CRA-Zeitplan: alle Termine der Cyberresilienz-Verordnung

Der Cyber Resilience Act wird oft auf ein Datum reduziert, den 11. Dezember 2027. Dieses Datum ist wichtig, aber zwei andere sind bereits verstrichen: Die Vorschriften für Konformitätsbewertungsstellen gelten seit dem 11. Juni 2026 und die Pflicht, ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden, seit dem 11. September 2026. Hier ist der ganze Kalender, mit dem, was jedes Datum für Software- und Gerätehersteller bedeutet.

Der Zeitplan auf einen Blick

Datum	Was geschieht
15. September 2022	Die Europäische Kommission schlägt die Verordnung vor.
30. November 2023	Parlament und Rat erzielen eine politische Einigung.
12. März 2024	Das Europäische Parlament nimmt den Text an.
10. Oktober 2024	Der Rat nimmt ihn an.
20. November 2024	Die Verordnung (EU) 2024/2847 wird im Amtsblatt veröffentlicht.
10. Dezember 2024	Sie tritt in Kraft. Die Übergangsfristen beginnen.
3. April 2025	CEN, CENELEC und ETSI nehmen den Normungsauftrag der Kommission für harmonisierte Normen an (M/606).
1. Dezember 2025	Die technischen Beschreibungen wichtiger und kritischer Produkte werden veröffentlicht (Durchführungsverordnung (EU) 2025/2392, in Kraft seit dem 21. Dezember 2025).
11. Juni 2026	Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen gelten (Kapitel IV).
27. Juli 2026	Die Kommission veröffentlicht ihre Leitlinien zur Anwendung des CRA (Artikel 26).
11. September 2026	Die Meldepflichten gelten (Artikel 14). Die einheitliche Meldeplattform der ENISA startet.
Ende 2026 und 2027	Die harmonisierten Normen werden geliefert und dann im Amtsblatt zitiert.
11. Dezember 2027	Die Verordnung gilt vollständig.
11. Juni 2028	Bescheinigungen, die nach anderem EU-Recht für Cybersicherheitsanforderungen ausgestellt wurden, verlieren ihre Gültigkeit.

10. Dezember 2024: Inkrafttreten

Der CRA wurde zwanzig Tage nach seiner Veröffentlichung geltendes Recht. An diesem Tag wurde von Herstellern noch nichts verlangt: Artikel 71 gibt ihnen 21 Monate zur Vorbereitung auf die Meldepflichten und 36 Monate für alles Übrige.

11. Juni 2026: notifizierte Stellen

Wichtige Produkte der Klasse II und kritische Produkte brauchen einen Dritten, der ihre Konformität bewertet, und einige Produkte der Klasse I ebenfalls. Seit Juni 2026 können die Mitgliedstaaten diese Konformitätsbewertungsstellen benennen und notifizieren, damit sie vor Dezember 2027 bereitstehen. Wenn Ihr Produkt eine solche Stelle braucht, ist jetzt der Moment, sie zu suchen: Die Kapazitäten werden knapp.

11. September 2026: die Meldepflicht beginnt

Dieses Datum übersehen die meisten Darstellungen. Seit dem 11. September 2026 muss jeder Hersteller den Behörden über die einheitliche Meldeplattform der ENISA melden:

• aktiv ausgenutzte Schwachstellen in seinen Produkten und
• schwerwiegende Sicherheitsvorfälle, die deren Sicherheit beeinträchtigen,

mit einer Frühwarnung innerhalb von 24 Stunden, einer Meldung innerhalb von 72 Stunden und später einem Abschlussbericht. Die Pflicht gilt für jedes erfasste Produkt, das bereits auf dem EU-Markt ist, nicht nur für Produkte, die nach 2027 in Verkehr gebracht werden (Artikel 69 Absatz 3). Unser Leitfaden zur Uhr mit 24 Stunden, 72 Stunden und 14 Tagen erklärt jeden Schritt.

Zwei Feinheiten: Nach den Leitlinien der Kommission muss eine Ausnutzung, von der Sie bereits vor dem 11. September 2026 wussten, nicht nachträglich gemeldet werden (erfahren Sie erst danach davon, startet die Uhr dann); und gegen Kleinst- und kleine Unternehmen kann allein wegen einer versäumten 24-Stunden-Frühwarnung keine Geldbuße verhängt werden (Artikel 64 Absatz 10). Die übrigen Fristen gelten für sie weiterhin.

Harmonisierte Normen: Ende 2026 bis 2027

Die grundlegenden Anforderungen aus Anhang I sind als Ergebnisse formuliert. Harmonisierte Normen werden sagen, wie man sie erfüllt, und wer eine Norm anwendet, sobald sie im Amtsblatt zitiert ist, profitiert von einer Konformitätsvermutung. Die Normungsorganisationen schreiben rund 41 davon: horizontale Normen für alle Produkte (sichere Entwicklung, Umgang mit Schwachstellen, allgemeine Anforderungen) und vertikale Normen für die Kategorien wichtiger und kritischer Produkte.

Die ursprünglichen Fristen für die Lieferung der ersten Normen an die Kommission (August und Oktober 2026) wurden überschritten, und die Kommission hat neue vorgeschlagen. Stand Ende Oktober 2026 war noch keine harmonisierte Norm zum CRA im Amtsblatt zitiert. Warten Sie nicht darauf: Die Pflichten gelten zu ihren Terminen, ob es die Normen gibt oder nicht, und ausgereifte Entwürfe wie prEN 40000-1-3 zum Umgang mit Schwachstellen sind bereits eine gute Orientierung.

Am meisten betrifft das Produkte der Klasse I: Ohne zitierte harmonisierte Norm (oder gemeinsame Spezifikation oder Zertifizierungsschema) steht ihnen die Selbstbewertung nicht offen, und eine notifizierte Stelle wird nötig (Artikel 32 Absatz 2), außer bei freien und quelloffenen Produkten, deren technische Dokumentation öffentlich ist (Artikel 32 Absatz 5).

11. Dezember 2027: vollständige Anwendung

Ab diesem Datum muss ein auf dem EU-Markt in Verkehr gebrachtes Produkt mit digitalen Elementen:

• die grundlegenden Anforderungen aus Anhang I erfüllen (Sicherheit durch Technikgestaltung und Umgang mit Schwachstellen, einschließlich einer SBOM);
• mit seiner technischen Dokumentation (Anhang VII) und einer EU-Konformitätserklärung einhergehen;
• die CE-Kennzeichnung tragen;
• während seines Unterstützungszeitraums Sicherheitsupdates erhalten, in der Regel mindestens fünf Jahre.

Einführer und Händler übernehmen ihre eigenen Prüfpflichten, Verwalter quelloffener Software ihre leichteren Pflichten, und die Mitgliedstaaten müssen ihre Sanktionsvorschriften erlassen haben. Geldbußen erreichen 15 Mio. € oder 2,5 % des weltweiten Umsatzes bei Verstößen gegen die grundlegenden Anforderungen und die Herstellerpflichten.

Bereits vor diesem Datum auf dem Markt befindliche Produkte müssen nicht konform gemacht werden, es sei denn, sie werden danach wesentlich geändert (Artikel 69 Absatz 2). Die Regel gilt für jedes einzelne Exemplar: Ein Modell, das Sie nach dem 11. Dezember 2027 weiter verkaufen, muss für die ab dann in Verkehr gebrachten Exemplare konform sein.

11. Juni 2028: der letzte Übergang

EU-Baumusterprüfbescheinigungen und Genehmigungsbeschlüsse, die bereits nach anderem EU-Recht für Cybersicherheitsanforderungen ausgestellt wurden (zum Beispiel nach der Funkanlagenrichtlinie), bleiben bis zum 11. Juni 2028 gültig, sofern sie nicht früher ablaufen (Artikel 69 Absatz 1).

Was jetzt zu tun ist

1. Prüfen Sie, ob der CRA gilt, für jedes Produkt und in welcher Klasse. Unser kostenloser Check dauert fünf Minuten.
2. Seien Sie heute meldebereit: Kennen Sie Ihre Komponenten, überwachen Sie sie auf ausgenutzte Schwachstellen und üben Sie die 24-Stunden-Frühwarnung.
3. Reservieren Sie eine notifizierte Stelle, wenn Ihr Produkt Klasse II oder kritisch ist, oder Klasse I ohne Norm, auf die Sie sich stützen können.
4. Bauen Sie die technische Akte nach und nach auf: SBOM für jede Version, Risikobewertung, Prozess zum Umgang mit Schwachstellen und Strategie für die koordinierte Offenlegung von Schwachstellen.

Wie Provetry hilft

Provetry überwacht jede Komponente Ihrer Versionen auf neue und ausgenutzte Schwachstellen, startet die Meldeuhr mit Entwürfen für die ENISA und bewahrt die Nachweise und die Dokumentation auf, die der CRA verlangt, damit jedes dieser Daten Sie bereit findet.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen

• Verordnung (EU) 2024/2847, die Cyberresilienz-Verordnung, Artikel 14, 32, 64, 69 und 71
• Durchführungsverordnung (EU) 2025/2392 der Kommission zur technischen Beschreibung wichtiger und kritischer Produkte
• Europäische Kommission: Cyberresilienzgesetz, Umsetzung und Leitlinien
• ENISA: Single Reporting Platform
• Europäische Kommission: Leitlinien zur Anwendung des CRA, C(2026) 5252 (Englisch)
• CEN-CENELEC: Normungsauftrag zum CRA angenommen (Englisch)