Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist voll anwendbar ab dem 11. Dezember 2027 — die Meldepflichten seines Artikels 14 gelten aber bereits ab dem 11. September 2026: eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden über die Single Reporting Platform der ENISA. Diese Meldepflicht gilt ausdrücklich auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Der Check ordnet ein, was Sie in Verkehr bringen, ob davon schon etwas im Markt ist und ob Sie am 11.09.2026 überhaupt melden könnten.
Der wichtigste Punkt dieses Checks ist eine Ergänzung, die fast überall fehlt. Der CRA wird nahezu durchgängig mit dem 11. Dezember 2027 verbunden. Für die Meldepflichten stimmt das nicht: Sie beginnen am 11. September 2026, und sie gelten ausdrücklich auch für Produkte, die vorher in Verkehr gebracht wurden. Wer heute Software oder ein vernetztes Gerät im Markt hat, ist ab September betroffen — auch dann, wenn er bis dahin kein einziges neues Produkt ausliefert.
Die Zahl, die zum CRA fast überall falsch steht. Vielfach werden dem Cyber Resilience Act 35 Mio. € oder 7 % des Jahresumsatzes zugeschrieben. Das sind die Werte der KI-Verordnung für die verbotenen Praktiken nach ihrem Artikel 5. Der CRA nennt in Artikel 64 Absatz 2 bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes. Welche Verstöße unter welche Sanktionsstufe fallen, sagen wir nicht — Artikel 64 hat mehrere Absätze.
Was der Check bewusst NICHT tut. Er nennt keine Produktklassen, keine Ausnahmen — auch nicht für Open Source oder reine Cloud-Dienste — und keinen Unterstützungszeitraum. Für uns sind zum CRA fünf Angaben an der Primärquelle geprüft. Alles Weitere führen wir im CRA-Leitfaden offen als noch nicht geprüft auf, statt Angaben aus zweiter Hand zu übernehmen. Eine falsche Ausnahme in einer Betroffenheitsprüfung ist teurer als eine fehlende.
#FrageWarum sie zählt1Was bringt Ihr Betrieb in Verkehr?Software, Geräte mit Firmware oder Verbindung, Einfuhr/Handel — oder nichts davon. Ein Produkt mit digitalen Elementen ist beides: Hard- und Software.2Ist davon heute schon etwas bei Kunden im Einsatz?Der 11.09.2026 knüpft an das Inverkehrbringen an, nicht an neue Releases. Hier entscheidet sich, ob die Meldepflicht Sie sofort trifft.3Wie erfahren Sie, dass eine Schwachstelle ausgenutzt wird?Ohne Eingangskanal läuft die 24-Stunden-Frist, bevor überhaupt jemand davon weiß.4Könnten Sie binnen 24 Stunden melden — auch am Wochenende?Art. 14 kennt 24 Stunden für die Frühwarnung und 72 Stunden für die Meldung. Ein Angriff hält sich nicht an Bürozeiten.5Ist der Meldeweg über die ENISA-Plattform geklärt?Gemeldet wird über die Single Reporting Platform der ENISA. Wer im Ernstfall erst sucht, verliert genau die Stunden, die die Frist ausmachen.6Führen Sie eine Stückliste Ihrer Software-Komponenten (SBOM)?Vorlauf für die volle Anwendbarkeit am 11.12.2027 — und im Ernstfall die Antwort auf die Frage, ob eine bekannte Lücke überhaupt Ihr Produkt betrifft.
StufeWann sie ausgegeben wirdKernaussageNicht im AnwendungsbereichAusdrücklich kein Produkt mit digitalen Elementen im SpielDie Herstellerpflichten richten sich nach Ihren Angaben nicht an Sie — mit ausdrücklicher Bitte um Gegenprüfung bei Geräten mit Firmware.Betroffen — beobachtenErfasst, aber noch nichts im MarktZum 11.09.2026 folgt daraus kein Sofort-Handlungsbedarf; die Meldepflicht greift ab der ersten Auslieferung.Betroffen — 11.09.2026 relevantEtwas im Markt, Meldefähigkeit stehtErkennung, 24-Stunden-Fähigkeit und Meldeweg sind geklärt. Bleibt der 11.12.2027.Betroffen — Meldefähigkeit fehltEtwas im Markt, aber mindestens eine Lücke bei Erkennung, 24-Stunden-Fähigkeit, Meldeweg oder EinordnungKonkreter Hinweis, welcher Punkt zuerst zu klären ist.
Keine falsche Entwarnung. Jedes „Weiß ich nicht" wertet der Check nach oben, nie nach unten. „Wir sind kein Software-Haus" führt nur dann zur Entwarnung, wenn Sie ausdrücklich angeben, überhaupt nichts mit digitalen Elementen in Verkehr zu bringen — ein Gerät mit Firmware zählt dazu. Und „wir liefern keine Updates mehr" ist keine Abmeldung: Das Produkt wurde trotzdem in Verkehr gebracht, und genau daran knüpft die Meldepflicht an. Ob die Verordnung einen Unterstützungszeitraum kennt, nach dessen Ablauf Pflichten enden, haben wir nicht geprüft.
Ein und derselbe Vorfall kann drei verschiedene Meldepflichten auslösen, und keine ersetzt die andere: der CRA nimmt Sie als Hersteller eines Produkts in die Pflicht (Meldung über die ENISA-Plattform), NIS2 als reguliertes Unternehmen gegenüber dem BSI, und Artikel 33 DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden eine Meldung an die Datenschutz-Aufsichtsbehörde. Wer das auf dem Notfallzettel zusammenzieht, meldet im Ernstfall an der falschen Stelle.
Achtung — keine Rechtsberatung. Der CRA-Betroffenheits-Check ist eine unverbindliche Orientierungshilfe auf Basis Ihrer Angaben und der fünf oben genannten, an der Primärquelle geprüften Angaben zur Verordnung (EU) 2024/2847. Er nimmt keine Prüfung Ihres Einzelfalls vor und ersetzt keine Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt — insbesondere nicht für die Frage, ob und wie Ihre Produkte erfasst sind und welche Rolle Ihr Betrieb im Sinne der Verordnung einnimmt.