Kostenloser Check · Cyber Resilience Act

CRA-Check - Betrifft Sie der Cyber Resilience Act?

Bis zu 5 Fragen, rund 2 Minuten, ohne Registrierung. Sie erfahren, ob der Cyber Resilience Act für Sie gilt, welche Rolle und Produktklasse greift und was die Meldepflicht nach Art. 14 seit dem 11. September 2026 verlangt.

CRA-Check starten

Kostenlos · Ohne Registrierung · Ergebnis sofort auf der Seite

01ProduktStellen Sie ein Produkt mit Software oder Firmware auf dem EU-Markt bereit?

02RolleWelche Rolle beschreibt Sie am besten?

03DatenverbindungHat das Produkt eine direkte oder indirekte Datenverbindung?

04AusnahmeFällt Ihr Produkt in einen ausgenommenen Bereich?

05ProduktklasseWelche Beschreibung trifft am ehesten zu?

Rolle und Produktklasse · Server, Datenbank und Dateien in Rechenzentren in Frankfurt

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller, ihre Produkte mit digitalen Elementen über den gesamten Lebenszyklus abzusichern. Betroffen ist fast jede Hard- oder Software mit direkter oder indirekter Datenverbindung.

Die meisten Pflichten - Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation - gelten ab dem 11. Dezember 2027. Die Meldepflicht nach Artikel 14 gilt dagegen schon seit dem 11. September 2026, ausdrücklich auch für Produkte, die bereits auf dem Markt sind.

Mit unserem kostenlosen CRA-Check klären Sie in wenigen Minuten, ob und wie Sie betroffen sind - inklusive Ihrer Rolle (Hersteller, Importeur, Händler) und der maßgeblichen Produktklasse.

Wer ist vom CRA betroffen?

Der CRA unterscheidet nach Ihrer Rolle in der Lieferkette - mit deutlich unterschiedlichen Pflichten.

Volle Pflichten

Hersteller

Wer eigene Software oder Geräte entwickelt oder unter eigenem Namen vertreibt: Konformitätsbewertung, CE, Schwachstellenmanagement und Meldepflicht.

Erweiterte Prüfpflichten

Importeur

Wer Produkte von außerhalb der EU auf den EU-Markt bringt: Herstellerpflichten und CE prüfen, seit dem 11.09.2026 in die Meldekette eingebunden.

Reduzierte Pflichten

Händler

Wer fremde Produkte unverändert weiterverkauft: nur konforme Produkte bereitstellen, keine eigene Konformitätsbewertung, keine Meldepflicht.

Wichtig für Systemhäuser und MSPs: Wer fremde Produkte nur weiterverkauft, ist Händler mit reduzierten Pflichten. Wer aber eigene Software entwickelt und auf den Markt bringt, ist Hersteller - und voll in der Pflicht.

CRA-Meldefristen im Überblick

Die Meldepflicht nach Art. 14 gilt seit dem 11.09.2026, auch für Produkte, die schon auf dem Markt sind. Die übrigen Pflichten folgen ab dem 11.12.2027.

24 StundenFrühwarnungab Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls

72 StundenMeldungmit ergriffenen Korrektur- oder Abhilfemaßnahmen

14 TageAbschlussbericht (Schwachstelle)nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme

1 MonatAbschlussbericht (Vorfall)nach der Meldung eines schwerwiegenden Vorfalls

Sanktionen bei Verstößen

Grundlegende Anforderungen & Art. 13/14bis 15 Mio. EURoder 2,5 % des weltweiten Jahresumsatzes

Maßgeblich ist jeweils der höhere Betrag. Hinzu kommen mögliche Marktrücknahmen, Vertriebsverbote und Reputationsschäden.

Kostenloser CRA-Check

Häufige Fragen zum CRA-Check

Was kostet der CRA-Check?

Der CRA-Fast-Check ist komplett kostenlos und ohne Registrierung nutzbar. In rund 2 Minuten erhalten Sie eine Einschätzung, ob und wie der Cyber Resilience Act Sie betrifft.

Ab wann gilt die CRA-Meldepflicht?

Die Meldepflicht nach Artikel 14 des Cyber Resilience Act gilt seit dem 11. September 2026. Die übrigen CRA-Pflichten greifen erst ab dem 11. Dezember 2027.

Gilt die CRA-Meldepflicht auch für Bestandsprodukte?

Ja. Anders als die meisten CRA-Pflichten gilt die Meldepflicht auch für Produkte mit digitalen Elementen, die bereits vor dem Stichtag auf dem EU-Markt bereitgestellt wurden.

Wie schnell muss nach dem CRA gemeldet werden?

Die erste Frühwarnung ist innerhalb von 24 Stunden nach Kenntnis fällig, eine ausführlichere Meldung nach 72 Stunden, der Abschlussbericht nach 14 Tagen bei Schwachstellen beziehungsweise einem Monat bei schwerwiegenden Vorfällen.

An wen wird nach dem CRA gemeldet?

Gemeldet wird an die ENISA und das zuständige nationale CSIRT über die zentrale Meldeplattform (Single Reporting Platform) nach Artikel 16.

Sind Systemhäuser und MSPs vom CRA betroffen?

Wer fremde Produkte nur weiterverkauft, ist Händler mit reduzierten Pflichten. Wer eigene Software entwickelt und auf den Markt bringt, ist Hersteller und trägt die vollen Pflichten inklusive Meldepflicht.

Was droht bei Verstoß gegen die CRA-Meldepflicht?

Bei Verstößen gegen die grundlegenden Sicherheitsanforderungen sowie die Pflichten aus Artikel 13 und 14 drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

CRA-Betroffenheit jetzt prüfen

CRA-Check starten - kostenlos

Klärt in 2 Minuten Ihre Rolle, Produktklasse und die seit dem 11.09.2026 geltende Meldepflicht. Im Produkt-Register folgen 52 Fragen zu Anhang I je Produkt.