Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

Regelwerk

Cyber Resilience Act (EU) 2024/2847

Die Cyberresilienz-Verordnung stellt Anforderungen an Produkte mit digitalen Elementen über den gesamten Lebenszyklus. Complass führt produktbezogen von der Anwendbarkeit bis zur CE-Kennzeichnung.

Kostenlos testen Demo anfragen
Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“
Compliance-Management in 20 Sekunden Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist CRA?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen an Produkte mit digitalen Elementen. Er verlangt Sicherheit ab Entwurf, Schwachstellenbehandlung über den Unterstützungszeitraum, Meldungen aktiv ausgenutzter Schwachstellen und eine Konformitätsbewertung mit CE-Kennzeichnung.

Stand der Inhalte:

Bin ich betroffen?

Der CRA gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, also Hardware und Software mit Datenverbindung, etwa Steuerungen, Geräte und Anwendungen. Pflichten treffen vor allem Hersteller, daneben Einführer und Händler. Ausnahmen gelten u. a. für Produkte, die bereits unter bestimmte andere EU-Vorschriften fallen.

Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026, auch für Produkte, die schon vorher in Verkehr gebracht wurden.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

Wichtige Fristen

  1. Inkrafttreten der Verordnung · Art. 71 Abs. 1Artikel 71 CRA Inkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
  2. Kapitel IV (notifizierte Stellen, Art. 35–51) gilt · Art. 71 Abs. 2Artikel 71 CRA Inkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
  3. Meldepflichten nach Art. 14 gelten – auch für Bestandsprodukte · Art. 71 Abs. 2, Art. 69 Abs. 3Artikel 71 CRA Inkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
  4. EHR-Systeme: Konformitätsbewertung nach der EHDS-Verordnung (Art. 32 Abs. 5a); Änderung von Art. 13 Abs. 4 und Art. 31 Abs. 3 · Art. 104 VO (EU) 2025/327Artikel 71 CRA Inkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
  5. Vollständige Geltung der Verordnung · Art. 71 Abs. 2Artikel 71 CRA Inkrafttreten und Geltungsbeginn(1) Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
  6. 24 Stunden / 72 Stunden / 14 Tage Frühwarnung, Meldung und Abschlussbericht bei aktiv ausgenutzten Schwachstellen (Abschlussbericht 14 Tage nach verfügbarer Korrektur) · Art. 14 CRAArtikel 14 CRA Meldepflichten der Hersteller(1) Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA. Der Hersteller meldet diese aktiv ausgenutzte Schwachstelle über die gemäß Artikel 16 eingerichtete einheitliche Meldeplattform. (2) Für die Zwecke der Mitteilung gemäß Absatz 1 legt der …Stand: 06.10.2026 · Quelle: EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗

Meldefristen für Ihren Fall kostenlos berechnen

Wie Complass hilft

  • 10Phasen
  • 33geführte Schritte
  • 17Dokumentvorlagen
  • 32Anforderungen im Katalog

  • Je Produkt ein Projekt

    Zehn Phasen von Anwendbarkeit und Rolle über Klassifizierung und Risikobewertung bis zur Konformitätserklärung, den Pflichten nach dem Inverkehrbringen und der Produkthaftung.

  • Katalog zu Anhang I

    Grundlegende Cybersicherheitsanforderungen und Schwachstellenbehandlung mit Status und Nachweis, verknüpfbar mit IEC 62443-3-3 und der Maschinenverordnung.

  • Schwachstellen im eigenen Produkt

    SBOM importieren, Komponenten laufend gegen öffentliche Schwachstellendaten abgleichen und bei aktiver Ausnutzung den Vorfall nach Art. 14 vorbelegt anlegen.

  • Technische Dokumentation

    Vorlagen u. a. für Risikobewertung, SBOM-Konzept, Schwachstellenmanagement-Prozess, Offenlegungsrichtlinie, Nutzerinformationen nach Anhang II und EU-Konformitätserklärung.

In der Tour ansehen

Die Phasen im Modul

  1. Anwendbarkeit, Rolle und Zeitplan
  2. Produktbeschreibung, Klassifizierung und Konformitätsbewertungsverfahren
  3. Cybersicherheits-Risikobewertung
  4. Grundlegende Cybersicherheitsanforderungen an das Produkt (Anhang I Teil I)
  5. Schwachstellenbehandlung, SBOM und Unterstützungszeitraum (Anhang I Teil II)
  6. Meldepflichten nach Art. 14 (gelten seit 11.09.2026)
  7. Nutzerinformationen und technische Dokumentation
  8. Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung
  9. Pflichten nach dem Inverkehrbringen (Post-Market)
  10. Produkthaftung nach der Richtlinie (EU) 2024/2853

Katalog: Anhang I – Grundlegende Cybersicherheitsanforderungen

Passende Bausteine

Vulnerability-Management

Bekannte Schwachstellen Ihrer Assets finden, im Kontext priorisieren und mit Empfehlungen und Fristen abarbeiten.

Mehr erfahren

Incident-Management

Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.

Mehr erfahren

Compliance-Management

Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.

Mehr erfahren

CE-Cyber-Akte je Produkt

CRA und Maschinenverordnung in einer Akte je Produkt und Version: Anforderungen, SBOM, Schwachstellen, Supportzeitraum. Technische Dokumentation und EU-Konformitätserklärung erstellt Complass als Entwurf.

Was Sie als Hersteller mindestens brauchen

Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check

Was Sie mindestens brauchen

Wenn Sie Hersteller im Sinne des CRA sind: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.

Portalgröße Start

  • Cyber Resilience Act (CRA): Grundlegende Anforderungen, Konformitätsbewertung und CE-Kennzeichnung. (Art. 13 CRA (öffnet in neuem Tab))
  • Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK): Schwachstellen behandeln und für aktiv ausgenutzte Schwachstellen binnen 24 Stunden eine Frühwarnung abgeben. (Art. 14, Anhang I Teil II CRA (öffnet in neuem Tab))
  • Incident-Management: inklusive
  • DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz): inklusive
Preis der Mindestauswahl
PositionPreis netto pro Monat
Start S179 €
Cyber Resilience Act (CRA)enthalten
Schwachstellen und Angriffstechniken (inkl. SBOM, CRA-Produktakte, MITRE ATT&CK)149 €
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)enthalten
Zusammen328 € netto/Monat

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

14 Tage kostenlos testen: Mindestauswahl Hersteller Bestellen: Mindestauswahl Hersteller

Auswahl in der Preisübersicht anpassen: Mindestauswahl Hersteller

Sind Sie nur Einführer oder Händler (Art. 19, 20 CRA), reicht in Complass das Regelwerk CRA ohne Schwachstellen-Baustein: Start, 179 € netto/Monat. Wer Produkte unter eigenem Namen anbietet oder wesentlich ändert, gilt als Hersteller (Art. 21, 22 CRA). Auswahl ansehen: Mindestauswahl Einführer oder Händler

Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Wir bauen Maschinen mit Steuerung. Gilt für uns CRA oder Maschinenverordnung?

Häufig beides. Complass zeigt die Überschneidungen und verknüpft die Kataloge, damit Sie Nachweise nur einmal erbringen.

Übermittelt Complass die Meldung an die ENISA?

Nein. Complass berechnet die Fristen und bereitet die Inhalte vor; die Meldung geben Sie über die Meldeplattform ab.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen