EU-CRA: aktueller Stand und Zeitplan

01Was gilt heute?

Stand 27. Oktober 2026 gelten zwei Teile des CRA: die Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen (seit 11. Juni 2026) und die Meldepflichten nach Artikel 14 (seit 11. September 2026). Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA. Unter dem CRA ist noch keine harmonisierte Norm im Amtsblatt veröffentlicht, und NANDO führt keine notifizierte Stelle für den CRA. Alle übrigen Bestimmungen, einschließlich der grundlegenden Anforderungen, der Konformitätsbewertung und der CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.

02Zeitplan

Die Daten stammen aus Artikel 71 der Verordnung (EUR-Lex). Die Meldepflicht für Verwalter quelloffener Software (Artikel 24 Absatz 3) beginnt ebenfalls am 11. Dezember 2027 (ENISA).

03Harmonisierte Normen

• Die Kommission hat den Normungsauftrag M/606 für den CRA mit dem Beschluss C(2025) 618 angenommen. Er umfasst 41 horizontale und produktspezifische (vertikale) Normen und priorisiert die wichtigen und kritischen Produktkategorien aus Anhang III und IV (Kommission, Beschluss).
• CEN, CENELEC und ETSI haben den Auftrag am 3. April 2025 angenommen. Die horizontalen Normen entstehen im CEN-CLC/JTC 13 und weiteren technischen Komitees; den Anteil der ETSI bearbeitet die Gruppe EUSR im TC CYBER (CEN-CENELEC). Das Arbeitsprogramm steht auf STAN4CR.
• Der Umsetzungszeitplan der Kommission nennt für die ersten Normungsergebnisse das dritte Quartal 2026 und für weitere Ergebnisse den 30. Oktober 2027 (Kommission).
• Bei der letzten Prüfung enthielt EUR-Lex keinen Beschluss der Kommission, der eine harmonisierte Norm unter dem CRA im Amtsblatt veröffentlicht (EUR-Lex-Suche). Eine Norm begründet die Konformitätsvermutung erst, wenn ihre Fundstelle im Amtsblatt veröffentlicht ist (Artikel 27).

Bei Produkten der Klasse I ist eine Bewertung durch Dritte erforderlich, wenn keine harmonisierte Norm angewandt wird. Mehr im Leitfaden zu den Produktklassen.

04Rechtsakte und Leitlinien der Kommission

• Durchführungsverordnung (EU) 2025/2392 (28. November 2025, Amtsblatt vom 1. Dezember 2025): technische Beschreibungen der Kategorien wichtiger und kritischer Produkte (EUR-Lex).
• Delegierte Verordnung (EU) 2026/881 (11. Dezember 2025, Amtsblatt vom 20. April 2026): Bedingungen, unter denen das CSIRT, das eine Meldung zuerst erhält, die Weitergabe an andere CSIRTs aus Gründen der Cybersicherheit aufschieben darf (EUR-Lex).
• Leitlinien der Kommission C(2026) 5252 (27. Juli 2026): Anwendungsbereich bei Datenfernverarbeitung und quelloffener Software, wesentliche Änderung, Unterstützungszeitraum, Meldungen und Risikobewertung. Sie sind nicht verbindlich; die Kommission veröffentlicht außerdem FAQ (Kommission).
• Geplant: ein delegierter Rechtsakt zur Konformitätsvermutung zwischen dem Zertifizierungsschema EUCC und dem CRA, im Zeitplan der Kommission für das vierte Quartal 2026 (Kommission).
• SBOM-Format: Artikel 13 Absatz 24 ermächtigt die Kommission, Format und Elemente der Software-Stückliste durch Durchführungsrechtsakt festzulegen. Der Umsetzungszeitplan der Kommission führt dazu keinen Rechtsakt (Kommission).

05Einheitliche Meldeplattform der ENISA (SRP)

• Die ENISA hat die erste Betriebsstufe der Plattform am 11. September 2026 in Betrieb genommen. Hersteller reichen ihre Meldungen nach Artikel 14 dort ein (ENISA).
• Das als Koordinator benannte CSIRT, das eine Meldung zuerst erhält, gibt sie an die CSIRTs der übrigen Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wird; gleichzeitig steht die Meldung der ENISA zur Verfügung.
• Die ENISA will die Funktionen in den kommenden Monaten ausbauen. Es gibt FAQ, Benutzerhandbücher, Lernvideos, ein SRP-Glossar und einen Helpdesk.

Fristen und Inhalte der Meldungen erklärt der Leitfaden zu Artikel 14.

06Notifizierte Stellen

• Kapitel IV gilt seit dem 11. Juni 2026; die Mitgliedstaaten benennen ihre notifizierenden Behörden (Kommission).
• Der Zeitplan der Kommission nennt den 11. Dezember 2026 für die Notifizierung einer ausreichenden Zahl von Konformitätsbewertungsstellen in den Mitgliedstaaten.
• Stand 27. Oktober 2026 zeigt NANDO keine aktive Notifizierung nach der Verordnung (EU) 2024/2847 (NANDO).

07Verwandte Rechtsvorschriften

• RED: Die Delegierte Verordnung (EU) 2026/339 hebt die Delegierte Verordnung (EU) 2022/30, mit der die Cybersicherheitsanforderungen für Funkanlagen gelten, mit Wirkung vom 11. Dezember 2027 auf; bis dahin gelten die Anforderungen der Funkanlagenrichtlinie und EN 18031 (EUR-Lex, Leitfaden zu EN 18031).
• NIS 2: Der CRA definiert das als Koordinator benannte CSIRT, das die Meldungen erhält, als das nach Artikel 12 Absatz 1 der NIS-2-Richtlinie (EU) 2022/2555 benannte CSIRT; auch seine Definition von „Sicherheitsvorfall“ verweist auf die NIS-2-Richtlinie (Artikel 3 CRA) (EUR-Lex).

08Änderungsprotokoll