Seit dem 11.09.2026 gilt die Meldepflicht. Ab dem 11.12.2027 erhält dein Gerät das CE-Zeichen nur noch mit CRA-Nachweis. In einem Tag zeigen wir dir, wo dein Produkt und deine Organisation heute stehen.
Stand: Oktober 2026 · Der Workshop ersetzt keine Rechtsberatung.
Format
CRA-Workshop, ein Tag
Preis
Festpreis
Ergebnis
Lückenliste, getrennt nach Organisation und Gerät
Nächste Frist
11.12.2027, Vollanwendung
Grundlagen
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) regelt die Cybersicherheit von Produkten mit digitalen Elementen. Er gilt für Hersteller, Importeure und Händler von Geräten mit Software und Datenverbindung, ob per Funk oder Kabel.
Standardprodukte
Selbstbewertung genügt.
Wichtige Produkte (Klasse I und II)
Bei Klasse I ohne harmonisierte Norm faktisch eine benannte Stelle.
Kritische Produkte
Strengste Stufe mit eigenen Prüfpflichten.
Die Lage
Als EU-Verordnung gilt der CRA seit dem 10.12.2024 direkt in allen Mitgliedstaaten. Die Pflichten greifen in Stufen, die erste läuft bereits.
Für die Umsetzung im Unternehmen zeigt unsere Erfahrung aus Projekten 18 bis 24 Monate. Das ist ein Erfahrungswert, keine gesetzliche Vorgabe.
10.12.2024
Der CRA tritt in Kraft
11.09.2026 · gilt bereits
Meldepflicht für aktiv ausgenutzte Schwachstellen
Sie gilt auch für Geräte, die schon im Feld sind. Die Fristen stehen im Abschnitt Grundlagen.
11.12.2027
CE-Zeichen nur noch mit CRA-Nachweis
Dann gelten die übrigen Pflichten, darunter Anhang I, Konformitätsbewertung und mindestens fünf Jahre Sicherheitsupdates. Sie greifen für Produkte, die ab diesem Tag neu in Verkehr kommen.
Funk oder Kabel
Mit Funk
Seit August 2025 gelten für Funkgeräte Cyberanforderungen aus der Funkanlagenrichtlinie, geprüft nach EN 18031. Ab dem 11.12.2027 löst der CRA diese Pflicht ab.
Gute EN-18031-Arbeit trägt weiter: Viele Nachweise lassen sich auf die technischen Sicherheitsanforderungen des CRA an dein Gerät abbilden.
Nur Kabel
Für rein kabelgebundene Geräte gab es im CE-Verfahren bisher keine vergleichbare Cyberpflicht. Der CRA gilt trotzdem, auch bei indirekter Verbindung, etwa über ein Gateway.
Hybride Geräte tragen heute die Funkpflicht und ab 2027 den CRA für das ganze Gerät.
Er umfasst alle Elemente der Funk-Anforderungen und fügt fünf weitere hinzu.
Softwarestückliste (SBOM)
Schwachstellenmanagement
Koordinierte Offenlegung
Meldung an die ENISA
Unterstützungszeitraum
Der Gerätecheck
Kannst du eine davon nicht mit Ja beantworten, weißt du, wo die Arbeit beginnt.
1
Sicherheitsupdates, möglichst automatisch, mit geschützter Integrität und getrennt von Feature-Updates.
2
Maschinenlesbar, mindestens mit den obersten Abhängigkeiten. Auch die Modem-Firmware gehört hinein.
3
Frühwarnung, Meldung und Abschlussbericht laufen über die ENISA-Meldeplattform.
4
Technische Dokumentation mit Risikobewertung, zehn Jahre aufzubewahren.
Arbeitsteilung
Das gilt auch, wenn andere für dich entwickeln. Der Vertrag regelt, wer wem was liefert. Die Verantwortung gegenüber der Behörde bleibt bei dir, einschließlich der Sorgfalt bei Fremdkomponenten.
Nachweise entstehen in der Entwicklung, nicht am Schluss. Deshalb sitzen Entwicklung und Regulatorik von Anfang an am selben Tisch.
Wer macht was
IOX setzt im Gerät um:
→ Secure Boot
→ Updates aus der Ferne
→ Softwarestückliste
→ Schlüsselverwaltung
→ Funkzulassung
Ein Beratungspartner begleitet die Regulatorik:
Einordnung der Pflichten, Konzeptpapier und Lückenliste, damit deine Geschäftsführung entscheiden kann.
Ablauf
Schritt 1 · CRA-Workshop
Ein Tag zum Festpreis. Wir gehen dein Produkt und deine Organisation gemeinsam durch.
Workshop-Eckdaten
Preis: Festpreis, den wir im Erstgespräch nennen.
Ort: Online oder vor Ort, bei dir oder in Köln.
Teilnehmerkreis: Die Person, die am Ende entscheidet, und die Fachleute, die dein Produkt am besten kennen.
Unterlagen: Bitte noch nichts Vertrauliches schicken. Vor dem Austausch schließen wir gern eine Vertraulichkeitsvereinbarung.
Schritt 2 · Lückenliste
Getrennt nach Organisation und Gerät, ergänzt um ein Konzeptpapier. Das Ergebnis gehört dir.
Schritt 3 · Umsetzung im Gerät
Wir setzen um, was fehlt. Die Nachweise entstehen direkt in der Entwicklung.
Du stehst noch am Anfang deiner Produktentwicklung? Dann passt der Accelerator Sprint.
Belege
150+
Projekte rund um vernetzte Produkte.
Für Sensor und Gateway eines Waschanlagenhersteller im Einsatz.
Für einen Pumpenhersteller entwickelt, mit Blick auf die kommenden Anforderungen.
[Foto]
Wer den Workshop leitet
[Zwei Sätze zu Erfahrung mit Embedded, Funk, Cloud und CE-Verfahren]
Häufige Fragen
Sind wir trotzdem Hersteller, wenn andere entwickeln?
Ja, sobald das Produkt unter deinem Namen oder deiner Marke auf den Markt kommt. Hersteller ist, wer ein Produkt entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet.
Ein Entwicklungsvertrag regelt nur, wer wem was liefert. Die Verantwortung gegenüber den Behörden bleibt beim Hersteller, einschließlich der Sorgfalt bei zugekauften Fremdkomponenten. Wer im Auftrag entwickelt und das Produkt nicht selbst vermarktet, sollte die Rollen mit dem Auftraggeber vertraglich klar abgrenzen.
Gilt der CRA auch für bereits verkaufte Geräte?
Die Konstruktions- und Dokumentationspflichten gelten für Produkte, die ab dem 11.12.2027 neu in Verkehr gebracht oder wesentlich verändert werden. Die Meldepflichten gelten dagegen seit dem 11.09.2026 auch für Produkte, die bereits im Feld sind.
Für Hersteller mit Bestandsgeräten heißt das: Der Ablauf für Schwachstellenmeldungen muss stehen, bevor die übrigen Pflichten greifen. Du solltest eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden melden können und wissen, wie ein Sicherheitsupdate auf Geräte im Feld kommt.
Reicht EN 18031?
EN 18031 deckt die Anforderungen der Funkanlagenrichtlinie ab, die seit August 2025 für Funkgeräte gelten, und ist ein guter Baustein. Sie ersetzt aber nicht automatisch den CRA-Nachweis.
Der CRA umfasst alle Elemente der Funk-Anforderungen und verlangt zusätzlich Softwarestückliste, Schwachstellenmanagement, koordinierte Offenlegung, Meldung und einen Unterstützungszeitraum von mindestens fünf Jahren. Deine bisherigen Nachweise lassen sich auf Anhang I Teil I des CRA abbilden. Im Workshop prüfen wir, welche Lücken bleiben.
Reicht ISO 27001?
Sie hilft bei den Prozessen in deiner Organisation, ersetzt aber keine Nachweise am Produkt.
Der CRA verlangt Nachweise für das Gerät selbst, etwa Softwarestückliste, Sicherheitsupdates und technische Dokumentation. Deshalb trennt die Lückenliste im Workshop zwischen Organisation und Gerät.
Was gilt für Open-Source-Komponenten?
Als Hersteller trägst du die Sorgfalt für alle Fremdkomponenten im Produkt, auch für Open Source. Sie gehören in die Softwarestückliste, denn jede Fremdkomponente bringt ein eigenes Schwachstellenrisiko und einen eigenen Update-Pfad mit.
Auch der Support-Zeitraum von Chip-Herstellern kann kürzer sein als die Laufzeit deines Geräts. Welche Sonderregeln für Open-Source-Projekte selbst gelten, ordnen wir im Workshop für deinen Fall ein.
Brauchen wir eine Prüfstelle?
In der Standardklasse genügt die Selbstbewertung: Du bewertest die Konformität selbst und erklärst sie. Bei Produkten der Klasse I ohne harmonisierte Norm wird faktisch eine benannte Stelle nötig.
Welche Klasse für dein Produkt gilt und wie es um Normen und benannte Stellen steht, klären wir im Workshop.
Was kostet der CRA-Workshop?
Der Workshop hat einen Festpreis, den wir im Erstgespräch nennen. Was die Umsetzung kostet, hängt von den Lücken ab und lässt sich nach dem Workshop einschätzen.
Der Aufwand fällt sehr unterschiedlich aus, je nachdem, ob dein Gerät mit Funk bereits Nachweise hat oder rein kabelgebunden ist.
Anfrage
Schreib uns kurz, woran du arbeitest. Wir melden uns mit einem Terminvorschlag für den CRA-Workshop.
Der Workshop ersetzt keine Rechtsberatung. Konformität erklärt der Hersteller selbst.
Bitte noch nichts Vertrauliches schicken. Eine Vertraulichkeitsvereinbarung schließen wir gern vor dem Austausch von Unterlagen.
1. Wir melden uns in kürzester Zeit zurück.
2. Erstgespräch 15 bis 30 Minuten, ohne Verkaufsdruck.
3. Vorschlag für den nächsten Schritt, oder ein ehrliches Nein.
Verantwortlich ist die IOX GmbH, Köln. Wir nutzen deine Angaben nur für die Anfrage. Mehr in der Datenschutzerklärung.