CRA-Vorbereitung: Leitfaden für Hersteller mit EU-Vertrieb

01Wer ist betroffen?

Wenn Ihr Produkt direkt oder indirekt mit einem Gerät oder einem Netz verbunden werden kann und auf dem EU-Markt verkauft wird, fallen Sie in den Anwendungsbereich: Smart-Home-Produkte, industrielle Steuerungen, Netzwerkgeräte, Sensoren, Wearables und die mit ihnen verkaufte Software. Produkte mit eigenen Regelwerken wie Medizinprodukte, typgenehmigte Kraftfahrzeuge (Verordnung (EU) 2019/2144), Produkte der Zivilluftfahrt und Schiffsausrüstung sind ausgenommen (Anwendungsbereich).

Details nach Branche: Netzwerk- und Telekommunikationsgeräte, Smart Home und Haushaltsgeräte, Industrieautomation und Elektronik.

Entscheidend ist das Inverkehrbringen des Produkts auf dem EU-Markt, nicht der Sitz des Herstellers. Ein Hersteller in Deutschland, der Türkei, dem Vereinigten Königreich, den USA oder Asien hat dieselben Pflichten.

Wenn Sie das Produkt unter Ihrem eigenen Namen oder Ihrer eigenen Marke in Verkehr bringen, sind Sie der Hersteller. Wenn Sie für eine andere Marke fertigen (OEM/ODM) und das Produkt unter deren Namen verkauft wird, ist in der Regel die Marke Hersteller im Sinne des CRA; sie wird von Ihnen trotzdem die SBOM, die Behebung von Schwachstellen und Sicherheitsaktualisierungen verlangen.

02Hersteller, Einführer und Händler

Rolle	Wichtigste Pflichten	Grundlage
Hersteller	Anforderungen aus Anhang I, Risikobewertung, Behandlung von Schwachstellen, Unterstützungszeitraum, technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung, Meldungen nach Art. 14, Information der Nutzer	Art. 13, 14
Bevollmächtigter (optional)	Nimmt festgelegte Aufgaben im Rahmen eines schriftlichen Auftrags des Herstellers wahr; hält die EU-Konformitätserklärung und die technische Dokumentation für die Behörden bereit	Art. 18
Einführer	Bringt das Produkt eines Herstellers außerhalb der EU in die EU. Bringt nur konforme Produkte in Verkehr: prüft, ob die Konformitätsbewertung durchgeführt wurde, die technische Dokumentation vorliegt und CE-Kennzeichnung sowie Nutzerinformationen vorhanden sind; informiert den Hersteller über Schwachstellen, von denen er Kenntnis erlangt	Art. 19
Händler	Prüft die CE-Kennzeichnung und die erforderlichen Informationen; handelt, wenn er eine Nichtkonformität oder ein erhebliches Risiko feststellt	Art. 20

03Zusätzliche Punkte für Hersteller außerhalb der EU

Ihr Einführer muss Sie prüfen. Ein Einführer in der EU darf kein nichtkonformes Produkt in Verkehr bringen. Deshalb verlangen Einführer inzwischen technische Dokumentation, Konformitätserklärungen und Zusagen zu Sicherheitsaktualisierungen.
Ein Bevollmächtigter ist optional. Nach dem CRA ist seine Benennung nicht vorgeschrieben (Artikel 18), sie kann die Abläufe aber erleichtern.
Für die Meldungen nach Artikel 14 sind Sie selbst verantwortlich. Ohne Hauptniederlassung in der EU richtet sich das als Koordinator benannte CSIRT danach, wo Ihr Bevollmächtigter, Einführer oder Händler niedergelassen ist (Artikel 14). Siehe den Leitfaden zu Artikel 14.
Beachten Sie zusätzlich die Vorschriften Ihres Heimatlandes. Ob und wann Länder außerhalb der EU vergleichbare Regeln einführen, ist unterschiedlich; ob etwa die Türkei den CRA in ihr eigenes Recht übernimmt, war bei Redaktionsschluss dieses Leitfadens noch nicht geklärt. Für den Verkauf in die EU ist die EU-Regelung maßgeblich.

04Zeitplan: was bereits gilt und was noch kommt

Seit dem 11. September 2026: Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Sie gelten bereits heute für Ihre in der EU verkauften Produkte.
Seit dem 11. Juni 2026: Bestimmungen über notifizierte Stellen.
Ab dem 11. Dezember 2027: alle Pflichten, einschließlich der grundlegenden Cybersicherheitsanforderungen aus Anhang I, der Konformitätsbewertung und der CE-Kennzeichnung. Produkte, die nach diesem Datum in Verkehr gebracht werden, müssen die Anforderungen vollständig erfüllen.

Diese Meilensteine aktualisieren wir monatlich auf der Seite EU-CRA: aktueller Stand.

05Checkliste Schritt für Schritt

Produktinventar: Erfassen Sie die vernetzten Produkte und Firmware-Versionen, die Sie in der EU verkaufen.
Anwendungsbereich und Klasse: Bestimmen Sie die Kategorie jedes Produkts (Produktklassen).
SBOM: Erstellen Sie für jede Firmware-Version eine maschinenlesbare SBOM (kostenloser SBOM-Scanner).
Behandlung von Schwachstellen: Prüfen Sie die Komponenten fortlaufend auf neue Schwachstellen, priorisieren Sie ausgenutzte Schwachstellen und stellen Sie Korrekturen kostenlos bereit.
Strategie zur koordinierten Offenlegung von Schwachstellen und Kontaktstelle: Veröffentlichen Sie eine zentrale Kontaktadresse für Schwachstellenmeldungen (Artikel 13); security.txt ist ein guter Anfang.
Prozess nach Artikel 14: Zeitpunkt der Kenntniserlangung, Verantwortliche, Zugang zur einheitlichen Meldeplattform der ENISA (SRP) und Meldevorlagen.
Sichere Aktualisierungen: signierte Aktualisierungen, Rollback-Schutz, sicheres Zurückfallen auf die vorherige Version, wenn eine Aktualisierung fehlschlägt.
Unterstützungszeitraum: Legen Sie für jedes Produkt einen Unterstützungszeitraum fest und geben Sie ihn beim Verkauf an.
Technische Dokumentation und Konformitätserklärung: die Inhalte nach Anhang VII einschließlich der Risikobewertung; bewahren Sie sie 10 Jahre oder für die Dauer des Unterstützungszeitraums auf.
Verträge in der Lieferkette: Halten Sie mit Lieferanten, Einführern und Händlern schriftlich fest, wie Informationen über Schwachstellen fließen und wer was aufbewahrt.

Für den Einstieg ermitteln Sie die voraussichtliche Klasse Ihres Produkts mit dem CRA-Klassencheck. Wenn Sie die Liste gemeinsam mit uns an Ihrem Produkt durchgehen möchten, sehen Sie sich unser Pilotprogramm an.

06Häufige Fragen

Ich fertige außerhalb der EU und verkaufe in die EU. Gilt der CRA für mich?

Ja. Der CRA stellt darauf ab, ob das Produkt auf dem EU-Markt in Verkehr gebracht wird, nicht darauf, wo der Hersteller ansässig ist.

Ich bin ein Hersteller mit Sitz in der EU. Gilt diese Checkliste auch für mich?

Ja. Die Checkliste ist für alle Hersteller gleich; nur der Abschnitt für Hersteller außerhalb der EU betrifft Sie nicht.

Muss ich einen Bevollmächtigten in der EU benennen?

Nach dem CRA ist die Benennung freiwillig (Artikel 18). Ob Sie einen Bevollmächtigten, Einführer oder Händler in der EU haben, beeinflusst jedoch, welches CSIRT Ihre Meldungen nach Artikel 14 koordiniert.

Ich bin Auftragsfertiger. Wer ist verantwortlich?

Wird das Produkt unter dem Namen einer anderen Marke verkauft, ist in der Regel diese Marke Hersteller im Sinne des CRA. Sie ist bei SBOM, Behebung von Schwachstellen und Aktualisierungen dennoch auf Sie angewiesen; halten Sie diese Pflichten deshalb im Vertrag fest.

Kann ich bis zum 11. Dezember 2027 warten?

Nein. Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026 für alle Ihre Produkte in der EU, und die Anforderungen aus Anhang I wirken sich auf das Produktdesign aus. Die Vorbereitung muss daher jetzt beginnen.

Quellen

Verwandte Leitfäden

Sprechen wir über diesen Prozess für Ihr Produkt

Lernen Sie unser Pilotprogramm für Unternehmen kennen: Es erstellt die SBOM Ihrer Firmware, priorisiert Schwachstellen und überwacht die Fristen nach Artikel 14.

Gespräch zum Pilotprogramm anfragen Kostenlosen SBOM-Scanner testen