Cyber Resilience Act

Übergangsfristen und Anwendungsdaten

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten, gilt aber nicht sofort in vollem Umfang. Die Anwendung erfolgt in Stufen: Zuerst greifen die Regeln zu den Konformitätsbewertungsstellen (Kapitel IV) ab dem 11. Juni 2026, dann die Meldepflichten (Artikel 14) ab dem 11. September 2026 und schließlich die übrigen Pflichten ab dem 11. Dezember 2027.

CRAArt. 71 CRA

Warum diese Pflicht wichtig ist

Die gestaffelten Fristen entscheiden über die Reihenfolge Ihrer Vorbereitung. Wer erst auf den Dezember 2027 hinarbeitet, verpasst die früher greifende Meldepflicht. Die Zeit bis dahin ist knapp: Konformitätsbewertung, technische Dokumentation und Update-Prozesse brauchen Vorlauf.

So setzen Sie die Pflicht um

01Interne Roadmap an den drei Stichtagen ausrichten (Juni 2026, September 2026, Dezember 2027)
02Meldeprozess prioritär bis September 2026 einsatzbereit machen
03Konformitäts- und Dokumentationsprojekte frühzeitig für Dezember 2027 starten
04Bestandsprodukte gesondert betrachten (Meldepflicht gilt auch für sie)
05Fortschritt regelmäßig gegen die Fristen überprüfen

Diese Nachweise sind gefragt

CRA-Fahrplan mit Meilensteinen je Stichtag
Statusnachweis Meldeprozess (Ziel September 2026)
Projektplan Konformität/Dokumentation (Ziel Dezember 2027)

Häufige Fehler

Nur auf 2027 geschautDie Vorbereitung richtet sich allein auf den Dezember 2027, sodass die Meldepflicht ab September 2026 übersehen wird.

Vorlauf unterschätztKonformitätsbewertung und Dokumentation werden zu spät begonnen, obwohl externe Prüfkapazitäten knapp werden können.

Begriffe zum Nachschlagen

Diese Begriffe aus dem Compliance-Lexikon vertiefen den Bereich:

Cyber Resilience Act (CRA)Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der sicheren Entwicklung über das Schwachstellenmanagement bis zur CE-Kennzeichnung.

Häufig gestellte Fragen

Ab wann gilt der CRA vollständig?

Die übrigen Pflichten gelten ab dem 11. Dezember 2027. Bereits seit dem 11. Juni 2026 gelten die Regeln zu Konformitätsbewertungsstellen, seit dem 11. September 2026 die Meldepflichten.

Wann ist der CRA in Kraft getreten?

Am 10. Dezember 2024. Das Inkrafttreten ist von der gestaffelten Anwendung zu unterscheiden.

Gilt der CRA auch für bereits verkaufte Produkte?

Die Meldepflicht gilt ausdrücklich auch für Produkte, die vor dem Stichtag auf dem Markt bereitgestellt wurden. Die übrigen Pflichten knüpfen im Kern an das Inverkehrbringen ab Dezember 2027 an.

Kostenloser Check

Ihren CRA-Handlungsbedarf klären

Der kostenlose CRA-Check zeigt in wenigen Minuten, welche Pflichten für Ihre Produkte und Ihre Rolle gelten und wo Sie jetzt ansetzen sollten.

CRA-Check gratis Demo buchen

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten