CRA-Fristen 2026 und 2027: Was ansteht, was blockiert ist

Stand 12. Juli 2026: NANDO zeigt keine CRA-designierten notifizierten Stellen. Keine CRA-harmonisierte Norm ist im Amtsblatt der EU veröffentlicht. Die ENISA-Meldeplattform soll bis zum 11. September 2026 betriebsbereit sein. Bis zur verpflichtenden Schwachstellen- und Vorfallsmeldung bleiben noch etwa zwei Monate.

Wenn Sie Produkte mit digitalen Elementen für den EU-Markt herstellen, ist dies die tatsächliche Lage: was Sie vor September aufbauen müssen, was aktuell blockiert ist und warum die Selbstbewertung für wichtige Produkte der Klasse I heute nicht funktioniert.

Zeitplan auf einen Blick

Lage am 12. Juli 2026, gemessen an den beiden Ankerdaten, die Hersteller binden.

Datumsreferenz

Drei Blocker, die sich nicht umgehen lassen

Keine harmonisierten Normen

Hersteller wichtiger Produkte der Klasse I haben drei Konformitätswege: Selbstbewertung, Drittbewertung anhand harmonisierter Normen oder gemeinsamer Spezifikationen, oder Bewertung durch eine notifizierte Stelle. Die ersten beiden Wege hängen von Normen oder Spezifikationen ab, die noch nicht verfügbar sind. Stand 12. Juli 2026:

• Die Seite der Kommission zu harmonisierten Normen führt keinen Eintrag zur Verordnung (EU) 2024/2847.
• Es wurden keine gemeinsamen Spezifikationen für den CRA erlassen.
• Kein delegierter Rechtsakt weist ein europäisches Cybersicherheits-Zertifizierungssystem als CRA-Konformitätsvermutungsweg aus.

Wo Normen fehlen, bleibt Modul B+C (EU-Baumusterprüfung) oder Modul H (umfassende Qualitätssicherung). Beide erfordern eine notifizierte Stelle.

Wenn Sie also ein wichtiges Produkt der Klasse I herstellen, funktioniert die Selbstbewertung heute nicht. Die Bewertung durch eine notifizierte Stelle ist der einzige konforme Weg.

CEN-CLC/JTC 13/WG 9 entwickelt die EN 40000-Reihe:

• prEN 40000-1-1 (Vokabular): öffentliche Umfrage abgeschlossen, noch nicht in der formalen Abstimmung.
• prEN 40000-1-2 (Grundsätze): öffentliche Umfrage abgeschlossen, noch nicht in der formalen Abstimmung.
• prEN 40000-1-3 (Schwachstellenbehandlung): öffentliche Umfrage lief von Dezember 2025 bis Februar 2026, derzeit in der Kommentarauswertung.
• prEN 40000-1-4 (Allgemeine Sicherheitsanforderungen): noch in Erstellung.
• Vertikale Typ-C-Normen (Browser, VPNs, SIEM und weitere): in fortgeschrittenem Entwurfsstadium, noch nicht in der öffentlichen Umfrage.

Realistisch frühester Zitiertermin im Amtsblatt: Q4 2026. Mehrere vertikale Normen werden voraussichtlich ins Jahr 2027 rutschen.

Keine notifizierten Stellen

Kapitel IV gilt seit dem 11. Juni 2026. Ziel der Kommission ist eine ausreichende Kapazität notifizierter Stellen bis zum 11. Dezember 2026, aber das ist ein Best-Effort-Ziel und keine Garantie pro Produktkategorie. Stand 12. Juli 2026 erscheinen keine CRA-designierten notifizierten Stellen in NANDO.

Wenn Sie eine Bewertung für ein wichtiges Produkt der Klasse I vor Dezember 2027 abschließen müssen, planen Sie:

• Vorbereitung der technischen Dokumentation: 3 bis 6 Monate.
• Bewertung Modul B+C: 2 bis 4 Monate pro Produkt.
• Verfügbarkeit notifizierter Stellen: unsicher, obwohl die formale Designierung nach Kapitel IV nun geöffnet ist.

Sprechen Sie jetzt mit Konformitätsbewertungsstellen. Die formale Mechanik ist geöffnet, aber CRA-Kapazität ist in NANDO noch nicht gelistet. Wer wartet, bis Kapazität ausgereift ist, macht den Abschluss vor Dezember 2027 weniger wahrscheinlich.

Keine ENISA-Meldeplattform

Die einheitliche Meldeplattform ist am 12. Juli 2026 noch nicht betriebsbereit. ENISA veröffentlicht im Juni 2026 Betriebsanweisungen und Schulungsmaterial; die Plattform soll bis zum 11. September 2026 betriebsbereit sein.

Was Sie heute tun können:

• Meldevorlagen für die vier Stufen entwerfen: 24 Stunden, 72 Stunden, 14-Tage-Schwachstellenabschlussbericht und Ein-Monats-Abschlussbericht zu schwerwiegenden Sicherheitsvorfällen.
• Den zuständigen CSIRT-Koordinator Ihres Mitgliedstaats identifizieren.
• Intern festlegen, wer eine 24-Stunden-Meldung an einem Wochenende oder Feiertag freigeben darf.

ENISA-Seite zur einheitlichen Meldeplattform öffnen.

Was vor dem 11. September 2026 stehen muss

Es bleiben noch etwa zwei Monate. Wenn diese Punkte nicht erledigt sind, sind Sie nicht mit Aufgaben im Rückstand. Sie sind mit Infrastruktur im Rückstand, und Infrastruktur baut man nicht in Wochen auf.

Produktinventar und Klassifizierung

Sie brauchen eine vollständige Liste aller Produkte mit digitalen Elementen (PDE), die Sie auf dem EU-Markt bereitstellen, mit bestätigter CRA-Klassifizierung je Produkt:

• Standardklasse: Selbstbewertung verfügbar.
• Wichtig Klasse I: Bewertung durch eine notifizierte Stelle heute erforderlich (siehe oben).
• Wichtig Klasse II: Notifizierte Stelle erforderlich. Modul B+C oder Modul H.
• Kritisch: Modul B+C oder umfassende Qualitätssicherung. Eine europäische Cybersicherheits-Zertifizierung kann zusätzlich anwendbar sein.

Klassifizierungs-Referenz: Durchführungsverordnung (EU) 2025/2392 (ABl. 1. Dezember 2025, in Kraft 21. Dezember 2025) liefert technische Beschreibungen der Produktkategorien aus Anhang III und IV. Nutzen Sie sie für Grenzfälle.

SBOM-Infrastruktur

Sie können eine aktiv ausgenutzte Schwachstelle nicht binnen 24 Stunden melden, wenn Sie nicht wissen, welche Komponenten Ihr Produkt enthält. Die SBOM-Erstellung muss vor September 2026 produktiv laufen.

• Format: CycloneDX oder SPDX. Beide werden unter dem CRA akzeptiert. Wählen Sie eines und vereinheitlichen Sie es produktübergreifend.
• Umfang: Transitive Abhängigkeiten, nicht nur direkte. Die vollständige Komponentensicht ist für die Risikoanalyse nach Anhang VII erforderlich.
• Speicherung: Versionsverwaltet, gekoppelt an Produkt-Releases. Jede SBOM muss einem konkreten Build zuordenbar sein.
• Integration: CI/CD-Pipeline. Ein einmaliger Export erfüllt die laufende Pflicht nicht.

Schwachstellenüberwachung

Die 24-Stunden-Meldefrist beginnt mit der Kenntnisnahme: hinreichende Sicherheit auf Basis einer ersten Einschätzung. Eine forensische Bestätigung ist nicht erforderlich, um die Frist auszulösen. Sie brauchen eine Überwachung, die diese erste Einschätzung liefern kann, bevor die Frist abläuft.

• Abonnieren Sie NVD, OSV und einschlägige Hersteller-Advisories für Ihren Komponenten-Stack.
• Automatisieren Sie das Scannen gegen Ihre SBOM-Komponenten.
• Dokumentieren Sie Ihren internen Eskalationspfad und testen Sie ihn End-to-End.
• Entwerfen Sie Meldevorlagen jetzt, bevor die ENISA-Plattform startet.

Checkliste vor September 2026

PRODUKTINVENTAR (zuerst: die Klassifizierung steuert Ihren Konformitätsweg):
[ ] Vollständige Liste der in der EU verkauften PDE mit bestätigter CRA-Klassifizierung pro Produkt
[ ] Wichtige Produkte Klasse I: Konformitätsbewertungsstelle jetzt einbinden. Die formale
    CRA-Notifizierung ist geöffnet, aber NANDO listet noch keine designierten Stellen;
    Warten auf ausgereifte Kapazität reißt den Dezember 2027.
[ ] Supportzeitraum gemäß erwarteter Produktlebensdauer angegeben

SBOM (hier starten: speist Überwachung, technische Dokumentation und 24-Stunden-Meldung):
[ ] SBOM-Erstellung in CI/CD-Pipeline integriert: ein einmaliger Export reicht nicht
[ ] Format vereinheitlicht: CycloneDX oder SPDX
[ ] Abdeckung transitiver Abhängigkeiten verifiziert: nur direkte reichen nicht
[ ] SBOMs versionsverwaltet und an konkrete Produkt-Releases gekoppelt

SCHWACHSTELLENÜBERWACHUNG (muss vor dem 11. September live sein):
[ ] Überwachung aktiv für alle Produkte: NVD, OSV, Hersteller-Advisories
[ ] Automatisiertes Scannen gegen SBOM läuft
[ ] Interner Eskalationspfad dokumentiert und End-to-End getestet
[ ] 24/7-Abdeckung bestätigt, einschließlich Feiertags- und Wochenend-Eskalation

MELDEVORBEREITUNG (ENISA-Plattform noch nicht live: alles andere jetzt vorbereiten):
[ ] Vorlagen für 24 Stunden, 72 Stunden, 14-Tage-Schwachstelle und Ein-Monats-Vorfall entworfen
[ ] CSIRT-Koordinator des Mitgliedstaats identifiziert
[ ] Person mit Befugnis zur Auslösung einer 24-Stunden-Meldung benannt und rund um die Uhr erreichbar

DOKUMENTATION:
[ ] Technische Dokumentation gegen Anhang VII geprüft
[ ] Lückenanalyse abgeschlossen
[ ] Risikoanalyse läuft

Was die Meldung ab 11. September 2026 verlangt

Ab dem 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an zwei Stellen melden: an den zuständigen CSIRT-Koordinator Ihres Mitgliedstaats und an ENISA über die einheitliche Meldeplattform.

Was „aktiv ausgenutzt" bedeutet

Die 24-Stunden-Frist greift, wenn glaubwürdige Hinweise vorliegen, dass ein Bedrohungsakteur die Schwachstelle in einem System ohne Erlaubnis des Eigentümers genutzt hat. Indikatoren sind:

• Bestätigte Angriffe in freier Wildbahn.
• Ausnutzung in Threat-Intelligence-Feeds gemeldet oder von Sicherheitsforschern berichtet.
• Erkennung in Honeypots mit Hinweisen auf aktiven Einsatz.

Der Entwurf der Kommissionsleitlinie (Ares(2026)2319816, 3. März 2026) verwendet „glaubwürdige Hinweise auf aktive Ausnutzung" als Maßstab, der unter einer forensischen Bestätigung liegt.

Phase-2-Bereitschaftscheckliste

MELDEINFRASTRUKTUR (vor dem 11. September 2026):
[ ] Meldevorlagen vorbereitet: Formate für 24 Stunden, 72 Stunden, 14-Tage-Schwachstelle und Ein-Monats-Vorfall
[ ] CSIRT-Koordinator des Mitgliedstaats identifiziert: er ist neben ENISA Ihre primäre
    Meldestelle
[ ] 24/7-Eskalationspfad bestätigt, einschließlich Feiertagsabdeckung und Backup-Kontakten
[ ] Rechtsprüfung der Meldepflichten abgeschlossen

SCHWACHSTELLENMANAGEMENT:
[ ] Aktive Überwachung für alle Produkte einsatzbereit
[ ] CVE/NVD-Integration live
[ ] Vorlagen für Kundenmeldungen bereit

TEAM-BEREITSCHAFT:
[ ] Sicherheitsteam zu den Meldepflichten und der vierstufigen Frist geschult
[ ] Eskalationspfad ans Management dokumentiert
[ ] Rechtsabteilung zu den Meldepflichten gebrieft
[ ] Kommunikationsteam auf öffentliche Bekanntmachungen vorbereitet

Vollständige Konformität bis 11. Dezember 2027

Grundlegende Cybersicherheitsanforderungen (Anhang I)

Jedes konforme PDE muss diese Anforderungen erfüllen:

Security by Design

• Sicherheitsniveau angemessen zu den Risiken des Produkts (Anhang I, Teil I, §1).
• Schutz gegen unbefugten Zugriff.
• Vertraulichkeit, Integrität und Verfügbarkeit von Daten und wesentlichen Funktionen.
• Minimale Angriffsfläche, sichere Voreinstellungen, keine fest kodierten Zugangsdaten.

Schwachstellenmanagement

• Dokumentierter Prozess zur Identifikation und Behebung von Schwachstellen.
• Zeitnahe, kostenlose Sicherheitsupdates während des Supportzeitraums.
• Politik zur koordinierten Offenlegung von Schwachstellen.

Update-Fähigkeit

• Sicherer, zuverlässiger Update-Mechanismus.
• Möglichkeit, Sicherheitsupdates von Funktionsupdates zu trennen.

Technische Dokumentation (Anhang VII)

Supportzeitraum: zwei getrennte Pflichten

Der CRA legt zwei eigenständige Pflichten zu Sicherheitsupdates fest.

Supportdauer: Sie müssen Sicherheitsupdates für mindestens fünf Jahre ab Inverkehrbringen des Produkts bereitstellen, oder für die erwartete Lebensdauer, falls diese kürzer ist. Fünf Jahre sind die Untergrenze, nicht die Vorgabe. Ein Produkt mit zehn Jahren erwarteter Lebensdauer braucht eine zehnjährige Supportzusage.

Update-Verfügbarkeit: Jedes von Ihnen ausgelieferte Sicherheitsupdate muss mindestens zehn Jahre ab Veröffentlichung oder bis zum Ende des Supportzeitraums zum Download verfügbar bleiben, je nachdem, welcher Zeitraum länger ist.

Beide Pflichten sind unabhängig. Ein im vierten Jahr eines fünfjährigen Supportzeitraums veröffentlichtes Update muss bis zum 14. Jahr nach Veröffentlichung herunterladbar bleiben. Wenn Sie alte Update-Pakete löschen oder Verteilinfrastruktur auslaufen lassen, können Sie die Verfügbarkeitsregel verletzen, selbst wenn Sie planmäßig neue Updates ausliefern. Planen Sie Speicher- und Verteilinfrastruktur für die lange Strecke, bevor Sie Ihr erstes Update unter dem CRA ausliefern.

Checkliste Dezember 2027

PRODUKT-COMPLIANCE:
[ ] Alle Produkte erfüllen die Anforderungen aus Anhang I: Security by Design, Schwachstellenmanagement
    und Update-Fähigkeit
[ ] Konformitätsbewertungen abgeschlossen: Verfahren mit notifizierter Stelle für wichtige Produkte
    Klasse I und Klasse II beendet
[ ] CE-Kennzeichnung angebracht
[ ] EU-Konformitätserklärung gemäß Art. 28 erstellt

TECHNISCHE DOKUMENTATION (Anhang VII):
[ ] Risikoanalyse abgeschlossen und dokumentiert
[ ] SBOM aktuell und validiert
[ ] Konformitätsnachweise strukturiert und zugänglich
[ ] Supportzeitraum gemäß erwarteter Produktlebensdauer angegeben

LIEFERKETTE:
[ ] Einführer und Händler über ihre CRA-Pflichten informiert
[ ] Kundenseitige Dokumentation aktualisiert

LAUFEND:
[ ] Sicherheitsupdate-Prozess aktiv über die volle Dauer des Supportzeitraums
[ ] Verteilinfrastruktur für Update-Verfügbarkeit eingerichtet: zehn Jahre
    ab Veröffentlichungsdatum
[ ] Schwachstellenüberwachung aktiv und getestet
[ ] Vorfallsreaktion mindestens vierteljährlich geübt

Leitlinien der Kommission: Entwurf März 2026

Die Kommission hat am 3. März 2026 einen Mitteilungsentwurf (Ares(2026)2319816) mit rund 70 Seiten veröffentlicht. Die Stakeholder-Konsultation endete am 31. März 2026. Das Dokument ist nicht final. Endgültige Sprachfassungen stehen aus. Eine vollständige Aufschlüsselung finden Sie in unserem Leitfaden zur Kommissionsleitlinie.

Wichtige Festlegungen mit Bezug zu Ihrem Zeitplan:

RDPS-Test für SaaS-Anwendungsbereich: Software zur Datenfernverarbeitung fällt nur dann in den CRA-Anwendungsbereich, wenn sie drei Bedingungen erfüllt. Die Software führt eine Datenfernverarbeitung durch. Diese Verarbeitung ist für die Kernfunktion des Produkts erforderlich. Und der Hersteller kontrolliert die Datenfernverarbeitung. SaaS, das diesen Test nicht besteht, ist außerhalb des Anwendungsbereichs.

Bestandsprodukte: Eine Rekonstruktion historischer Dokumentation ist nicht erforderlich. Sie brauchen eine aktuelle Risikoanalyse. Produktfamilien dürfen für Zwecke der Risikoanalyse gruppiert werden.

Software-Updates: Ein Update gilt nicht als „wesentliche Änderung", die eine neue Konformitätsbewertung auslöst, es sei denn, es führt neue Bedrohungsvektoren ein oder ändert den Verwendungszweck des Produkts. Die Leitlinie liefert einen Test mit vier Fragen.

24-Stunden-Frist: Beginnt mit der Kenntnisnahme. Hinreichende Sicherheit auf Basis einer ersten Einschätzung genügt. Eine forensische Bestätigung ist nicht erforderlich.

Untergrenze des Supportzeitraums: Fünf Jahre sind ein Minimum, keine Vorgabe. Der Supportzeitraum muss die erwartete Lebensdauer des Produkts widerspiegeln.

Open Source: Die Veröffentlichung von Quellcode stellt kein Inverkehrbringen dar. Beitragende, die das Release eines fertigen Produkts nicht kontrollieren, sind unter dem CRA keine Hersteller.

Ankündigung der Kommission lesen.

Sanktionen

Die oberste CRA-Sanktionsstufe beträgt 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Sie gilt für:

• Verstöße gegen grundlegende Cybersicherheitsanforderungen und Herstellerpflichten.
• Nichterfüllung der Pflichten zur Meldung von Schwachstellen und Sicherheitsvorfällen.

Beide Verstöße liegen in derselben Sanktionsstufe. Es gibt keine niedrigere Stufe für Meldeverstöße.

Branchenspezifische Hinweise

Unterhaltungselektronik

Die SBOM-Automatisierung ist die wertvollste Frühinvestition. Sie speist direkt die Schwachstellenüberwachung und die Erstellung der technischen Dokumentation. Konsumprodukte haben typischerweise komplexe Lieferketten mit mehreren Komponentenherstellern.

Firmware-Updates über große Gerätepopulationen hinweg zu steuern, erfordert OTA-Infrastruktur. Ein im dritten Lebensjahr eines Produkts ausgeliefertes Update muss zehn Jahre ab Veröffentlichung herunterladbar bleiben. Planen Sie Ihre Verteilinfrastruktur jetzt, nicht zum Zeitpunkt der Auslieferung.

Software-Anbieter

Die Schwachstellenmeldung ist die operativ anspruchsvollste Pflicht für Software-Produkte. Die Entdeckungsraten sind höher, und Abhängigkeiten in transitiver Tiefe in modernen Stacks zu verfolgen, ist nicht trivial. Integrieren Sie die SBOM-Erstellung in Ihre bestehenden CI/CD-Pipelines. Das speist direkt die Überwachung und den Reaktions-Workflow.

Industrieausrüstung

Industrieprodukte fallen häufig in wichtig Klasse I oder Klasse II, was heute eine Bewertung durch eine notifizierte Stelle bedeutet. Sprechen Sie jetzt mit Konformitätsbewertungsstellen. Das formale Designierungsverfahren ist nach Kapitel IV geöffnet, und die Kapazität bleibt mindestens bis Dezember 2026 knapp.

IoT-Geräte

Die Beseitigung von Standard-Zugangsdaten folgt aus der Anforderung "sicher per Voreinstellung" (Anhang I, Teil I). Gehen Sie sie zuerst an. Sie ist ein klarer Verstoß gegen Anhang I und im Vergleich zu Architekturänderungen relativ eingegrenzt zu beheben. Sichere Update-Mechanismen für ressourcenbeschränkte Geräte sind aufwendiger. Beginnen Sie mit den Zugangsdaten, danach folgen die Updates.