CRA-Fristen im Überblick
Der Cyber Resilience Act (EU 2024/2847) und die Maschinenverordnung (EU) 2023/1230 laufen in mehreren Stufen an – nicht erst mit der vollständigen Anwendbarkeit 2027. Wer heute noch keine funktionierenden Prozesse für Risikobewertung, Schwachstellenmanagement und Meldewege hat, fängt am besten heute noch damit an.
bis die CRA-Meldepflichten greifen
ab 11. September 2026 – 24-Std.-Frühwarnung, 72-Std.-Bericht, 14-Tage-Abschlussbericht
bis die Maschinenverordnung vollständig gilt
ab 20. Januar 2027 – Cybersecurity wird Pflichtbestandteil der CE-Kennzeichnung
Alle Meilensteine chronologisch
Vergangene Meilensteine sind grau mit Häkchen markiert, der aktuell dringendste Termin rot mit Ausrufezeichen, künftige Termine in Blau mit Pfeil.
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten (veröffentlicht im EU-Amtsblatt am 20. November 2024). Er ist eine horizontale EU-Verordnung mit einheitlichen Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden.
Mit der Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 hat die EU-Kommission präzisiert, welche Produkte als „wichtig" (Anhang III, Klasse I/II) oder „kritisch" (Anhang IV) gelten – etwa Identitäts- und Zugriffsmanagement, Netzwerkmanagement oder Industrial-Control-Komponenten. Für diese Kategorien gelten strengere Konformitätsbewertungsverfahren als für Standardprodukte.
Ab dem 11. Juni 2026 gelten die Vorschriften, nach denen benannte Stellen Konformitätsbewertungen für wichtige und kritische Produkte durchführen dürfen. Damit steht die Infrastruktur, die Hersteller ab 2027 für Baumusterprüfungen (Modul B+C) oder umfassende Qualitätssicherung (Modul H) benötigen.
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle dem zuständigen CSIRT und der ENISA über eine einheitliche Meldeplattform melden – und zwar dreistufig: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine detaillierte Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach Bereitstellung der Korrekturmaßnahme (bzw. innerhalb eines Monats nach der detaillierten Meldung, wenn es um einen Vorfall statt um eine Schwachstelle geht).
Ein Vorfall gilt als schwerwiegend, wenn er Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit eines Produkts beeinträchtigt oder zur Einführung böswilligen Codes geführt hat oder führen könnte. Zusätzlich müssen betroffene Nutzer über die Schwachstelle bzw. den Vorfall und mögliche Risikominderungsmaßnahmen informiert werden.
Diese Pflicht greift über ein Jahr vor der vollständigen CRA-Anwendbarkeit – Meldewege, Zuständigkeiten und Formate müssen also schon jetzt stehen, nicht erst 2027. Verstöße gegen die Meldepflichten fallen unter die höchste Sanktionsstufe: Bußgelder bis 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 vollständig. Sie verlangt in Anhang III explizit, Cybersicherheitsrisiken in die Risikobeurteilung von Maschinen einzubeziehen, sobald diese vernetzt sind oder Sicherheitsfunktionen betroffen sein könnten.
Für Maschinenbauer bedeutet das: Ohne dokumentierte Cyber-Betrachtung steht ab diesem Stichtag die CE-Kennzeichnung betroffener Maschinen in Frage. Das betrifft nicht nur neu entwickelte Produkte, sondern auch Exemplare bestehender Baureihen, die erstmals nach diesem Datum in Verkehr gebracht werden.
Ab dem 11. Dezember 2027 gelten alle materiellen CRA-Anforderungen vollständig: Konformitätsbewertung nach Anhang VIII (je nach Produktklasse Modul A, B+C, H oder ein europäisches Cybersicherheitszertifikat), EU-Konformitätserklärung und CE-Kennzeichnung sowie die laufende Pflicht zum Schwachstellenmanagement über den gesamten Unterstützungszeitraum – mindestens fünf Jahre, bei langlebigen Industrieprodukten in der Regel deutlich länger.
Wer bis dahin keine Cybersicherheitsrisikobewertung und keine funktionierenden Prozesse für Schwachstellenmanagement und Meldewege hat, darf betroffene Produkte mit digitalen Elementen ab diesem Stichtag nicht mehr in der EU in Verkehr bringen. Es drohen dieselben hohen Bußgelder wie bei Verstößen gegen die Meldepflichten.
Wo steht Ihr Produkt heute?
Im kostenlosen Erstgespräch ordnen wir Ihr Produktportfolio ein und benennen die größten offenen Punkte – konkret und ohne Berater-Allgemeinplätze.