CRA-Insights
Wissen zum Cyber Resilience Act
Belegbare, aktuelle Analysen zu Betroffenheit, Fristen, SBOM, Produktklassen, Rollen und branchenspezifischer Einordnung des EU Cyber Resilience Act (VO (EU) 2024/2847).
Cyber Resilience Act: Bin ich betroffen?
Hersteller, Einführer oder Händler: Wer fällt unter den CRA, wer nicht? Produkte mit digitalen Elementen und Ausnahmen wie Medizin und Automotive erklärt.
Weiterlesen
CRA Meldepflicht seit 11. September 2026: Was Hersteller jetzt operativ sicherstellen müssen
Was Hersteller seit 11.9.2026 vorhalten müssen: ENISA Single Reporting Platform und ein PSIRT mit unverzüglicher Frühwarnung. So prüfen Sie Ihren Stand.
Weiterlesen
Cyber Resilience Act für den Mittelstand: Was Hersteller jetzt konkret tun müssen
Keine Größenausnahme, aber klare Prioritäten: Was KMU-Hersteller zuerst angehen - Meldepflicht vor SBOM vor CE-Kennzeichnung. Der priorisierte CRA-Fahrplan.
Weiterlesen
SBOM-Anforderungen im Cyber Resilience Act: Formate, Inhalte und Archivierung
Was eine CRA-konforme Software-Stückliste enthalten muss, welches Format - CycloneDX oder SPDX - passt und wie die 10-Jahres-Archivierung greift. Praxisguide.
Weiterlesen
CRA-Produktklassen: Wie wird Ihr Produkt eingestuft - und was folgt daraus?
Klasse I in Eigenregie nur bei voller Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder EU-Zertifizierung (Art. 32 Abs. 2), sonst B+C oder H.
Weiterlesen
CRA Bußgelder & Sanktionen: was Artikel 64 wirklich vorsieht
CRA-Bußgelder nach Artikel 64: bis zu 15 Mio. € oder 2,5 % des Jahresumsatzes. Die drei Stufen und wie weit die Ausnahmen nach Abs. 10 reichen, erklärt.
Weiterlesen
CRA vs. NIS2 vs. DORA: unterschiedliche Regelungsgegenstände, teils dieselben Unternehmen
CRA, NIS2 und DORA im Vergleich: Der CRA reguliert Produkte, NIS2 Organisationen, DORA den Finanzsektor. Wer wovon betroffen ist - verständlich erklärt.
Weiterlesen
Schwachstellenbehandlung, Meldung & CVD unter dem CRA
Schwachstellenbehandlung, Meldepflicht und Coordinated Vulnerability Disclosure unter dem CRA: die Kaskade 24h, 72h und Abschlussbericht - seit 11.9.2026.
Weiterlesen
CRA Fristen 2024-2027: Der gestaffelte Zeitplan
Alle CRA-Fristen 2024 bis 2027 auf einen Blick: Inkrafttreten, Meldepflichten seit 11.9.2026, volle Anwendung ab 11.12.2027. Was jedes Datum bedeutet.
Weiterlesen
Konformitätsbewertung und CE-Kennzeichnung unter dem Cyber Resilience Act
Konformitätsbewertung nach dem CRA: Modul A, B+C oder H, wann eine Drittprüfung durch eine notifizierte Stelle nötig ist und wie CE und EU-Erklärung greifen.
Weiterlesen
Cyber Resilience Act und Open Source: Steward-Rolle und Anwendungsbereich
Wie behandelt der CRA Open Source? Nicht-kommerzielle FOSS liegt außerhalb des Anwendungsbereichs, für Stewards (Art. 24) gilt ein leichtes Regime.
Weiterlesen
Rollen unter dem CRA: Hersteller, Importeur und Händler im Überblick
Wer trägt welche Pflicht unter dem CRA? Hersteller (Art. 13), Importeur (Art. 19), Händler (Art. 20) und Bevollmächtigter (Art. 18) - mit Pflichten-Matrix.
Weiterlesen
Technische Dokumentation und EU-Konformitätserklärung nach dem CRA
Was die technische CRA-Dokumentation nach Anhang VII enthalten muss, wie die EU-Konformitätserklärung aufgebaut ist und warum Sie alles 10+ Jahre aufbewahren.
Weiterlesen
Cyber Resilience Act für IoT, Embedded & smarte Produkte
CRA für Hersteller von IoT-, Embedded- und Smart-Produkten: RED-Übergang, Produktklassen, Pflichten und Fristen bis 11.12.2027. Keine Rechtsberatung.
Weiterlesen
Cyber Resilience Act für Maschinenbau & industrielle Automatisierung
Der CRA im Maschinenbau: Fristen bis 11.12.2027, Produktklassen, Zusammenspiel mit der Maschinenverordnung, SBOM und eine praxisnahe Roadmap für Steuerungen.
Weiterlesen
Cyber Resilience Act und Medizintechnik: die Grenze der Betroffenheit
MDR/IVDR-Medizinprodukte sind vom CRA ausgenommen (Art. 2 Abs. 2) - Wellness-, Fitness- und Klinik-IT ohne medizinischen Zweck nicht. Struktur zur Abgrenzung.
Weiterlesen
Cyber Resilience Act für Software- & SaaS-Hersteller
CRA für Software und SaaS: eigenständige Software ist erfasst, SaaS nur als Datenfernverarbeitung eines Produkts. Je nach Größe kann NIS2 gelten.
Weiterlesen
CRA-Glossar - die zentralen Begriffe des Cyber Resilience Act
Der Cyber Resilience Act verständlich: Produkt mit digitalen Elementen, Anhang III/IV, Konformitätsbewertung, Module, SBOM und Meldepflicht - 27 Begriffe.
Weiterlesen
Händlerpflichten unter dem CRA (Art. 20): Sorgfalt in der Lieferkette
Händler unter dem CRA: gebührende Sorgfalt nach Art. 20, CE-Kennzeichnung und Unterlagen prüfen, Hersteller- und Einführerpflichten verifizieren.
Weiterlesen
Herstellerpflichten unter dem CRA: Was Art. 13 wirklich verlangt
Hersteller tragen unter dem CRA die Hauptlast: grundlegende Anforderungen, Schwachstellenbehandlung, technische Doku, Konformitätsbewertung, CE und Meldungen.
Weiterlesen
Importeurpflichten unter dem CRA (Art. 19): der Torwächter zum EU-Markt
Der Importeur als Torwächter zum EU-Markt: Welche Pflichten trägt er nach Art. 19 CRA? Prüfen statt herstellen - Konformität, Doku und CE. Mit Checkliste.
Weiterlesen
CRA-Risikobewertung & Bedrohungsmodellierung
Die CRA-Risikobewertung gehört in die technische Dokumentation: So liefern STRIDE, Attack-Trees und Data-Flow-Diagramme den Anhang-I/Art.-13-Nachweis.
Weiterlesen
CRA-Support-Zeitraum, EOL & Update-Pflicht
Wie lange muss ein Produkt CRA-konform Sicherheitsupdates erhalten? Unterstützungszeitraum: mindestens 5 Jahre, Enddatum, EOL-Planung und Update-Pflicht.
Weiterlesen
CRA × NIS2 × DORA × AI Act: die Konvergenz
Wie CRA, NIS2, DORA und AI Act zusammenspielen: Produkt vs. Betrieb vs. Finanzsektor vs. KI-Nutzung - die Regulierungs-Karte für Hersteller. Jetzt einordnen.
Weiterlesen
Security-by-Design im CRA umsetzen
Security-by-Design und Security-by-Default nach Anhang I des CRA: die konkreten Anforderungen, ein sicherer Entwicklungslebenszyklus und Umsetzungshebel.
Weiterlesen
Was kostet CRA-Compliance?
Was CRA-Compliance kostet, hängt von Produktklasse, SBOM-Reife und Prozessreife ab: die Kostentreiber und drei illustrative Aufwands-Szenarien.
Weiterlesen
Cyber Resilience Act: Was die Geschäftsführung jetzt wissen muss
Cyber Resilience Act für die Geschäftsführung: Geltungsbereich, Fristen bis 2027, Meldepflicht seit 11.09.2026, Entscheidungsfelder und Folgen von Verstößen.
Weiterlesen
Wer haftet für CRA-Verstöße? Unternehmen, Geschäftsführung und Produkthaftung
Wer haftet für CRA-Verstöße? Geldbußen nach Art. 64 CRA und OWiG, Innenhaftung nach § 43 GmbHG und § 93 AktG, Produkthaftung: drei Ebenen erklärt.
Weiterlesen
CRA Readiness prüfen: Welche Nachweise die Geschäftsführung verlangen sollte
CRA Readiness prüfen: Welche Nachweise der CRA verlangt, wo sie stehen und woran die Geschäftsführung erkennt, ob sie belastbar sind. Mit Tabelle und Fragen.
Weiterlesen
CRA-Audit: was gemeint sein kann, wie es abläuft und wovon die Kosten abhängen
Was ein CRA-Audit ist, regelt der Cyber Resilience Act nicht. Drei Arten im Vergleich, dazu Ablauf, Prüffelder und Kostentreiber einer unabhängigen Prüfung.
WeiterlesenKontakt aufnehmen
CRA-Readiness-Assessment anfragen
Gap-Analyse Ist/Soll gegen Anhang I - konkret, belegbar und auf Ihr Produktportfolio bezogen.