Warum ein Fahrplan wichtiger ist als Perfektion

Bis zum 11. Dezember 2027 sind es noch knapp 17 Monate. Das klingt komfortabel — ist es aber nicht, wenn man die Vorlaufzeiten realistisch rechnet: Eine Gap-Analyse über ein mittleres Produktportfolio dauert Wochen, die Umsetzung fehlender Anhang-I-Anforderungen Monate, und wer eine notifizierte Stelle braucht, konkurriert um knappe Prüfkapazitäten. Der erste harte Stichtag liegt ohnehin früher: Ab dem 11. September 2026 — in weniger als zwei Monaten — gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen.¹

Diese Checkliste ordnet alle Aufgaben drei Phasen zu: sofort, bis September 2026, bis Dezember 2027. Sie ist bewusst als Reihenfolge gebaut — die Punkte bauen aufeinander auf.

Phase 1: Sofort erledigen

1. Produktinventar erstellen

Klingt banal, ist aber die häufigste Lücke: Viele Hersteller wissen nicht vollständig, welche Produkte mit digitalen Elementen sie eigentlich in Verkehr bringen. Zum Inventar gehören auch OEM-Varianten, White-Label-Produkte unter fremdem Markennamen, mitgelieferte Konfigurationstools und Alt-Versionen, die noch verkauft werden. Wer unter eigenem Namen vertreibt, was ein anderer entwickelt hat, trägt Herstellerpflichten — die Details stehen im Artikel zu den Wirtschaftsakteuren.

2. Betroffenheit je Produkt klären

Nicht alles fällt unter den CRA: reine SaaS-Dienste ohne Produktcharakter, Medizinprodukte mit eigener Regulierung, Kfz-Komponenten unter der UNECE-Typgenehmigung. Die Abgrenzung im Einzelfall ist der Zweck der Anwendungsbereichs-Prüfung — oder in fünf Minuten mit dem kostenlosen RouteCheck.

3. Risikoklasse bestimmen

Default, Important Class I, Important Class II oder Critical — von dieser Einordnung hängt ab, ob Selbstbewertung reicht oder eine notifizierte Stelle prüfen muss. Die Risikoklassen im Überblick mit Beispielen pro Klasse.

4. Gap-Analyse gegen Anhang I

Für jedes betroffene Produkt: Welche der grundlegenden Anforderungen aus Anhang I sind erfüllt, welche nicht? Das Ergebnis ist die Arbeitsliste für Phase 3. Erfahrungswert: Die größten Lücken liegen fast immer bei Secure-by-Default-Konfiguration, beim dokumentierten Update-Mechanismus und bei der Protokollierung sicherheitsrelevanter Ereignisse.

Phase 2: Bis zum 11. September 2026

5. Meldeprozess für Schwachstellen aufbauen

Ab dem Stichtag gilt: Bei einer aktiv ausgenutzten Schwachstelle muss die Frühwarnung binnen 24 Stunden beim koordinierenden CSIRT und bei der ENISA eingehen, die vollständige Meldung binnen 72 Stunden, der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme.¹ Für schwerwiegende Sicherheitsvorfälle gelten eigene Fristen. Wichtig: Diese Pflicht gilt nach Artikel 69 Absatz 3 auch für Produkte, die schon vor Dezember 2027 auf dem Markt sind — Details im Artikel zur Schwachstellen-Meldepflicht.²

Ein Prozess auf Papier reicht nicht. Testen Sie den Ablauf einmal im Ernstfall-Modus: Wer erkennt die aktive Ausnutzung? Wer entscheidet über die Meldung? Wer hat die Zugangsdaten zur Meldeplattform? 24 Stunden sind kurz, wenn die Antwort auf eine dieser Fragen “unklar” lautet.

6. CVD-Policy veröffentlichen

Eine Coordinated Vulnerability Disclosure Policy ist Pflicht nach Anhang I Teil II: eine öffentliche Kontaktstelle, über die Sicherheitsforscher Schwachstellen melden können, plus ein definierter interner Prozess. Wie eine brauchbare Policy aussieht, steht im Artikel zur Vulnerability Disclosure Policy.

7. SBOM-Erzeugung automatisieren

Die Software Bill of Materials ist Teil der technischen Dokumentation und die Grundlage für schnelles Schwachstellenmanagement. Manuell gepflegte Komponentenlisten veralten in Wochen — die SBOM gehört in die Build-Pipeline. Werkzeuge und Formate im Vergleich: SBOM erstellen.

Phase 3: Bis zum 11. Dezember 2027

8. Anhang-I-Anforderungen umsetzen

Die Arbeitsliste aus der Gap-Analyse abarbeiten — priorisiert nach Risiko und Aufwand. Für Produkte mit langer Entwicklungszykluszeit (Embedded, Maschinenbau) heißt das: Die Architekturentscheidungen für die 2027er-Generation fallen jetzt.

9. Support-Zeitraum festlegen

Für jedes Produkt muss ein Unterstützungszeitraum definiert und kommuniziert werden, in dem Sicherheitsupdates bereitgestellt werden — im Regelfall mindestens fünf Jahre.³ Was das für Produktplanung und Kalkulation bedeutet, behandelt der Artikel zu den Sicherheitsupdates.

10. Technische Dokumentation zusammenführen

Risikoanalyse, Entwicklungs- und Testnachweise, SBOM, Anleitung — strukturiert nach Anhang VII, aufbewahrt für zehn Jahre.

11. Konformitätsbewertung durchführen

Default-Produkte: interne Kontrolle nach Modul A. Important und Critical: Verfahren mit notifizierter Stelle. Wer eine Prüfstelle braucht, sollte nicht bis 2027 warten — die Kapazitäten sind begrenzt, und die Wahl der Notified Body will vorbereitet sein.

12. Konformitätserklärung und CE-Kennzeichnung

Der formale Abschluss: EU-Konformitätserklärung nach Anhang V ausstellen, CE-Kennzeichnung anbringen — erst dann ist das Produkt ab dem Stichtag verkehrsfähig.

Laufende Pflichten nach dem Stichtag

Mit der CE-Kennzeichnung beginnt die Arbeit erst richtig: Schwachstellen behandeln und melden, Sicherheitsupdates über den Support-Zeitraum bereitstellen, die Dokumentation bei wesentlichen Produktänderungen aktualisieren. CRA-Compliance ist kein Projekt mit Enddatum, sondern ein Betriebszustand.

Wer wissen will, wo das eigene Produkt heute steht: Der RouteCheck liefert die Einordnung in Anwendungsbereich und Risikoklasse als Startpunkt für Phase 1.

Quellen

EU-Verordnung 2024/2847 (Cyber Resilience Act), Artikel 14 (Meldepflichten) und Artikel 71 (Geltungsbeginn): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
EU-Verordnung 2024/2847, Artikel 69 Absatz 3 (Übergangsbestimmungen — Meldepflichten für Bestandsprodukte): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
EU-Verordnung 2024/2847, Artikel 13 Absatz 8 (Unterstützungszeitraum): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
BSI — Cyber Resilience Act, Informationen für Hersteller: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/

CRA-Checkliste: Alle Schritte bis Dezember 2027