzwerkverbindung?
Wollen Sie einen kostenlosen Termin mit einem Experten buchen?
Füllen Sie bitte folgendes Formular aus, damit wir Sie kontaktieren können.
TEQABLE: Umsetzung statt Papier-Compliance
Wir sind keine theoretische Prüfstelle. Wir arbeiten an der Schnittstelle von Produktentwicklung, Security Engineering, Risikoanalyse und technischer Dokumentation.
Ziel
CRA-Anforderungen so in bestehende Prozesse integrieren, dass Produkte sicherer werden und Teams lieferfähig bleiben.
- Öffnen
Offizielle CRA-Richtlinie
Vollständiger Gesetzestext und verbindliche Anforderungen der EU.
- Download
CRA Cheatsheet für Entwickler
Kurzübersicht für Engineering-Teams.
- Download
CRA Vulnerability Handling
Informationen und Checkliste im Hinblick auf den 11. September 2026
CRA Engineering-Checkliste
Threat Modelling, Secure by Design, SBOM, Updates, Dokumentation.
STRIDE Threat-Modelling Vorlage
Strukturierter Einstieg für Produkt- und Architekturteams.
CRA Anforderungskatalog
Vollständige, strukturierte Übersicht aller relevanten CRA-Anforderungen zur direkten Anwendung.
Unsicher, ob Ihr Produkt betroffen ist?
Beschreiben Sie Produkt, Zielmarkt und aktuelle Entwicklungsphase. Wir geben eine erste fachliche Einordnung und schlagen den nächsten sinnvollen Schritt vor.
Unverbindliches Erstgespräch- Betroffenheit klären
- Risiken priorisieren
- Konkrete Umsetzungsschritte ableiten