buchbar
Branchenvorlage: Hersteller
- Cyber Resilience Act je Produkt bis zur CE-Kennzeichnung
- Funkanlagenrichtlinie mit EN 18031
- Vulnerability-Management mit SBOM
ab 427 € pro Monat zzgl. USt. im Paket Start, Größe S, bei jährlicher Zahlung
Für wen
Complass für Hersteller von Software und vernetzten Geräten
Sie entwickeln Software, Firmware, Apps oder vernetzte Geräte und verkaufen sie in der EU. Seit dem 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen und schwere Vorfälle nach dem Cyber Resilience Act melden, ab dem 11. Dezember 2027 gelten alle Anforderungen an Ihre Produkte. Complass führt Sie je Produkt von der Klassifizierung bis zur CE-Kennzeichnung und durch den Support-Zeitraum.
Die Herausforderung
Melden in 24 Stunden
Für eine aktiv ausgenutzte Schwachstelle bleiben 24 Stunden bis zur Frühwarnung, auch für Produkte, die schon lange auf dem Markt sind. Das gelingt nur mit einem eingeübten Ablauf.
Wissen, was im Produkt steckt
Bibliotheken, Open Source und Komponenten von Zulieferern: Ohne aktuelle Software-Stückliste lässt sich nicht sagen, welches Produkt von einer neuen Schwachstelle betroffen ist.
Mehrere Regelwerke je Produkt
Funkanlagenrichtlinie, CRA, Data Act und gegebenenfalls die KI-Verordnung greifen ineinander, mit eigenen Fristen und Übergängen.
Was für Ihre Produkte gilt
Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen, die sich mit einem Gerät oder Netz verbinden können, also für die meiste Software und fast alle vernetzten Geräte. Ausgenommen sind unter anderem Medizinprodukte und Fahrzeuge mit eigener Typgenehmigung.
Regelwerke: CRA · Funkanlagenrichtlinie · IEC 62443 für Hersteller · Data Act · KI-Verordnung
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht; seit 11. September 2026, auch für Bestandsprodukte Art. 14 CRAArtikel 14 CRA Meldepflichten der Hersteller(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform. (2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Schwachstellen behandeln: Software-Stückliste in einem gängigen maschinenlesbaren Format, Sicherheitsupdates, regelmäßige Tests und eine Anlaufstelle für Hinweise von außen Anhang I Teil II CRAAnhang I Teil II CRA Anforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Einen Support-Zeitraum festlegen, der der erwarteten Nutzungsdauer entspricht, in der Regel mindestens fünf Jahre Art. 13 Abs. 8 CRAArtikel 13 CRA Pflichten der Hersteller(1) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen, gewährleisten die Hersteller, dass dieses Produkt gemäß den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I konzipiert, entwickelt und hergestellt worden ist. (2) Für die Zwecke der Erfüllung von Absatz 1 führen die Hersteller eine Bewertung der Cybersicherheitsrisiken durch, die ein Produkt mit digitalen Elementen birgt, und …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Ab 11. Dezember 2027: Cybersicherheitsanforderungen an das Produkt, Konformitätsbewertung je nach Klasse, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung Anhang I Teil I CRAAnhang I Teil I CRA Cybersicherheitsanforderungen in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen(1) Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten. (2) Auf der Grundlage der Bewertung der Cybersicherheitsrisiken gemäß Artikel 13 Absatz 2 müssen Produkte mit digitalen Elementen, soweit zutreffend, - a) ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt werden, - b) mit …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗ Art. 28 CRAArtikel 28 CRA EU-Konformitätserklärung(1) Die EU-Konformitätserklärung wird vom Hersteller gemäß Artikel 13 Absatz 12 ausgestellt und besagt, dass die Erfüllung der grundlegenden Cybersicherheitsanforderungen in Anhang I nachgewiesen worden ist. (2) Die EU-Konformitätserklärung entspricht in ihrem Aufbau dem Muster in Anhang V und enthält die in den einschlägigen Konformitätsbewertungsverfahren gemäß Anhang VIII angegebenen Elemente. Eine solche …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- Funkprodukte mit Internetanbindung erfüllen schon heute die Cybersicherheitsanforderungen der Funkanlagenrichtlinie, bis der CRA sie zum 11. Dezember 2027 ablöst Art. 3 Abs. 3 REDArtikel 3 RED Grundlegende Anforderungen(1) Funkanlagen müssen so gebaut sein, dass Folgendes gewährleistet ist: - a) der Schutz der Gesundheit und Sicherheit von Menschen und Haus- und Nutztieren sowie der Schutz von Gütern einschließlich der in der Richtlinie 2014/35/EU enthaltenen Ziele in Bezug auf die Sicherheitsanforderungen, jedoch ohne Anwendung der Spannungsgrenze, - b) ein angemessenes Niveau an elektromagnetischer Verträglichkeit gemäß der …Original öffnen (EUR-Lex – konsolidierte Fassung vom 30.05.2026) ↗ DelVO (EU) 2022/30Artikel 1 DelVO (EU) 2022/30(1) Die grundlegende Anforderung nach Artikel 3 Absatz 3 Buchstabe d der Richtlinie 2014/53/EU gilt für alle Funkanlagen, die selbst über das Internet kommunizieren können, unabhängig davon, ob sie direkt oder über andere Geräte kommunizieren („mit dem Internet verbundene Funkanlagen“). (2) Die grundlegende Anforderung nach Artikel 3 Absatz 3 Buchstabe e der Richtlinie 2014/53/EU gilt für die folgenden Funkanlagen, …Original öffnen (EUR-Lex – konsolidierte Fassung vom 27.10.2023) ↗
- Vernetzte Produkte, die seit dem 12. September 2026 in Verkehr gebracht werden, müssen den Nutzern ihre Daten zugänglich machen Art. 3 Data ActArtikel 3 Data Act Pflicht der Zugänglichmachung von Produktdaten und verbundenen Dienstdaten für den Nutzer(1) Vernetzte Produkte werden so konzipiert und hergestellt und verbundene Dienste werden so konzipiert und erbracht, dass die Produktdaten und verbundenen Dienstdaten – einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit …Original öffnen (EUR-Lex – ABl. L 2023/2854 vom 22.12.2023, eingearbeitet: Berichtigung ABl. L 2025/90691 vom 9.9.2025) ↗
Sie sind nicht sicher, welche Regelwerke für Sie gelten? Betroffenheitscheck starten
Kosten, Aufwand und Dauer: nur Berater, Berater mit Complass oder eigene Umsetzung mit Complass? Compliance-Kostenrechner öffnen
KI im Produkt. Enthält Ihr Produkt ein KI-System, prüfen Sie die Einstufung nach der KI-Verordnung. Ist die KI Sicherheitsbauteil eines Produkts, das nach EU-Recht eine Konformitätsbewertung durch Dritte braucht, kann sie hochriskant sein. Transparenzpflichten, etwa bei Chatbots, gelten seit dem 2. August 2026. Art. 6 KI-VOArtikel 6 KI-VO Einstufungsvorschriften für Hochrisiko-KI-Systeme(1) Ungeachtet dessen, ob ein KI-System unabhängig von den unter den Buchstaben a und b genannten Produkten in Verkehr gebracht oder in Betrieb genommen wird, gilt es als Hochrisiko-KI-System, wenn die beiden folgenden Bedingungen erfüllt sind: - a) das KI-System soll als Sicherheitsbauteil eines unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fallenden Produkts verwendet werden oder …Original öffnen (EUR-Lex – konsolidierte Fassung vom 27.07.2026) ↗ Art. 50 KI-VOArtikel 50 KI-VO Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme(1) Die Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der …Original öffnen (EUR-Lex – konsolidierte Fassung vom 27.07.2026) ↗
Allgemeine Information, keine Rechtsberatung. Diese Seite fasst die Rechtslage vereinfacht zusammen und ersetzt keine Prüfung Ihres Einzelfalls. Maßgeblich ist der Wortlaut der Gesetze und Normen.
Typische Unternehmen
Softwarehersteller Schwerpunkt
Standardsoftware, Apps und Firmware: Software-Stückliste, Updates und Meldungen über den gesamten Support-Zeitraum.
Hersteller vernetzter Geräte
Smart-Home-, IoT- und Industriegeräte mit Funk: heute Funkanlagenrichtlinie, ab Dezember 2027 CRA.
Komponenten für industrielle Automatisierung
Steuerungen, Gateways und Netzkomponenten; Router und andere Netzkomponenten gelten teils als wichtiges Produkt mit strengerem Konformitätsverfahren. IEC 62443-4-1 und 4-2 sind ein verbreiteter Rahmen.
Anbieter mit KI-Funktionen
Produkte mit eingebetteter KI: Einstufung nach der KI-Verordnung zusätzlich zum CRA.
So unterstützt Complass
CRA je Produkt
Klassifizierung, Risikobewertung, Anforderungen nach Anhang I, technische Dokumentation und Konformitätserklärung, geführt in Phasen.
Mehr zur FunktionSBOM und Schwachstellen
Software-Stücklisten (CycloneDX, SPDX) importieren, Schwachstellen und Herstellerhinweise (CSAF) zuordnen und SBOM sowie VEX für Kunden und Behörden exportieren.
Mehr zur FunktionCRA-Meldungen mit Countdown
Aktiv ausgenutzte Schwachstelle oder schwerer Vorfall: Complass zeigt die drei Meldestufen mit Frist und die geforderten Angaben.
Mehr zur FunktionSichere Entwicklung nach IEC 62443-4
Ein eigenes Regelwerk für Hersteller mit Vorlagen für den Entwicklungsprozess, das Bedrohungsmodell und den PSIRT-Prozess, verknüpft mit dem CRA.
Passende Angebote
Die Branchenvorlage Hersteller wählt CRA, Funkanlagenrichtlinie und Vulnerability-Management mit SBOM vor. Die KI-Verordnung buchen Sie bei Bedarf dazu.
buchbar
Regelwerk KI-Verordnung
- KI-Systeme erfassen und einstufen
- Pflichten als Anbieter oder Betreiber umsetzen und belegen
ab 79 € pro Monat zzgl. USt. im Paket Praxis, Größe S, bei jährlicher Zahlung
Alle Preise gelten für Unternehmen, nicht für Verbraucher. Sie verstehen sich netto zzgl. USt. bei jährlicher Zahlung; bei monatlicher Zahlung gilt ein Aufschlag von 15 %. Stand 16.10.2026. Enterprise und Unternehmensgruppen auf Anfrage.
Häufige Fragen
Gilt der CRA auch für reine Software?
Ja. Auch Software, die eigenständig verkauft wird, ist ein Produkt mit digitalen Elementen. Reine Cloud-Dienste ohne Produktbezug fallen in der Regel nicht unter den CRA, sondern unter NIS2. Datenverarbeitung aus der Ferne, ohne die ein Produkt seine Funktion nicht erfüllen kann, gehört dagegen zum Produkt.
Was müssen wir seit dem 11. September 2026 tun?
Sie müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform melden, mit Frühwarnung binnen 24 Stunden. Das gilt auch für Produkte, die Sie vor diesem Datum in Verkehr gebracht haben.
Brauchen wir IEC 62443, wenn wir den CRA umsetzen?
Die Normenreihe ist keine Pflicht, wird aber für industrielle Komponenten häufig verlangt. IEC 62443-4-1 beschreibt Anforderungen an einen sicheren Entwicklungsprozess, IEC 62443-4-2 technische Sicherheitsanforderungen an Komponenten. Complass verknüpft beides mit den Anforderungen des CRA.
Weiterlesen
Zum Weiterlesen
Cyber Resilience Act für Hersteller von Hardware und Software
Whitepaper ansehenSecure Development für Hersteller
Whitepaper ansehenFunkanlagenrichtlinie: Cybersicherheit für vernetzte Funkanlagen bis zum CRA
Whitepaper ansehenAsset-Inventar, SBOM und Schwachstellenmanagement: wissen, was läuft, und belegen, was Sie tun
Whitepaper ansehenLeitfaden
Weitere Branchen und Rollen
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.