Regelwerk · Cyber Resilience Act (EU) 2024/2847

CRA: Ihr Produkt, Ihre Akte, alles an einem Ort

Die Cyberresilienz-Verordnung stellt Anforderungen an Produkte mit digitalen Elementen über den gesamten Lebenszyklus. Complass führt produktbezogen von der Anwendbarkeit bis zur CE-Kennzeichnung.

Kostenlos testen Demo anfragen

Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“ — **Compliance-Management in 20 Sekunden** Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist CRA?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen an Produkte mit digitalen Elementen. Er verlangt Sicherheit ab Entwurf, Schwachstellenbehandlung über den Unterstützungszeitraum, Meldungen aktiv ausgenutzter Schwachstellen und eine Konformitätsbewertung mit CE-Kennzeichnung.

Stand der Inhalte: 06.10.2026

Bin ich betroffen?

Der CRA gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, also Hardware und Software mit Datenverbindung, etwa Steuerungen, Geräte und Anwendungen. Pflichten treffen vor allem Hersteller, daneben Einführer und Händler. Ausnahmen gelten u. a. für Produkte, die bereits unter bestimmte andere EU-Vorschriften fallen.

Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026, auch für Produkte, die schon vorher in Verkehr gebracht wurden.

Kostenlos prüfen, ob CRA gilt In wenigen Minuten, ohne Anmeldung.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

Wichtige Fristen

Meldefristen für Ihren Fall kostenlos berechnen

Produkt-Compliance: CE-Cyber-Akte, SBOM, CSAF und Austausch mit Kunden

Wie Complass hilft

10Phasen
33geführte Schritte
17Dokumentvorlagen
32Anforderungen im Katalog

Je Produkt ein Projekt
Zehn Phasen von Anwendbarkeit und Rolle über Klassifizierung und Risikobewertung bis zur Konformitätserklärung, den Pflichten nach dem Inverkehrbringen und der Produkthaftung.
Katalog zu Anhang I
Grundlegende Cybersicherheitsanforderungen und Schwachstellenbehandlung mit Status und Nachweis, verknüpfbar mit IEC 62443-3-3 und der Maschinenverordnung.
Schwachstellen im eigenen Produkt
SBOM importieren, Komponenten laufend gegen öffentliche Schwachstellendaten abgleichen und bei aktiver Ausnutzung den Vorfall nach Art. 14 vorbelegt anlegen.
Technische Dokumentation
Vorlagen u. a. für Risikobewertung, SBOM-Konzept, Schwachstellenmanagement-Prozess, Offenlegungsrichtlinie, Nutzerinformationen nach Anhang II und EU-Konformitätserklärung.

In der Tour ansehen

Die Phasen im Modul

Anwendbarkeit, Rolle und Zeitplan
Produktbeschreibung, Klassifizierung und Konformitätsbewertungsverfahren
Cybersicherheits-Risikobewertung
Grundlegende Cybersicherheitsanforderungen an das Produkt (Anhang I Teil I)
Schwachstellenbehandlung, SBOM und Unterstützungszeitraum (Anhang I Teil II)
Meldepflichten nach Art. 14 (gelten seit 11.09.2026)
Nutzerinformationen und technische Dokumentation
Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung
Pflichten nach dem Inverkehrbringen (Post-Market)
Produkthaftung nach der Richtlinie (EU) 2024/2853

Katalog: Anhang I – Grundlegende Cybersicherheitsanforderungen

CE-Cyber-Akte je Produkt

CRA und Maschinenverordnung in einer Akte je Produkt und Version: Anforderungen, SBOM, Schwachstellen, Unterstützungszeitraum. Technische Dokumentation und EU-Konformitätserklärung erstellt Complass als Entwurf.

Was Sie als Hersteller mindestens brauchen

Wenn Sie Hersteller im Sinne des CRA sind, deckt diese Auswahl die Pflichten in Complass ab. Ob das so ist, zeigt der kostenlose Betroffenheits-Check.

Mindestauswahl Hersteller

Paket Start, Größe S, mit Schwachstellen und Angriffstechniken

348 € netto pro Monat

Cyber Resilience Act (CRA): Grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung. (Art. 13 CRA (öffnet in neuem Tab))
Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK): Schwachstellen behandeln und für aktiv ausgenutzte Schwachstellen binnen 24 Stunden eine Frühwarnung abgeben. (Art. 14, Anhang I Teil II CRA (öffnet in neuem Tab))+ 149 €
Incident-Management
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)

14 Tage kostenlos testen Bestellen

Sind Sie nur Einführer oder Händler (Art. 19, 20 CRA), reicht in Complass das Regelwerk CRA ohne Schwachstellen-Baustein: Start, 199 € netto/Monat. Wer Produkte unter eigenem Namen anbietet oder wesentlich ändert, gilt als Hersteller (Art. 21, 22 CRA). Auswahl ansehen: Mindestauswahl Einführer oder Händler

Business

739 € netto pro Monat

Mehr Wirkung mit Asset-Management und Zonen, Lieferantenmanagement und Notfallmanagement (BCM), Platz für 10 Nutzer und 2 Regelwerke.

Business testen

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 06.11.2026. Alle Pakete und Bausteine in der Preisübersicht

Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt bei Umsetzung und Nachweis und ersetzt keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Wir bauen Maschinen mit Steuerung. Gilt für uns CRA oder Maschinenverordnung?

Häufig beides. Complass zeigt die Überschneidungen und verknüpft die Kataloge, damit Sie Nachweise nur einmal erbringen.

Übermittelt Complass die Meldung an die ENISA?

Nein. Complass berechnet die Fristen und bereitet die Inhalte vor; die Meldung geben Sie über die Meldeplattform ab.

Leitfaden Cyber Resilience Act für Softwarehersteller: SBOM, Schwachstellenprozess und 24-Stunden-Meldung praktisch aufsetzen

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.