Cyber Resilience Act für vernetzte Hard- und Software: Geltungsbereich und Kernpflichten in Eppingen
Ein vernetztes Gerät, eine eigenständig verkaufte Software oder eine Produktfunktion mit zwingender Cloud-Anbindung kann eine andere regulatorische Ausgangslage haben als eine reine interne…
Unverbindliche Anfrage
Kein Vertrag, keine versteckten Kosten.
Direkter Kontakt
Rückmeldung direkt vom Anbieter — kein Callcenter.
Zeitnahe Antwort
Anfragen werden zügig geprüft und beantwortet.
Ein vernetztes Gerät, eine eigenständig verkaufte Software oder eine Produktfunktion mit zwingender Cloud-Anbindung kann eine andere regulatorische Ausgangslage haben als eine reine interne IT-Anwendung. Der Cyber Resilience Act richtet sich an Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Entscheidend ist deshalb zuerst das Produkt und seine Verbindung zu Geräten oder Netzen – nicht die Größe des Unternehmens.
Was der Cyber Resilience Act erfasst
Die EU beschreibt Produkte mit digitalen Elementen als Hardware- oder Softwareprodukte einschließlich bestimmter Lösungen zur entfernten Datenverarbeitung. In den Anwendungsbereich fallen Produkte, wenn ihre vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst. Damit kann die Prüfung sowohl klassische vernetzte Hardware als auch eigenständige Software und produktnotwendige Remote-Funktionen betreffen. Ob ein konkretes Angebot tatsächlich erfasst ist, muss anhand des Einzelfalls geprüft werden.
Welche Aufgaben auf Hersteller zukommen
Für Hersteller verbindet der CRA Produktentwicklung, Dokumentation und laufende Sicherheitsprozesse. Vor dem Inverkehrbringen ist eine Cybersicherheits-Risikobewertung vorgesehen. Die gewählten Maßnahmen müssen in der technischen Dokumentation nachvollziehbar sein; außerdem ist ein passendes Konformitätsbewertungsverfahren erforderlich. Nach dem Inverkehrbringen kommen Schwachstellenbehandlung, Sicherheitsupdates während des angegebenen Supportzeitraums und bestimmte Meldepflichten hinzu.
Zwei Termine müssen getrennt werden
Die Berichtspflichten nach Artikel 14 gelten ab 11. September 2026. Die Hauptpflichten des CRA gelten ab 11. Dezember 2027. Diese Termine dürfen nicht vermischt werden: Ein Unternehmen kann für ein bereits am Markt befindliches Produkt ab September 2026 einen Meldeprozess benötigen, obwohl die allgemeinen Produktpflichten erst später vollständig greifen. Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten Übergangsregeln; bei einer späteren wesentlichen Änderung kann eine neue Prüfung erforderlich werden.
Warum die frühe Einordnung wirtschaftlich relevant ist
Die erste Einordnung beeinflusst Entwicklungsaufwand, Dokumentation, Updateplanung, Lieferantenanforderungen und gegebenenfalls die Wahl des Konformitätsverfahrens. Wer erst kurz vor einer Produkteinführung feststellt, dass Risikobewertung, technische Unterlagen oder ein belastbarer Schwachstellenprozess fehlen, muss diese Themen unter Zeitdruck nachholen. Umgekehrt sollte kein Betrieb Prozesse aufbauen, die für das konkrete Produkt gar nicht erforderlich sind.
Was eine Vorprüfung leisten kann
Eine unverbindliche Ersteinschätzung kann Produkt, Datenverbindung, Marktrolle, Zeitplan und vorhandene Sicherheitsprozesse strukturiert erfassen. Daraus lässt sich ableiten, welche Punkte vertieft geprüft werden sollten und wo technische oder rechtliche Spezialberatung nötig ist. Eine solche Vorprüfung ist keine Zertifizierung und ersetzt keine Rechtsberatung.
Häufige Fragen
Ihre Fragen zum CRA in Eppingen
Beschreiben Sie kurz, welche Aspekte des Cyber Resilience Act für Ihr Unternehmen relevant sind. Ihre Anfrage wird an die passenden Partnerbetriebe aus der Region weitergeleitet.
CRA-Check jetzt starten