/cyber-resilience-act:cra-produktanforderungen

Zweck

Ab dem 11.12.2027 darf ein Produkt mit digitalen Elementen nur noch auf dem Unionsmarkt bereitgestellt werden, wenn es die grundlegenden Cybersicherheitsanforderungen des Anhang I (VO (EU) 2024/2847) erfüllt, ein Konformitätsbewertungsverfahren nach Anhang VIII durchlaufen hat, über eine technische Dokumentation nach Anhang VII verfügt und die CE-Kennzeichnung trägt. Dieser Skill führt die Gap-Analyse gegen Anhang I, bestimmt den zulässigen Bewertungsweg und plant die Vorlaufzeit — insbesondere dort, wo eine notifizierte Stelle einzuschalten ist.

⚠️ Aktualität (Stand 2026-07): Die Verordnung ist am 10.12.2024 in Kraft getreten. Seit dem 11.06.2026 gelten die Vorschriften über Konformitätsbewertungsstellen und notifizierte Stellen — die Infrastruktur für die Bewertung baut sich also gerade erst auf. Ab dem 11.09.2026 greifen die Meldepflichten nach Art. 14 CRA. Die hier behandelten materiellen Produktanforderungen gelten ab dem 11.12.2027.

Die Reihenfolge täuscht. Dass die Produktanforderungen zuletzt greifen, macht sie nicht zum letzten Arbeitspaket: Für wichtige Produkte der Klasse II und für kritische Produkte nach Anhang IV ist eine notifizierte Stelle einzuschalten, deren Kapazität begrenzt und deren Vorlaufzeit erheblich ist. Wer 2027 mit der Terminsuche beginnt, verfehlt den Stichtag.

Harmonisierte Normen: Der Normungsauftrag zum CRA läuft. [unverifiziert - prüfen] Zum Stand 07/2026 ist der Zitierungsstand harmonisierter Normen im Amtsblatt zu verifizieren; ohne Amtsblatt-Zitierung besteht keine Konformitätsvermutung. Bestehende Zertifizierungen nach ISO/IEC 27001 oder IEC 62443 sind wiederverwendbare Vorarbeit, aber kein Konformitätsnachweis nach dem CRA.

Sanktionsrahmen: Verstöße gegen die grundlegenden Cybersicherheitsanforderungen sind mit bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bewehrt, je nachdem, welcher Betrag höher ist (Art. 64 CRA).

Eingaben