Zum Inhalt springen
EU Rules Finder
Deutsch (Sprache)

Cyber Resilience Act Checkliste: Ihre CRA-Bereitschaft in Prozent

Die Cyberresilienz-Verordnung (Cyber Resilience Act) gibt dem Hersteller eines Produkts mit digitalen Elementen eine Reihe von Pflichten: Meldungen, Sicherheitsanforderungen an das Produkt, die Behandlung von Schwachstellen und die Unterlagen. Beantworten Sie jede für Ihr Produkt und sehen Sie, wo Sie stehen und was noch offen ist, mit dem Artikel zu jedem Punkt.

Am 17. Oktober 2026 mit den Quellen abgeglichen

Ihre CRA-Bereitschaft

Beantworten Sie jede Zeile für ein Produkt. Die Bewertung zählt nur Ihre Antworten; nichts wird geprüft, gesendet oder gespeichert.

Meldepflichten (Artikel 14): ab 11. September 2026, auch für Produkte, die schon auf dem Markt sind
Anforderungen an das Produkt (Anhang I Teil I): ab 11. Dezember 2027

„Gilt nicht“ nur, wenn Ihre Bewertung der Cybersicherheitsrisiken das ergibt, mit der Begründung in der technischen Dokumentation (Artikel 13 Absatz 4).

Behandlung von Schwachstellen (Anhang I Teil II): ab 11. Dezember 2027
Pflichten der Hersteller (Artikel 13): ab 11. Dezember 2027

Bereitschaft: 0 %

Erledigt: 0 von 38 zutreffenden Zeilen

Nicht beantwortet: 38 (als nicht erledigt gezählt)

Nach Bereich

  • Meldepflichten0%
  • Anforderungen an das Produkt0%
  • Behandlung von Schwachstellen0%
  • Pflichten der Hersteller0%

Noch offen

  • Aktiv ausgenutzte Schwachstellen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur, über die einheitliche Meldeplattform (Article 14(1), (2); Nicht beantwortet) CRA-Melderegister
  • Schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung (Article 14(3) to (5); Nicht beantwortet) CRA-Melderegister
  • Sie wissen, welches als Koordinator benannte CSIRT Ihre Meldungen erhält: das des Mitgliedstaats Ihrer Hauptniederlassung in der EU oder, ohne eine solche, nach der Reihenfolge in Artikel 14 Absatz 7 (Article 14(7); Nicht beantwortet) CRA-Melderegister
  • Die betroffenen Nutzer und gegebenenfalls alle Nutzer werden über die Schwachstelle oder den Vorfall und die Maßnahmen informiert, die sie ergreifen können (Article 14(8); Nicht beantwortet) CRA-Melderegister
  • Cybersicherheit angemessen zu den Risiken (Annex I, Part I(1); Nicht beantwortet)
  • Keine bekannten ausnutzbaren Schwachstellen (Annex I, Part I(2)(a); Nicht beantwortet)
  • Sichere Standardkonfiguration, mit Zurücksetzen (Annex I, Part I(2)(b); Nicht beantwortet)
  • Sicherheitsupdates, standardmäßig automatisch (Annex I, Part I(2)(c); Nicht beantwortet)
  • Schutz vor unbefugtem Zugriff (Annex I, Part I(2)(d); Nicht beantwortet)
  • Vertraulichkeit der Daten (Annex I, Part I(2)(e); Nicht beantwortet)
  • Integrität von Daten, Befehlen und Konfiguration (Annex I, Part I(2)(f); Nicht beantwortet)
  • Datenminimierung (Annex I, Part I(2)(g); Nicht beantwortet)
  • Verfügbarkeit wesentlicher Funktionen (Annex I, Part I(2)(h); Nicht beantwortet)
  • Geringe Auswirkung auf andere Geräte und Netze (Annex I, Part I(2)(i); Nicht beantwortet)
  • Begrenzte Angriffsflächen (Annex I, Part I(2)(j); Nicht beantwortet)
  • Abschwächung von Ausnutzungen (Annex I, Part I(2)(k); Nicht beantwortet)
  • Sicherheitsprotokollierung und Überwachung, mit Opt-out (Annex I, Part I(2)(l); Nicht beantwortet)
  • Sicheres Entfernen aller Daten und Einstellungen (Annex I, Part I(2)(m); Nicht beantwortet)
  • Schwachstellen und Komponenten ermittelt und dokumentiert, mit einer Software-Stückliste, die mindestens die obersten Abhängigkeiten erfasst (Annex I, Part II(1); Nicht beantwortet) SBOM-Generator
  • Schwachstellen unverzüglich behoben, mit Sicherheitsaktualisierungen, soweit technisch machbar getrennt von Funktionsaktualisierungen (Annex I, Part II(2); Nicht beantwortet)
  • Wirksame und regelmäßige Tests und Überprüfungen der Sicherheit des Produkts (Annex I, Part II(3); Nicht beantwortet)
  • Behobene Schwachstellen öffentlich bekannt gemacht, sobald die Sicherheitsaktualisierung verfügbar ist (Annex I, Part II(4); Nicht beantwortet)
  • Eine Strategie für die koordinierte Offenlegung von Schwachstellen, aufgestellt und umgesetzt (Annex I, Part II(5); Nicht beantwortet)
  • Eine Kontaktadresse für die Meldung von Schwachstellen und Maßnahmen zum Austausch von Informationen darüber, auch zu Komponenten Dritter (Annex I, Part II(6); Nicht beantwortet)
  • Aktualisierungen sicher verteilt, bei Sicherheitsaktualisierungen gegebenenfalls automatisch (Annex I, Part II(7); Nicht beantwortet)
  • Sicherheitsaktualisierungen unverzüglich und kostenlos verbreitet (sofern mit einem gewerblichen Nutzer für ein maßgeschneidertes Produkt nichts anderes vereinbart ist), mit Hinweisen und einschlägigen Informationen (Annex I, Part II(8); Nicht beantwortet)
  • Bewertung der Cybersicherheitsrisiken durchgeführt, dokumentiert, während des Unterstützungszeitraums aktualisiert und in der technischen Dokumentation enthalten (Article 13(2) to (4); Nicht beantwortet) CRA-Dokumentenpaket (kostenpflichtig)
  • Sorgfaltspflicht bei Komponenten Dritter und quelloffenen Komponenten; dort gefundene Schwachstellen an die Person oder Einrichtung gemeldet, die die Komponente herstellt oder wartet (Article 13(5), (6); Nicht beantwortet)
  • Unterstützungszeitraum nach der erwarteten Nutzungsdauer festgelegt: mindestens fünf Jahre, außer das Produkt wird voraussichtlich kürzer genutzt (Article 13(8); Nicht beantwortet)
  • Jede Sicherheitsaktualisierung bleibt mindestens 10 Jahre nach ihrer Herausgabe verfügbar, oder für den Rest des Unterstützungszeitraums, wenn dieser länger ist (Article 13(9); Nicht beantwortet)
  • Ende des Unterstützungszeitraums, mindestens Monat und Jahr, beim Kauf klar angegeben (Article 13(19); Nicht beantwortet)
  • Typen-, Chargen- oder Seriennummer auf dem Produkt, oder auf der Verpackung oder in den beigefügten Unterlagen, wenn das nicht möglich ist (Article 13(15); Nicht beantwortet)
  • Name, Postanschrift und E-Mail-Adresse oder andere digitale Kontaktangaben auf dem Produkt, der Verpackung oder in den beigefügten Unterlagen, und eine zentrale Anlaufstelle für die Nutzer (Article 13(16), (17); Nicht beantwortet)
  • Informationen und Anleitungen für die Nutzer (Anhang II) liegen dem Produkt bei und bleiben mindestens 10 Jahre verfügbar, oder für den Unterstützungszeitraum, wenn dieser länger ist (Article 13(18), Annex II; Nicht beantwortet) CRA-Dokumentenpaket (kostenpflichtig)
  • Technische Dokumentation (Anhang VII) erstellt, bevor das Produkt in Verkehr gebracht wird (Article 13(12), Article 31, Annex VII; Nicht beantwortet) CRA-Dokumentenpaket (kostenpflichtig)
  • Konformitätsbewertungsverfahren gewählt und durchgeführt (Artikel 32); wichtige und kritische Produkte haben weniger Wege (Article 13(12), Article 32; Nicht beantwortet) CRA-Klassenprüfung
  • EU-Konformitätserklärung ausgestellt und CE-Kennzeichnung angebracht; eine Kopie oder die vereinfachte Erklärung liegt dem Produkt bei (Article 13(12), (20), Articles 28 and 30; Nicht beantwortet) CRA-Dokumentenpaket (kostenpflichtig)
  • Technische Dokumentation und Erklärung mindestens 10 Jahre nach dem Inverkehrbringen aufbewahrt, oder für den Unterstützungszeitraum, wenn dieser länger ist (Article 13(13); Nicht beantwortet)

Ihre eigenen Antworten, keine Bewertung: Die Zahl zeigt nicht, dass das Produkt die Verordnung erfüllt.

Was der Check abdeckt

  • Meldepflichten (Artikel 14): aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, an das als Koordinator benannte CSIRT und die ENISA über die einheitliche Meldeplattform, und die Information der Nutzer.
  • Die grundlegenden Cybersicherheitsanforderungen an das Produkt (Anhang I Teil I): eine allgemeine und dreizehn besondere Anforderungen.
  • Die Anforderungen an die Behandlung von Schwachstellen (Anhang I Teil II): acht Punkte, darunter die Software-Stückliste.
  • Die übrigen Pflichten der Hersteller (Artikel 13): Risikobewertung, Komponenten, Unterstützungszeitraum, Aktualisierungen, Angaben auf dem Produkt, Nutzerinformationen, technische Dokumentation, Konformitätsbewertung, Erklärung und CE-Kennzeichnung, Aufbewahrung der Unterlagen.

Termine

  • Artikel 14 (Meldepflichten) gilt ab 11. September 2026, auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Artikel 69 Absatz 3 und Artikel 71 Absatz 2).
  • Die übrige Verordnung gilt ab 11. Dezember 2027. Ein Produkt, das vor diesem Tag in Verkehr gebracht wurde, fällt nur darunter, wenn es ab diesem Tag wesentlich geändert wird (Artikel 69 Absatz 2).

Wie die Bewertung zählt

Nur Zeilen mit der Antwort „Erledigt“ zählen. „Teilweise erledigt“, „Nicht begonnen“ und unbeantwortete Zeilen zählen als offen, sodass die Zahl nie mehr zeigt, als Sie beantwortet haben. „Gilt nicht“ nimmt eine Zeile aus der Summe; das gibt es nur für die besonderen Anforderungen in Anhang I Teil I Nummer 2, die auf der Grundlage der Bewertung der Cybersicherheitsrisiken und soweit zutreffend gelten, und die technische Dokumentation muss begründen, warum (Artikel 13 Absatz 4). Der Prozentwert wird abgerundet.

Was der Check nicht tut

Er prüft oder bewertet Ihr Produkt nicht: Die Zahl zählt nur Ihre eigenen Antworten, und ein hoher Wert zeigt nicht, dass das Produkt die Verordnung erfüllt. Er deckt nur Hersteller ab, nicht Einführer (Artikel 19), Händler (Artikel 20) oder Verwalter quelloffener Software (Artikel 24). Für die Klasse Ihres Produkts und das Konformitätsbewertungsverfahren nutzen Sie die CRA-Prüfung, für die Meldefristen das CRA-Melderegister, für die Software-Stückliste den SBOM-Generator.

Ihre Antworten verlassen Ihren Browser nicht und werden nicht gespeichert: Neu laden löscht sie. Kopieren oder drucken Sie das Ergebnis, um es zu behalten.

Quellen