CRA-Zeitplan: die Termine des Cyber Resilience Act von 2026 bis 2027
Der Cyber Resilience Act kommt nicht auf einmal. Die Meldepflicht gilt bereits; die Anforderungen an die Produkte folgen im Dezember 2027. Hier die Termine, was jeder ändert und was Sie bereit haben sollten.
Die Termine
- 10. Dezember 2024: Die Verordnung tritt in Kraft.
- 11. Juni 2026: Die Regeln zur Notifizierung von Konformitätsbewertungsstellen (Kapitel IV) gelten.
- 11. September 2026: Die Meldepflicht nach Artikel 14 gilt: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, über die Single Reporting Platform der ENISA. Sie betrifft jedes Produkt auf dem Markt, auch bereits vorher in Verkehr gebrachte.
- 11. Dezember 2027: Alles Übrige gilt: die grundlegenden Anforderungen aus Anhang I, die technische Dokumentation, die Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung.
Produkte, die bereits auf dem Markt sind
Ein vor dem 11. Dezember 2027 in Verkehr gebrachtes Produkt muss die vollen Anforderungen nur erfüllen, wenn es nach diesem Datum wesentlich geändert wird (Artikel 69). Bei der Meldepflicht ist es anders: Artikel 14 gilt bereits.
Was Sie bereit haben sollten
- Jetzt: ein Weg, ein Ereignis einzustufen, den Zeitpunkt der Kenntnisnahme festzuhalten und die 24-Stunden-Frühwarnung zu senden, mit Personen, die auf der Plattform der ENISA registriert sind. Unser Leitfaden eine aktiv ausgenutzte Schwachstelle melden führt Schritt für Schritt durch.
- Vor Dezember 2027: eine SBOM für jede Version, ein für jedes Produkt festgelegter und angekündigter Supportzeitraum, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und die technische Dokumentation.
Bußgelder bei Verstößen gegen die grundlegenden Anforderungen und die Pflichten aus Artikel 13 und 14 können 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Kleinst- und Kleinunternehmen werden nicht allein wegen einer versäumten 24-Stunden-Frühwarnung sanktioniert (Erwägungsgrund 120).
Clearlane CRA deckt die Meldepflicht schon heute ab und führt Produkte, Versionen, Supportzeiträume und SBOMs in Jira für 2027.
Quelle: Verordnung (EU) 2024/2847, Artikel 14, 64, 69 und 71. Geprüft am 16. Oktober 2026.