Sie entwickeln Maschinen, Steuerungen, Komponenten oder Software und bringen sie in der EU in Verkehr. Mit dem Cyber Resilience Act und der Maschinenverordnung wird Cybersicherheit Teil der CE-Kennzeichnung. Complass führt Sie je Produkt bis zur Konformitätserklärung.
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, mit früher Warnung binnen 24 Stunden, seit 11. September 2026 Art. 14 CRAArtikel 14 CRAMeldepflichten der Hersteller(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform. (2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
Produkte nach den Anforderungen aus Anhang I des CRA entwickeln und die Risikobewertung dokumentieren Art. 13 CRAArtikel 13 CRAPflichten der Hersteller(1) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen, gewährleisten die Hersteller, dass dieses Produkt gemäß den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I konzipiert, entwickelt und hergestellt worden ist. (2) Für die Zwecke der Erfüllung von Absatz 1 führen die Hersteller eine Bewertung der Cybersicherheitsrisiken durch, die ein Produkt mit digitalen Elementen birgt, und …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
Schwachstellen über den Support-Zeitraum behandeln, mit SBOM und kostenlosen Sicherheitsupdates Anhang I Teil II CRAAnhang I Teil II CRAAnforderungen an die Behandlung von SchwachstellenDie Hersteller von Produkten mit digitalen Elementen müssen (1) Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen; (2) im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
Technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung, ab 11. Dezember 2027 Art. 71 CRAArtikel 71 CRAInkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
Schutz gegen Korrumpierung und Sicherheit der Steuerung nach der Maschinenverordnung, ab 20. Januar 2027 Anhang III Nr. 1.1.9 MVOAnhang III Abschnitt 1.1.9 MaschinenVOSchutz gegen KorrumpierungDie Maschine bzw. das dazugehörige Produkt muss so konstruiert und gebaut sein, dass der Anschluss einer anderen Einrichtung an die Maschine oder das dazugehörige Produkt durch jede Funktion der angeschlossenen Einrichtung selbst oder über eine mit der Maschine bzw. dem dazugehörigen Produkt kommunizierende entfernte Fernzugriffseinrichtung nicht zu einer gefährlichen Situation führt. Ein Hardware-Bauteil, das …Stand: 06.10.2026 · Quelle: EUR-Lex – konsolidierte Fassung vom 27.07.2026 (Berichtigungen ABl. L 169 vom 4.7.2023 und ABl. L 2025/90297 eingearbeitet)Original öffnen (EUR-Lex – konsolidierte Fassung vom 27.07.2026 (Berichtigungen ABl. L 169 vom 4.7.2023 und ABl. L 2025/90297 eingearbeitet)) ↗
Kosten, Aufwand und Dauer: nur Berater, Berater mit Complass oder eigene Umsetzung mit Complass? Compliance-Kostenrechner öffnen
Allgemeine Information, keine Rechtsberatung. Diese Seite fasst die Rechtslage vereinfacht zusammen und ersetzt keine Prüfung Ihres Einzelfalls. Maßgeblich ist der Wortlaut der Gesetze und Normen.
Branchen und Produkte
Maschinen- und Anlagenbau Schwerpunkt
CRA und Maschinenverordnung je Maschine nebeneinander, von der Steuerung bis zum Fernzugang. Der Bereich, den Complass am tiefsten abdeckt.
Komponenten, Steuerungen und IoT
SPS, Sensorik und vernetzte Geräte mit IEC 62443-4-2 als Grundlage. Funkprodukte zusätzlich nach der Funkanlagenrichtlinie mit EN 18031.
Software
Eigenständige Software mit digitalen Elementen fällt unter den CRA. Reine Cloud-Dienste ohne zugehöriges Produkt regelt in der Regel nicht der CRA, sondern NIS2.
Vernetzte Produkte und KI
Datenzugang für Nutzer vernetzter Produkte nach dem Data Act, KI-Funktionen im Produkt nach der KI-Verordnung.
So unterstützt Complass
CRA je Produkt
Klassifizierung als Standardprodukt, wichtiges oder kritisches Produkt, Anforderungen aus Anhang I, Konformitätsbewertung und Unterlagen bis zur CE-Kennzeichnung.
Sichere Produktentwicklung nach IEC 62443-4-1 und Komponentenanforderungen nach 62443-4-2, verknüpft mit dem CRA.
Passendes Paket
Was Sie als Hersteller mindestens brauchen
Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check
Was Sie mindestens brauchen
Wenn Sie Hersteller im Sinne des CRA sind: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.
Portalgröße Start
Cyber Resilience Act (CRA): Grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung. (Art. 13 CRA (öffnet in neuem Tab))
Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK): Schwachstellen behandeln und für aktiv ausgenutzte Schwachstellen binnen 24 Stunden eine Frühwarnung abgeben. (Art. 14, Anhang I Teil II CRA (öffnet in neuem Tab))
Incident-Management: inklusive
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz): inklusive
Preis der Mindestauswahl
Position
Preis netto pro Monat
Start S
179 €
Cyber Resilience Act (CRA)
enthalten
Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK)
149 €
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)
enthalten
Zusammen
328 € netto/Monat
Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.
Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise
Weitere Pakete
Für Produkte nach dem CRA gibt es die Branchenvorlage Hersteller. Hersteller von Medizinprodukten fallen nicht unter den CRA; für sie ist die Vorlage Medizintechnik gedacht.
buchbar
Branchenvorlage: Hersteller
Cyber Resilience Act je Produkt bis zur CE-Kennzeichnung
Funkanlagenrichtlinie mit EN 18031
Vulnerability-Management mit SBOM
ab 427 € pro Monat zzgl. USt. im Paket Start, Größe S, bei jährlicher Zahlung
Alle Preise gelten für Unternehmen, nicht für Verbraucher. Sie verstehen sich netto zzgl. USt. bei jährlicher Zahlung; bei monatlicher Zahlung gilt ein Aufschlag von 15 %. Stand 16.10.2026. Enterprise und Unternehmensgruppen auf Anfrage.
Häufige Fragen
Fällt unser Produkt unter den CRA?+
Der CRA gilt für Produkte mit digitalen Elementen, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden können. Das betrifft die meisten Steuerungen, vernetzten Maschinen und Software. Ausnahmen gibt es unter anderem für Produkte mit eigenen Regeln, etwa Medizinprodukte und Fahrzeuge. Der Betroffenheitscheck und die Klassifizierung je Produkt in Complass zeigen, in welche Klasse Ihr Produkt fällt.
Wie hängen CRA und Maschinenverordnung zusammen?+
Beide verlangen Cybersicherheit, aus unterschiedlicher Sicht: der CRA für das Produkt mit digitalen Elementen, die Maschinenverordnung für die sichere Funktion der Maschine. Viele Unterlagen, etwa Risikobeurteilung und technische Dokumentation, nutzen Sie für beide. Complass führt beide Regelwerke je Produkt nebeneinander.
Wir stellen her und betreiben eine eigene Fertigung. Brauchen wir zwei Lösungen?+
Nein. In Complass führen Sie Ihre Produkte nach CRA und Maschinenverordnung und Ihren eigenen Betrieb nach NIS2, ISO 27001 oder IEC 62443 im selben Konto.
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
