Wer Produkte mit digitalen Elementen in der EU auf den Markt bringt, braucht künftig mehr als CE-Konformität im klassischen Sinn. Der erste harte Termin ist nah: ab 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle.
30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung
Der CRA knüpft am Produkt an, nicht an der Branche. Sobald etwas mit digitalen Elementen in der EU auf den Markt kommt, greift die Verordnung.
Warum der 11.09.2026 der eigentliche Weckruf ist: Die großen Anforderungen — technische Dokumentation, Konformitätsbewertung, CE — greifen erst Ende 2027. Die Meldepflichten kommen aber deutlich früher, und sie verlangen etwas, das sich nicht in einer Woche aufbauen lässt: einen funktionierenden Prozess, der aktiv ausgenutzte Schwachstellen erkennt, bewertet und fristgerecht meldet. Wer das erst im Ernstfall aufsetzt, verpasst die Frist.
Der CRA verlangt keinen einmaligen Nachweis zum Verkaufszeitpunkt, sondern Sicherheit über den gesamten Supportzeitraum. Das ist der eigentliche Bruch zu bisherigen Produktvorschriften.
Produkte müssen so entwickelt werden, dass sie ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden — mit sicherer Standardkonfiguration statt unsicherer Voreinstellungen.
Ein dokumentierter Prozess, der Schwachstellen im eigenen Produkt und in den verwendeten Komponenten erfasst, bewertet und behebt — über den gesamten Supportzeitraum.
Eine maschinenlesbare Übersicht der verwendeten Komponenten, mindestens auf oberster Ebene. Ohne sie lässt sich bei einer neuen Schwachstelle nicht sagen, ob das eigene Produkt betroffen ist.
Updates müssen bereitgestellt werden, in der Regel unentgeltlich und zeitnah. Der Supportzeitraum ist festzulegen und gegenüber Nutzern klar zu kommunizieren.
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind gestuft zu melden — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen.
Ab Dezember 2027: Nachweisunterlagen, Konformitätsbewertung nach dem für Ihre Produktklasse vorgesehenen Verfahren und die CE-Kennzeichnung.
Das schwerwiegendste Risiko ist kein Bußgeld: Produkte, die die Anforderungen nicht erfüllen, dürfen in der EU nicht in Verkehr gebracht werden. Marktüberwachungsbehörden können Rücknahme und Rückruf anordnen.
Bei Verstößen gegen die wesentlichen Sicherheitsanforderungen bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes. Für andere Pflichtverstöße gelten niedrigere Rahmen.
Ab September 2026 läuft bei einer aktiv ausgenutzten Schwachstelle eine 24-Stunden-Frist für die Frühwarnung. Wer erst dann klärt, wer meldet und wohin, hat die Frist bereits verloren.
Wir arbeiten entlang der Fristen: zuerst der Meldeprozess für September 2026, danach die Unterlagen für Dezember 2027.
Welche Ihrer Produkte fallen unter den CRA und in welche Kategorie? Die Einstufung entscheidet über das spätere Konformitätsbewertungsverfahren und damit über den Aufwand.
Priorität eins wegen der Frist im September 2026: Wer erkennt eine aktiv ausgenutzte Schwachstelle, wer bewertet sie, wer meldet innerhalb von 24 und 72 Stunden — und an wen.
Prozess zur Erfassung und Behebung von Schwachstellen, Aufbau der Softwarestückliste, Festlegung des Supportzeitraums und des Update-Verfahrens.
Sicherheitsanforderungen in Entwicklung, Test und Freigabe verankern. Das ist der Teil, der am längsten dauert, weil er Arbeitsweisen berührt.
Technische Unterlagen erstellen, Bewertungsverfahren durchlaufen, Konformitätserklärung und CE-Kennzeichnung. Mit Vorlauf statt auf den letzten Metern.
Der CRA verlangt am Ende prüffähige Unterlagen. Diese hier entstehen im Projekt.
Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.
In 30 Minuten wissen Sie, ob und wie CRA Sie trifft, was zuerst dran ist — und was Sie sich sparen können. Ohne Fachchinesisch, ohne Verkaufsdruck.