CRA-Kurzübersicht für Hersteller
Fristen, Meldekriterien und die Schritte zur Registrierung auf einer Seite. Für alle, die Produkte mit digitalen Elementen in der EU anbieten: Hardware mit Software oder Firmware, Software und Komponenten.
Zwei Termine
Was ist meldepflichtig?
| Ereignis | Meldepflichtig, wenn … | Nicht ausreichend |
|---|---|---|
| Aktiv ausgenutzte Schwachstelle (Art. 3 Nr. 42, Art. 14 Abs. 1) |
ihr belastbare Kenntnis habt, dass ein böswilliger Akteur die Schwachstelle ohne Erlaubnis in einem System ausgenutzt hat, etwa durch Kunden, Integratoren, Sicherheitsforscher, Dienstleister oder Behörden | ein veröffentlichter Exploit ohne beobachtete Ausnutzung, ein Laborbefund |
| Schwerwiegender Sicherheitsvorfall (Art. 3 Nr. 44, Art. 14 Abs. 5) |
der Vorfall die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler Daten oder Funktionen zu schützen, oder zur Ausführung schädlichen Codes im Produkt oder beim Nutzer führt oder führen kann | ein Ransomware-Vorfall im eigenen Unternehmen ohne Auswirkung auf die Sicherheit des Produkts (NIS2 kann trotzdem greifen) |
Die Fristen nach Art. 14
| Stufe | Schwachstelle | Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis |
| Meldung | 72 Stunden ab Kenntnis | 72 Stunden ab Kenntnis |
| Abschlussbericht | 14 Tage nach verfügbarer Abhilfe | 1 Monat nach der Meldung |
Gemeldet wird über die CRA Single Reporting Platform (SRP) der ENISA, auf Englisch und mit EU-Login. Eine Meldung erreicht das koordinierende CSIRT und deckt alle EU-Mitgliedstaaten ab.
Registrierung auf der SRP in acht Schritten
Eine Registrierung ist ohne Meldebedarf nicht Pflicht. Sie dauert aber nur Minuten und spart im Ernstfall Stunden.
- Rolle als Assigned Representative (AR) auswählen
- Zuständiges Land mit dem als Koordinator benannten CSIRT wählen (siehe Art. 14 Abs. 7 CRA)
- Über EU-Login anmelden oder registrieren
- Rechtliche Nutzungsbedingungen akzeptieren
- Vorausgefüllte persönliche Angaben prüfen
- Angaben zum vertretenen Hersteller eintragen
- Vertreterin oder Vertreter als Backup einladen
- Meldungen bei Bedarf abgeben
Anleitungen der ENISA: Registrierung · Einstellungen und Vertretungen · Meldungen abgeben und aktualisieren
Konformitätsbewertung
Rund 90 % der Produkte dürfen per Selbstbewertung das CE-Kennzeichen tragen. Wichtige Produkte der Klasse 2 und kritische Produkte (Anhänge III und IV des CRA) brauchen eine Drittstelle. Harmonisierte europäische Normen gibt es noch nicht. Als Orientierung empfiehlt das BSI seine Technische Richtlinie TR-03183.
Ein Ereignis, mehrere Pflichten
| CRA | NIS2 / KRITIS | DSGVO | |
|---|---|---|---|
| Auslöser | Ausgenutzte Schwachstelle oder schwerer Vorfall am Produkt | Erheblicher Sicherheitsvorfall im eigenen Betrieb | Verletzung des Schutzes personenbezogener Daten |
| Empfänger | ENISA SRP → koordinierendes CSIRT | BSI | Datenschutz-Aufsichtsbehörde |
| Fristen | 24 h · 72 h · 14 Tage / 1 Monat | 24 h · 72 h · 1 Monat | 72 h |
Unser Rat: Baut die CRA-Meldung nicht als Insel. Incident- und Problem-Management (ITIL), Schwachstellen- und Änderungsmanagement in der Entwicklung (z. B. nach Automotive SPICE) und euer ISMS nach ISO 27001, IT-Grundschutz oder TISAX liefern Rollen, Fakten und Eskalation. Ein gemeinsames Meldeschema entscheidet in der ersten Stunde, welche Pflichten greifen und wer welche Meldung abgibt.
Vereinfachte Darstellung. Quellen: VO (EU) 2024/2847 Art. 14 · RL (EU) 2022/2555 Art. 23 · DSGVO Art. 33.
Was ihr diese Woche tun könnt
- Festlegen, wer im Unternehmen CRA-Meldungen abgibt, und eine Vertretung benennen
- Beide Personen auf der SRP registrieren
- Prüfen, über welche Kanäle ihr von ausgenutzten Schwachstellen erfahrt (Kunden, Integratoren, Sicherheitsforscher, Dienstleister)
- Die CRA-Meldung in euren bestehenden Incident- und Meldeprozess für NIS2, KRITIS und Datenschutz einhängen
- Eure Produkte grob einordnen: Selbstbewertung oder Drittstelle?
- Bei KMU: Förderfähigkeit für SECURE4SME prüfen, bevor das Projekt startet
Förderung für KMU
SECURE4SME fördert die CRA-Umsetzung mit bis zu 30.000 € je KMU bei 50 % Förderquote. Antragsfrist ist der 11. Dezember 2026. Gefördert werden nur Kosten ab Projektbeginn, deshalb zuerst den Antrag stellen.1
1 Angaben laut BSI (Webinar „CRAsh-Kurs“ vom 20.10.2026) und Nationalem Koordinierungszentrum für Cybersicherheit (NKCS) beim BSI: www.nkcs.bund.de. Maßgeblich sind allein die jeweils aktuellen Förderbedingungen. ATM Consulting unterstützt bei der Prüfung der Förderfähigkeit und beim Antrag, kann eine Förderung aber nicht zusagen; über Bewilligung und Höhe entscheidet ausschließlich der Fördergeber.
Wo steht ihr?
Im Erstgespräch klären wir, welche Produkte betroffen sind, wie ihr den Meldeprozess in euer Managementsystem einbettet und ob sich ein Förderantrag lohnt.
Quellen: BSI, CRAsh-Kurs „Startklar für den Cyber Resilience Act“ (20.10.2026), www.bsi.bund.de/dok/cra; Verordnung (EU) 2024/2847 (Cyber Resilience Act); ENISA, CRA Single Reporting Platform Guidance. Diese Übersicht ist keine Rechtsberatung.