Blackfort Technology
CRA-Meldepflichten gelten seit 11. September 2026

CRA Readiness

Cyber Resilience Act: CRA-Compliance systematisch umsetzen

Blackfort Technology begleitet Hersteller von Software und vernetzten Produkten durch den Cyber Resilience Act, amtlich Cyberresilienz-Verordnung (VO (EU) 2024/2847): von der Gap-Analyse über Risikobewertung, SBOM und Meldeprozess bis zu Nachweisen, die ein Prüfer nachvollziehen kann. Die Meldepflichten gelten seit dem 11. September 2026, die übrigen Herstellerpflichten ab dem 11. Dezember 2027.

Erstgespräch anfragenBetroffenheits-Check starten

Drei Wege in die CRA-Umsetzung

Je nachdem, wo Sie stehen: erst orientieren, dann den Stand Ihrer Produkte messen, dann umsetzen.

  1. 1 · Orientieren

    Betroffenheits-Check

    Kostenlos und ohne Anmeldung: in wenigen Minuten eine erste, schematische Orientierung, welche CRA-Pflichten für Produkte wie Ihres in Frage kommen. Dazu die CRA-Checkliste, der SBOM-Check und der CVD-Policy-Generator.

    Check starten

  2. 2 · Stand messen

    CRA-Gap-Analyse

    Produktregister, Rollen, Produktklassen und ein Lückenbericht je Produkt gegen Anhang I, mit priorisiertem Maßnahmenplan. Der empfohlene erste Auftrag.

    Zur Gap-Analyse

  3. 3 · Umsetzen

    CRA-Beratung & Umsetzung

    Risikobewertung je Produkt, SBOM-Kette, Meldeprozess nach Art. 14, technische Dokumentation und Vorbereitung der Konformitätsbewertung.

    Alle Leistungen

Für die Geschäftsführung

Ihr CRA-Programm läuft schon? Lassen Sie es unabhängig prüfen.

Das CRA Readiness Audit prüft den Stand unabhängig von der Projektleitung, mit Stichproben an den Belegen, und berichtet an die Geschäftsführung.

Zum CRA Readiness Audit
Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology

Ihr Ansprechpartner

Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology

Ihre Anfrage nimmt Christian Gebhardt, Gründer und Geschäftsführer von Blackfort Technology, gern persönlich entgegen. Im kostenlosen Erstgespräch klären Sie gemeinsam, was Sie brauchen; die Beratung übernimmt das Team von Blackfort Technology.

Profil auf LinkedIn

Stand: 2026-10-09

Was Blackfort Technology für Sie leistet

Sie beauftragen die Bausteine, die Sie brauchen. Der empfohlene erste Auftrag ist die Gap-Analyse zum Festpreis für den Umfang, den wir im kostenlosen Erstgespräch vereinbaren; danach entscheiden Sie mit belastbaren Fakten, wie weit das Vorhaben geht.

Alle Leistungen der CRA-Beratung →

Zeitstrahl der Fristen des Cyber Resilience Act mit vier Stationen. 10.12.2024: Inkrafttreten am 20. Tag nach der Veröffentlichung im Amtsblatt (Art. 71 Abs. 1). 11.06.2026: Kapitel IV gilt, Notifizierung von Konformitätsbewertungsstellen, Artikel 35 bis 51 (Art. 71 Abs. 2). 11.09.2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, auch für Bestandsprodukte (Art. 14, Art. 69 Abs. 3, Art. 71 Abs. 2). 11.12.2027: alle übrigen Pflichten, unter anderem Anhang I, Konformitätsbewertung und CE-Kennzeichnung (Art. 71 Abs. 2). Eine Markierung „Stand: Oktober 2026“ steht zwischen dem 11.09.2026 und dem 11.12.2027. Hinweis: Vor dem 11.12.2027 in Verkehr gebrachte Produkte unterliegen den übrigen Anforderungen nur bei wesentlicher Änderung (Art. 69 Abs. 2), die Meldepflichten gelten für sie dennoch (Art. 69 Abs. 3). Stand der Grafik: Oktober 2026.
Fristen des CRA: Inkrafttreten, Kapitel IV, Meldepflichten und volle Geltung. Fundstelle: Art. 71 und Art. 69 VO (EU) 2024/2847.

Seit 11. September 2026: Die Meldepflichten des Cyber Resilience Act gelten

Seit dem 11. September 2026 gelten für Hersteller von Produkten mit digitalen Elementen verbindliche Melde- und Berichtspflichten nach der Verordnung (EU) 2024/2847, dem Cyber Resilience Act (CRA). Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen über die einheitliche Meldeplattform gleichzeitig dem als Koordinator benannten CSIRT und der ENISA gemeldet werden: Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntnis, Meldung spätestens nach 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (Schwachstellen) bzw. einen Monat nach der Meldung (Sicherheitsvorfälle).

Die übrigen Herstellerpflichten gelten ab dem 11. Dezember 2027. Harmonisierte Normen erleichtern später den Nachweis; Meldeprozess, Produktregister und SBOM lassen sich schon heute ohne sie aufbauen.

Bin ich überhaupt betroffen? Jetzt prüfen.

Der CRA betrifft Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, die im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden, entgeltlich oder unentgeltlich (Art. 3 Nr. 22). Prüfen Sie den Anwendungsbereich früh, auch für Software, Zubehör und Komponenten.

Mit dem interaktiven Betroffenheits-Check erhalten Sie in wenigen Minuten eine erste Einschätzung: Welche Rolle nehmen Sie ein (Hersteller, Einführer, Händler)? Fällt Ihr Produkt unter den CRA? Und wenn ja: In welche Produktklasse fällt es schematisch?

Betroffenheits-Check starten →

Mittelstand: Keine Größenausnahme, aber klare Prioritäten

Der Cyber Resilience Act kennt keine grundsätzliche Ausnahme für KMU. Auch kleinere Hersteller von Produkten mit digitalen Elementen sind in Scope. Allerdings gibt es punktuelle Erleichterungen für Kleinst- und Kleinunternehmen, etwa ein vereinfachtes Format für die technische Dokumentation (Art. 33 Abs. 5). Ob Art. 64 Abs. 10 sie von Geldbußen für eine versäumte 24-Stunden-Frühwarnung freistellt, ist nach dem Wortlaut eine Auslegungsfrage, weil die Vorschrift nur von den Absätzen 3 bis 9 abweicht; Erwägungsgrund 120 spricht dafür.

Für den Mittelstand zählt vor allem: Was zuerst? Meldeprozesse (Pflicht seit September 2026) haben Vorrang vor SBOM-Vollständigkeit und CE-Kennzeichnung (Frist: Dezember 2027). Wer die Prioritäten kennt, vermeidet unnötigen Aufwand.

CRA-Fahrplan für KMU ansehen →

Wissen: Hintergründe und technische Details

Häufige Fragen

Ab wann gilt der Cyber Resilience Act?+
Der CRA ist seit dem 10. Dezember 2024 in Kraft. Die ersten verbindlichen Pflichten, die Melde- und Berichtspflichten für Schwachstellen und Sicherheitsvorfälle, gelten seit dem 11. September 2026. Die vollständige Anwendbarkeit aller Produktanforderungen beginnt am 11. Dezember 2027.
Bin ich als Softwarehersteller vom CRA betroffen?+
Software ist ein Produkt mit digitalen Elementen. Sie fällt unter den CRA, wenn sie im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt wird, entgeltlich oder unentgeltlich, und wenn ihr bestimmungsgemäßer Zweck oder ihre vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1, Art. 3 Nr. 22). Ob und in welche Produktklasse Ihr konkretes Produkt fällt, hängt von seinen technischen Eigenschaften und seiner Funktion ab. Der interaktive Betroffenheits-Check gibt eine erste Orientierung.
Was muss ich als Hersteller für die Meldepflicht konkret umsetzen?+
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform (Single Reporting Platform) gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden: Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntnis, Meldung spätestens nach 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme bzw. einen Monat nach der Meldung. Das erfordert operative Meldeprozesse, klare interne Zuständigkeiten und idealerweise ein funktionierendes PSIRT oder eine vergleichbare Struktur.
Gilt der CRA auch für KMU und kleine Softwareunternehmen?+
Ja. Der Cyber Resilience Act kennt keine grundsätzliche Ausnahme für KMU oder kleine Unternehmen. Für Kleinst- und Kleinunternehmen gibt es punktuelle Erleichterungen, etwa ein vereinfachtes Format für die technische Dokumentation (Art. 33 Abs. 5). Ob Art. 64 Abs. 10 sie von Geldbußen für eine versäumte 24-Stunden-Frühwarnung freistellt, ist nach dem Wortlaut eine Auslegungsfrage, weil die Vorschrift nur von den Absätzen 3 bis 9 abweicht; Erwägungsgrund 120 spricht dafür. Die Meldepflicht selbst gilt unabhängig von der Unternehmensgröße. Eine vollständige Ausnahme vom Geltungsbereich gibt es nicht. Hersteller jeder Größe, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen, sind grundsätzlich betroffen.
Was ist eine SBOM und warum ist sie für den CRA relevant?+
Eine SBOM (Software Bill of Materials, Software-Stückliste) ist ein maschinenlesbares Verzeichnis der Komponenten eines Softwareprodukts. Der CRA verlangt eine SBOM in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen (Anhang I Teil II Nr. 1); sie gehört zur technischen Dokumentation (Anhang VII Nr. 2 Buchst. b) und ist Grundlage der Schwachstellenbehandlung. Gängige Formate sind CycloneDX und SPDX; die BSI TR-03183-2 verlangt CycloneDX ab 1.6 oder SPDX ab 3.0.1. Die technische Dokumentation ist mindestens zehn Jahre oder für den Unterstützungszeitraum aufzubewahren, je nachdem, welcher Zeitraum länger ist (Art. 13 Abs. 13).

Quellen

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information zum Cyber Resilience Act (Verordnung (EU) 2024/2847) und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i.S.d. RDG).

Kontakt aufnehmen

Mit der CRA-Gap-Analyse starten

Bestandsaufnahme Ihrer Produkte gegen Anhang I und die Meldepflicht nach Art. 14: konkret, belegbar und mit priorisiertem Maßnahmenplan. Das Erstgespräch ist kostenlos.

Zur CRA-Gap-AnalyseErstgespräch anfragen