Der Cyber Resilience Act (Verordnung EU 2024/2847) wird nicht an einem einzigen Datum eingeführt. Er wird in Phasen wirksam, und jede bedeutet für Hersteller, Importeure und Händler eine andere Art von Pflicht. Wer seine Vorbereitung nur auf die letzte Frist ausrichtet, riskiert, von den früheren Pflichten unvorbereitet getroffen zu werden.
Die Verordnung ist in Kraft getreten und die Übergangsfrist hat begonnen. Rechtlich ist der CRA in Kraft – nur seine wesentlichen Pflichten gelten später. Für Unternehmen bedeutet das eines: Die Uhr läuft bereits, und dies ist die offizielle Startlinie für die Vorbereitung.
Dieses Datum wird in Diskussionen über den CRA oft unterschätzt. Meldepflichten beginnen vor der vollständigen Compliance. Hersteller müssen innerhalb kurzer Fristen melden:
Die Meldungen gehen über eine zentrale Plattform an ENISA und erfolgen mehrstufig – von einer Frühwarnung bis zu einem detaillierten Bericht. Um diese Fristen einzuhalten, braucht ein Unternehmen Prozesse und Vorlagen im Voraus, nicht erst im Moment eines Vorfalls.
Ab diesem Datum müssen alle Produkte mit digitalen Elementen auf dem EU-Markt die CRA-Anforderungen erfüllen, eine vollständige technische Dokumentation, eine durchgeführte Konformitätsbewertung, die EU-Konformitätserklärung und das CE-Kennzeichen haben. Ein Produkt, das diese Bedingungen nicht erfüllt, darf nicht rechtmäßig in Verkehr gebracht werden.
CRA-Compliance ist kein Dokument, das in letzter Minute geschrieben wird. Sie ist das Ergebnis von Prozessen, die Monate im Voraus laufen müssen:
Verwandte Leistung
CRA-Beratung
Ohne Überblick über die Komponenten eines Produkts lassen sich Schwachstellen nicht managen. Warum ein SBOM im Kern der CRA-Compliance steht.
Der CRA teilt die Pflichten nach Rolle auf. Finden Sie heraus, in welcher Sie sich befinden – und wann sich die Rolle unerwartet ändert.
Eine kostenlose Beratung zeigt Ihnen schnell, wo Sie stehen und welcher Weg zur Compliance der kürzeste ist.
Beratung vereinbaren