CRA Cyber Resilience Act - Produktregistrierung

Die CRA-Produktregistrierung ist der formelle Prozess, mit dem Hersteller nachweisen, dass ihre Produkte mit digitalen Elementen die Cybersicherheitsanforderungen des Cyber Resilience Act erfuellen. Betroffen sind alle Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, darunter Betriebssysteme, Firmware, IoT-Geraete, Netzwerkausruestung und Softwarekomponenten. Die Registrierung umfasst eine Konformitaetsbewertung, technische Dokumentation und die CE-Kennzeichnung.

Der CRA hat einen gestaffelten Zeitplan: Ab 11. Juni

2026 sind die Konformitaetsbewertungsstellen ermaechtigt, Produkte zu bewerten. Ab 11. September

2026 gelten die Meldepflichten fuer Schwachstellen und Sicherheitsvorfaelle (Fruehwarnung innerhalb

24 Stunden, Meldung innerhalb

72 Stunden). Die vollstaendige Anwendbarkeit aller CRA-Anforderungen einschliesslich Produktregistrierung und CE-Kennzeichnung gilt ab 11. Dezember 2027.

Die EU-Konformitaetserklaerung nach CRA (Anhang V) ist ein verbindliches Dokument, in dem der Hersteller erklaert, dass sein Produkt die wesentlichen Cybersicherheitsanforderungen erfuellt. Sie muss den Produktnamen, Herstellerangaben, die angewandten harmonisierten Normen, das Konformitaetsbewertungsverfahren und die CE-Kennzeichnung enthalten. Diese Erklaerung muss zehn Jahre lang aufbewahrt und den Marktaufsichtsbehoerden auf Verlangen vorgelegt werden.

Die Konformitaetsbewertung nach CRA umfasst mehrere Schritte: Erstens eine Risikobewertung des Produkts. Zweitens die Umsetzung der wesentlichen Cybersicherheitsanforderungen (Security by Design und Security by Default). Drittens die Erstellung der technischen Dokumentation gemaess Anhang VII. Viertens die Durchfuehrung des Konformitaetsbewertungsverfahrens (Artikel 24‑25), wobei kritische Produkte eine Drittpartei-Bewertung benoetigen. Fuenftens die EU-Konformitaetserklaerung und CE-Kennzeichnung.

Die technische Dokumentation nach CRA Anhang VII umfasst: eine allgemeine Produktbeschreibung, die Risikobewertung mit identifizierten Cybersicherheitsrisiken, die Beschreibung der implementierten Sicherheitsmassnahmen, eine Software Bill of Materials (SBOM), Testergebnisse der Konformitaetsbewertung und den Supportzeitraum fuer Sicherheitsupdates. Diese Dokumentation muss vor der Marktplatzierung erstellt und zehn Jahre lang aufbewahrt werden.

Die CE-Kennzeichnung unter dem CRA zeigt an, dass ein Produkt mit digitalen Elementen alle wesentlichen Cybersicherheitsanforderungen erfuellt. Fuer Software wird die CE-Kennzeichnung in der Begleitdokumentation oder auf der Download-Plattform angebracht. Der Hersteller erklaert damit, dass eine Konformitaetsbewertung durchgefuehrt wurde, die technische Dokumentation vorliegt und der Supportzeitraum fuer Sicherheitsupdates definiert ist. Eine CE-Kennzeichnung darf nur ein einziges Mal fuer alle anwendbaren EU-Rechtsvorschriften erstellt werden.

Ab September

2026 muessen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfaelle melden. Die Fristen sind streng: Fruehwarnung innerhalb von

24 Stunden, vollstaendige Meldung innerhalb von

72 Stunden und ein Abschlussbericht spaetestens

14 Tage nach Verfuegbarkeit einer Korrekturmassnahme. Bei schwerwiegenden Vorfaellen betraegt die Frist fuer den Abschlussbericht einen Monat. Die Meldung erfolgt an die ENISA und die zustaendige nationale Behoerde.