CRA-Fristen und Termine: Zeitplan 2026–2027 im Überblick

Die CRA-Termine sind gestaffelt: Inkrafttreten am 10. Dezember 2024, Regeln für Konformitätsbewertungsstellen seit 11. Juni 2026 und Hersteller-Meldepflichten seit 11. September 2026. Am 11. Dezember 2027 folgt die grundsätzliche Vollanwendung. Stand Oktober 2026 muss der Meldeprozess bereits funktionieren; Produktkonformität, Support und Nachweise werden parallel für 2027 vorbereitet.

Eine Einordnung dieser Termine in das gesamte Regelwerk finden Sie im Überblick zum Cyber Resilience Act. Wer die bereits geltenden Pflichten praktisch umsetzen muss, sollte zusätzlich die CRA-Meldepflichten mit 24- und 72-Stunden-Fristen prüfen.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Fristen & Umsetzung. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Ein realistischer CRA-Umsetzungsplan bis Dezember 2027 verbindet diese Termine mit Verantwortlichen, Produktversionen und prüfbaren Nachweisen.

Welche CRA-Fristen sind verbindlich?

Artikel 71 der Verordnung (EU) 2024/2847 legt den gestaffelten Geltungsbeginn fest. Die Verordnung trat bereits am 10. Dezember 2024 in Kraft. Vollständig anwendbar wird sie grundsätzlich ab 11. Dezember 2027. Zwei Regelungsbereiche gelten früher.

Was gilt seit dem 11. Juni 2026?

Seit 11. Juni 2026 ist Kapitel IV des CRA anwendbar. Dieses Kapitel regelt die Notifizierung von Konformitätsbewertungsstellen. Für Unternehmen ist das deshalb wichtig, weil bestimmte wichtige und kritische Produkte nicht ausschließlich über eine einfache Selbstbewertung in Verkehr gebracht werden können.

Mitgliedstaaten benennen die zuständigen notifizierenden Behörden und schaffen den Rahmen dafür, dass Konformitätsbewertungsstellen geprüft, benannt, notifiziert und überwacht werden. Eine Stelle, die erfolgreich notifiziert wurde, kann im CRA-Kontext als „benannte Stelle“ tätig werden.

Hersteller von Produkten, die voraussichtlich eine Drittbewertung benötigen, sollten deshalb nicht erst 2027 anfangen, nach einer passenden Stelle zu suchen. Verfügbarkeit, Produktkategorie, Prüfprogramm und notwendige Unterlagen können den Zeitplan erheblich beeinflussen.

Was gilt seit dem 11. September 2026?

Ab 11. September 2026 gilt Artikel 14 und damit eine der praktisch anspruchsvollsten frühen CRA-Pflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen innerhalb kurzer Fristen melden.

Bei aktiv ausgenutzten Schwachstellen ist innerhalb von 24 Stunden nach Kenntnis eine Frühwarnung vorgesehen. Innerhalb von 72 Stunden folgt grundsätzlich eine weitergehende Meldung. Ein Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme vorgesehen. Für schwere Sicherheitsvorfälle gibt es ebenfalls ein abgestuftes Meldeverfahren.

Die Frist beginnt nicht erst, wenn eine Geschäftsführung ein fertiges Incident-Formular unterschreibt. Unternehmen müssen deshalb definieren, wann organisatorisch von „Kenntnis“ auszugehen ist, wer intern eskaliert und welche Stelle den Meldeprozess tatsächlich ausführt.

Mehr dazu steht im Cluster CRA-Meldepflichten: 24 Stunden, 72 Stunden und Abschlussbericht.

Welche Produkte sind von den Meldepflichten 2026 betroffen?

Ein häufiger Irrtum ist, die Meldepflichten nur auf Produkte anzuwenden, die nach dem 11. Dezember 2027 neu auf den Markt kommen. Die Europäische Kommission weist in ihrer Zusammenfassung ausdrücklich darauf hin, dass die Meldepflichten auch für Produkte mit digitalen Elementen relevant sein können, die bereits vor dem 11. Dezember 2027 auf dem Unionsmarkt bereitgestellt wurden.

Für Bestandsportfolios bedeutet das: Hersteller sollten nicht nur ihre Entwicklungsroadmap für neue Produkte prüfen, sondern auch aktive Produktgenerationen, laufende Supportverträge und ältere Softwareversionen erfassen. Wer 2026 noch Sicherheitsupdates bereitstellt oder aktiv Schwachstellen behandelt, braucht einen klaren Meldepfad.

Was gilt ab 11. Dezember 2027?

Ab 11. Dezember 2027 gilt der Cyber Resilience Act grundsätzlich vollständig. Hersteller müssen Produkte mit digitalen Elementen, die in den Anwendungsbereich fallen, nach den grundlegenden Cybersicherheitsanforderungen konzipieren, entwickeln und herstellen, die Risikobewertung dokumentieren, Schwachstellen behandeln und den passenden Konformitätsbewertungsweg durchlaufen.

Zur Markteinführung gehören dann unter anderem technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung, erforderliche Herstellerangaben, Nutzerinformationen und ein klar angegebenes Enddatum des Supportzeitraums. Welche Nachweise im Einzelfall erforderlich sind, hängt vom Produkt und vom gewählten Konformitätsbewertungsverfahren ab.

Was gilt für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden?

Für Altprodukte gibt es eine Übergangsregel. Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den vollständigen CRA-Anforderungen grundsätzlich dann, wenn sie ab diesem Datum wesentlich geändert werden. Die konkrete Bewertung einer „wesentlichen Änderung“ sollte dokumentiert werden.

Eine technische Änderung kann relevant sein, wenn sie die bestimmungsgemäße Verwendung beeinflusst oder das Cybersicherheitsrisiko so verändert, dass die bisherige Konformitätsbewertung nicht mehr trägt. Unternehmen brauchen deshalb ab 2027 einen Change-Prozess, der neben Technik und Produktmanagement auch CRA-Auswirkungen prüft.

Welche Termine hat die EU für die CRA-Umsetzung 2026 veröffentlicht?

Neben den gesetzlichen Stichtagen gibt es einen Umsetzungsfahrplan der Europäischen Kommission. Im Juli 2026 wurde ein erster Satz von Leitlinien veröffentlicht. Für das dritte Quartal 2026 waren erste Standardisierungsergebnisse vorgesehen. Weitere Standardisierungsarbeiten laufen bis 2027. Solche Termine sind keine Ersatzfristen für Unternehmen, zeigen aber, wann zusätzliche Hilfsmittel und technische Konkretisierungen verfügbar werden.

Für Hersteller ist daraus eine wichtige Konsequenz abzuleiten: Auf vollständige harmonisierte Normen zu warten ist keine belastbare Strategie. Unternehmen müssen ihre Prozesse und Produktakten jetzt aufbauen und neue Standards später kontrolliert integrieren.

Wie sieht ein realistischer CRA-Zeitplan für Unternehmen aus?

Ein guter Umsetzungsplan trennt Sofortmaßnahmen von strukturellen Arbeiten bis 2027. Wer alles in ein einziges „CRA-Projekt“ legt, riskiert, dass die akute Meldepflicht im langfristigen Dokumentationsprogramm untergeht.

Sofort: Meldefähigkeit herstellen

Hersteller sollten jetzt prüfen, ob Security, Entwicklung, Support und Management dieselbe Definition für einen meldepflichtigen Fall verwenden. Es braucht eine zentrale Eskalationsadresse, eine Vertretungsregel, eine Entscheidungsbefugnis außerhalb üblicher Bürozeiten und Vorlagen für die Informationen, die innerhalb von 24 und 72 Stunden verfügbar sein müssen.

Innerhalb weniger Wochen: Produktportfolio klassifizieren

Für jedes Produkt sollten CRA-Anwendungsbereich, Rolle, Produktkategorie, aktuelle Versionen, EU-Marktstatus, Supportzeitraum und kritische Abhängigkeiten erfasst werden. Ohne diese Übersicht kann ein Incident-Team bei einer Schwachstelle nicht schnell bestimmen, welche Produkte und Mitgliedstaaten betroffen sind.

Bis 2027: Secure Development und Nachweise verzahnen

Die technische Umsetzung sollte so geplant werden, dass Risikobewertung, Sicherheitsanforderungen, Tests, SBOM, Patchprozesse und technische Dokumentation nicht in getrennten Silos entstehen. Ziel ist ein Releaseprozess, der die für die Konformität benötigten Nachweise automatisch oder zumindest reproduzierbar erzeugt.

Frühzeitig: Konformitätspfad festlegen

Hersteller wichtiger oder kritischer Produkte sollten früh prüfen, ob harmonisierte Normen genutzt werden können beziehungsweise eine benannte Stelle erforderlich ist. Drittbewertung braucht Vorlauf. Wer erst kurz vor dem geplanten Launch feststellt, dass eine externe Stelle beteiligt werden muss, gefährdet den Markteinführungstermin.

Welche Arbeitspakete sollten 2026 abgeschlossen sein?

Bis Ende 2026 sollte ein Unternehmen mindestens die Grundlage geschaffen haben, auf der die vollständige Produktkonformität aufbauen kann. Dazu gehören typischerweise folgende Arbeitspakete:

• vollständige Produkt- und Rollenmatrix,
• definierter 24/72-Stunden-Meldeprozess,
• verantwortliche Kontaktstelle für Schwachstellenmeldungen,
• standardisierte Cybersicherheitsrisikobewertung,
• SBOM- beziehungsweise Komponentenprozess,
• Vulnerability-Triage und Patchprozess,
• Definition des Supportzeitraums,
• Vorlage für technische Dokumentation,
• Entscheidungslogik für Produktklassen und Konformitätsbewertung,
• Lieferantenanforderungen für Drittkomponenten.

Die Reihenfolge darf je nach Produkt variieren. Wichtig ist, dass diese Punkte nicht als voneinander unabhängige Dokumente entstehen. Das Komponentenmanagement muss beispielsweise mit Vulnerability Handling und Incident Response verbunden sein.

Welche Fristen sollten im Produktentwicklungsprozess verankert werden?

Neben den gesetzlichen Stichtagen braucht jedes Produkt interne Fristen. Eine Risikobewertung, die erst beim Release erstellt wird, kann die Architektur nicht mehr sinnvoll beeinflussen. Deshalb sollten CRA-Schritte an bestehende Gates gekoppelt werden.

Was passiert, wenn Unternehmen zu spät starten?

Das größte Risiko ist nicht allein die fehlende Dokumentation. Ein spät gestartetes Projekt kann technische Entscheidungen offenlegen, die sich nicht ohne Weiteres korrigieren lassen: fehlende Updatefähigkeit, nicht nachvollziehbare Abhängigkeiten, hart codierte Zugangsdaten, nicht dokumentierte Drittkomponenten oder kein sicherer Weg für Sicherheitsupdates.

Solche Punkte verursachen Entwicklungsarbeit, Regressionstests und gegebenenfalls Hardwareänderungen. Deshalb ist die Zeit bis Dezember 2027 nicht großzügig, wenn ein Produkt lange Entwicklungs- und Zertifizierungszyklen hat.

Wie lassen sich die CRA-Fristen mit Lieferanten koordinieren?

Hersteller sind bei Komponenten auf Informationen ihrer Zulieferer angewiesen. Schon 2026 sollten Verträge und Einkaufsanforderungen daher Fragen zu Schwachstellenmeldungen, SBOM-Daten, Supportzeiträumen, Sicherheitsupdates und Reaktionszeiten enthalten. Ein Lieferant, der erst Tage nach einer kritischen Schwachstelle reagiert, kann den 24-Stunden-Prozess des Herstellers erheblich erschweren.

Die vertragliche Vereinbarung ersetzt keine eigene Bewertung. Sie sorgt aber dafür, dass die benötigten Informationen im Ereignisfall verfügbar sind.

Welche CRA-Frist ist für KMU am wichtigsten?

Für kleine Unternehmen ist der 11. September 2026 besonders kritisch, weil kurze Meldefristen nicht durch zusätzliche Personalressourcen kompensiert werden können. Ein KMU braucht deshalb einen einfachen Prozess: eine verantwortliche Person, eine Vertretung, klare Kriterien, eine zentrale Dokumentation und vorbereitete Kontaktwege.

Für die vollständige Umsetzung bis 2027 sollten KMU priorisieren: Produktklassifizierung, sichere Entwicklungsbasis, Komponentenübersicht, Schwachstellenprozess und technische Dokumentation. Die EU sieht Unterstützungsmaßnahmen für KMU vor, die grundlegenden Pflichten werden dadurch aber nicht bedeutungslos.

Wie sollte ein realistischer CRA-Projektplan bis Dezember 2027 aussehen?

Die verbleibende Zeit sollte nicht als ein einziger langer Umsetzungsblock behandelt werden. Sinnvoller ist ein gestaffelter Projektplan mit klaren Ergebnissen. Im Herbst 2026 sollten Produktinventar, Rollen, Meldeprozess und erste Gap-Analysen abgeschlossen sein. Danach folgt die technische und dokumentarische Umsetzung produktbezogen.

Phase 1: September bis Dezember 2026

Priorität haben Meldefähigkeit, Produktklassifizierung, Verantwortlichkeiten und Lieferantenkommunikation. Gleichzeitig sollten für alle aktiven Produkte die wichtigsten Komponenten, Supportannahmen und vorhandenen Security-Prozesse erfasst werden. Produkte mit hohem Risiko oder langen Entwicklungszyklen gehören zuerst in die Detailprüfung.

Phase 2: Januar bis Juni 2027

In dieser Phase sollten Risikobewertungen, SBOM-Prozesse, Secure-Development-Maßnahmen, Schwachstellenbehandlung und technische Dokumentation in den normalen Entwicklungsablauf integriert werden. Für Produkte, die eine benannte Stelle benötigen könnten, sollte der Prüfpfad spätestens jetzt geklärt sein.

Phase 3: Juli bis Oktober 2027

Jetzt sollten Lücken geschlossen, Nachweise konsolidiert und die Konformitätsbewertung vorbereitet oder durchgeführt werden. Unternehmen sollten Testfälle, Nutzerinformationen, EU-Konformitätserklärung und CE-Prozess nicht bis November aufschieben.

Phase 4: November bis 11. Dezember 2027

Die letzten Wochen sind für Freigaben, Restpunkte und die saubere Umstellung auf den voll anwendbaren CRA vorgesehen. Ein Projekt, das zu diesem Zeitpunkt noch grundlegende Architektur- oder Lieferkettenprobleme lösen muss, ist zu spät gestartet.

Was ist jetzt die richtige Reihenfolge?

Erstens sollte geprüft werden, welche Produkte betroffen sind. Zweitens muss der Meldeprozess für September 2026 einsatzbereit sein. Drittens folgt eine Gap-Analyse gegen die Herstellerpflichten. Viertens wird der Konformitätspfad festgelegt. Parallel sollten Lieferanten und Produktteams auf SBOM, Security Updates und Supportzeiträume vorbereitet werden.

Wie sollten Unternehmen mit neuen Normen und Leitlinien bis 2027 umgehen?

Der CRA-Zeitplan endet nicht bei den drei großen Stichtagen. Bis zur Vollanwendung werden weitere Normen, Leitlinien und technische Konkretisierungen relevant. Unternehmen sollten deshalb einen festen Regulatory-Watch-Prozess einrichten, statt die Umsetzung auf dem Stand von 2026 einzufrieren.

Praktisch bedeutet das: Verantwortliche beobachten Veröffentlichungen der Europäischen Kommission, harmonisierte Normen, technische Leitlinien und gegebenenfalls Anforderungen benannter Stellen. Neue Vorgaben werden anschließend gegen Produktarchitektur, Risikobewertung, Tests und Dokumentation gespiegelt.

Wichtig ist dabei eine kontrollierte Änderungslogik. Nicht jede neue Veröffentlichung erfordert sofort einen kompletten Neustart des Projekts. Unternehmen sollten dokumentieren, was sich geändert hat, welche Produkte betroffen sind und welche Maßnahmen daraus folgen. So bleibt die CRA-Umsetzung bis Dezember 2027 steuerbar.

Welche internen Meilensteine sollte jedes Produktteam setzen?

Zusätzlich zu den gesetzlichen Stichtagen braucht jedes Produkt eigene interne Termine. Dazu gehören ein Termin für die abgeschlossene Produktklassifizierung, ein freigegebener Stand der Risikobewertung, ein funktionsfähiger SBOM-Prozess, ein getesteter Schwachstellenprozess und ein festgelegter Konformitätspfad. Diese Meilensteine sollten mehrere Monate vor dem jeweiligen externen Stichtag liegen, damit technische Korrekturen noch realistisch möglich sind.

Wo stehen die offiziellen CRA-Termine?

Die verbindlichen Anwendungsdaten stehen in Artikel 71 der Verordnung (EU) 2024/2847 bei EUR-Lex. Für die praktische Projektplanung sollten Unternehmen zusätzlich aktuelle Leitlinien und Standardisierungsentwicklungen beobachten.