Für Hersteller – Complass

Was auf Sie zukommt

Die Pflichten gelten je Produkt und über den gesamten Support-Zeitraum. Die wichtigsten Punkte mit ihren Terminen:

Regelwerke: CRA · Maschinenverordnung · IEC 62443 für Hersteller · Funkanlagenrichtlinie · Data Act · KI-Verordnung

Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, mit früher Warnung binnen 24 Stunden, seit 11. September 2026 Art. 14 CRA
Produkte nach den Anforderungen aus Anhang I des CRA entwickeln und die Risikobewertung dokumentieren Art. 13 CRA
Schwachstellen über den Support-Zeitraum behandeln, mit SBOM und kostenlosen Sicherheitsupdates Anhang I Teil II CRA
Technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung, ab 11. Dezember 2027 Art. 71 CRA
Schutz gegen Korrumpierung und Sicherheit der Steuerung nach der Maschinenverordnung, ab 20. Januar 2027 Anhang III Nr. 1.1.9 MVO

Sie sind nicht sicher, welche Regelwerke für Sie gelten? Betroffenheitscheck starten
Kosten, Aufwand und Dauer: Berater ohne Complass, Berater mit Complass oder eigene Umsetzung mit Complass? Compliance-Kostenrechner öffnen

Allgemeine Information, keine Rechtsberatung. Diese Seite fasst die Rechtslage vereinfacht zusammen und ersetzt keine Prüfung Ihres Einzelfalls. Maßgeblich ist der Wortlaut der Gesetze und Normen.

Branchen und Produkte

Maschinen- und Anlagenbau Schwerpunkt

CRA und Maschinenverordnung je Maschine nebeneinander, von der Steuerung bis zum Fernzugang. Der Bereich, den Complass am tiefsten abdeckt.

Komponenten, Steuerungen und IoT

SPS, Sensorik und vernetzte Geräte mit IEC 62443-4-2 als Grundlage. Funkprodukte zusätzlich nach der Funkanlagenrichtlinie mit EN 18031.

Software

Eigenständige Software mit digitalen Elementen fällt unter den CRA. Reine Cloud-Dienste ohne zugehöriges Produkt regelt in der Regel nicht der CRA, sondern NIS2.

Vernetzte Produkte und KI

Datenzugang für Nutzer vernetzter Produkte nach dem Data Act, KI-Funktionen im Produkt nach der KI-Verordnung.

So unterstützt Complass

CRA je Produkt

Klassifizierung als Standardprodukt, wichtiges oder kritisches Produkt, Anforderungen aus Anhang I, Konformitätsbewertung und Unterlagen bis zur CE-Kennzeichnung.

Mehr zur Funktion

SBOM und Schwachstellen

SBOM je Produkt pflegen und als CycloneDX oder SPDX exportieren. Bekannte Schwachstellen der Komponenten finden, bewerten und als VEX ausweisen.

Mehr dazu

Meldepflichten

Prüfen, ob eine Schwachstelle oder ein Vorfall meldepflichtig ist, und die Fristen nach dem CRA mit Countdown verfolgen.

Mehr zur Funktion

Sichere Entwicklung

Sichere Produktentwicklung nach IEC 62443-4-1 und Komponentenanforderungen nach 62443-4-2, verknüpft mit dem CRA.

Was Sie als Hersteller mindestens brauchen

Wenn Sie Hersteller im Sinne des CRA sind, deckt diese Auswahl die Pflichten in Complass ab. Ob das so ist, zeigt der kostenlose Betroffenheits-Check.

Mindestauswahl Hersteller

Paket Start, Größe S, mit Schwachstellen und Angriffstechniken

348 € netto pro Monat

Cyber Resilience Act (CRA): Grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung. (Art. 13 CRA (öffnet in neuem Tab))
Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK): Schwachstellen behandeln und für aktiv ausgenutzte Schwachstellen binnen 24 Stunden eine Frühwarnung abgeben. (Art. 14, Anhang I Teil II CRA (öffnet in neuem Tab))+ 149 €
Incident-Management
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)

14 Tage kostenlos testen Bestellen

Business

739 € netto pro Monat

Mehr Wirkung mit Asset-Management und Zonen, Lieferantenmanagement und Notfallmanagement (BCM), Platz für 10 Nutzer und 2 Regelwerke.

Business testen

Weitere passende Pakete

Für Produkte nach dem CRA gibt es die Branchenvorlage Hersteller. Hersteller von Medizinprodukten fallen nicht unter den CRA; für sie ist die Vorlage Medizintechnik gedacht.

Preise für Unternehmen, netto zzgl. USt., bei jährlicher Zahlung und 12 Monaten Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Stand 06.11.2026. Enterprise und Unternehmensgruppen auf Anfrage. Alle Pakete in der Preisübersicht

Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt bei Umsetzung und Nachweis und ersetzt keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Fällt unser Produkt unter den CRA?

Der CRA gilt für Produkte mit digitalen Elementen, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden können. Das betrifft die meisten Steuerungen, vernetzten Maschinen und Software. Ausnahmen gibt es unter anderem für Produkte mit eigenen Regeln, etwa Medizinprodukte und Fahrzeuge. Der Betroffenheitscheck und die Klassifizierung je Produkt in Complass zeigen, in welche Klasse Ihr Produkt fällt.

Wie hängen CRA und Maschinenverordnung zusammen?

Beide verlangen Cybersicherheit, aus unterschiedlicher Sicht: der CRA für das Produkt mit digitalen Elementen, die Maschinenverordnung für die sichere Funktion der Maschine. Viele Unterlagen, etwa Risikobeurteilung und technische Dokumentation, nutzen Sie für beide. Complass führt beide Regelwerke je Produkt nebeneinander.

Wir stellen her und betreiben eine eigene Fertigung. Brauchen wir zwei Lösungen?

Nein. In Complass führen Sie Ihre Produkte nach CRA und Maschinenverordnung und Ihren eigenen Betrieb nach NIS2, ISO 27001 oder IEC 62443 im selben Konto.

Weitere Rollen: Einführer und Händler Betreiber Zulieferer und Dienstleister Alle Zielgruppen im Überblick

Für Hersteller: Sicherheit gehört jetzt zum Produkt