Wissensdatenbank · Cyber Resilience Act
Was der Cyber Resilience Act konkret verlangt.
Erläuterungen zu den Stellen, an denen es in der Praxis hakt: Fristen, Grenzfälle des Anwendungsbereichs, Altbestand, Einordnung in Produktklassen, Software-Stückliste und Sanktionen. Jeweils mit Beispielen statt Paragrafenzitaten.
CRA-Pflichten für Hersteller
Was Hersteller von Produkten mit digitalen Elementen ab September 2026 und ab Dezember 2027 leisten müssen — von der Meldestelle bis zur CE-Kennzeichnung.
Lesen →Bestandsprodukte und Altgeräte im CRA
Warum Geräte, die längst beim Kunden laufen, ab September 2026 in die Meldestelle einbezogen werden müssen — und was die EU-Kommission zur Dokumentation älterer Produkte gesagt hat.
Lesen →Open Source im Cyber Resilience Act
Wann Open-Source-Software unter den CRA fällt, was die Open-Source-Steward-Rolle bedeutet und welche Pflichten Hersteller für eingebundene Komponenten tragen.
Lesen →Produktklassen im CRA: Standard, Klasse I, Klasse II
Wie die Einstufung nach Anhang III und IV funktioniert, welche Produkte kritisch sind und was die Klasse für Konformitätsbewertung und Fristen bedeutet.
Lesen →SBOM-Pflicht: die Stückliste der Software-Bestandteile
Was eine SBOM nach dem CRA enthalten muss, welche Formate üblich sind und warum die 24-Stunden-Meldefrist ohne Stückliste praktisch nicht einzuhalten ist.
Lesen →Cloud und SaaS: Wo der CRA aufhört
Reine Cloud-Dienste fallen nicht unter den CRA — aber Client-Software, Apps und produktgebundene Fernverarbeitung ändern die Einordnung. Die wichtigsten Grenzfälle.
Lesen →Maschinen und Steuerungen: der CRA im Maschinenbau
Warum der klassische Maschinenbau vom CRA besonders betroffen ist: Steuerungen als digitale Elemente, die Doppelreferenz mit der Maschinenverordnung und typische Fallstricke.
Lesen →Bußgelder und Marktaufsicht im CRA
Bußgeldrahmen bis 15 Millionen Euro oder 2,5 Prozent des Weltumsatzes, die Befugnisse der Marktaufsicht und warum die praktische Folge oft der Marktverbot ist.
Lesen →