Bestandsprodukte und Altgeräte im CRA
2026-08-01
Warum Geräte, die längst beim Kunden laufen, ab September 2026 in die Meldestelle einbezogen werden müssen — und was die EU-Kommission zur Dokumentation älterer Produkte gesagt hat.
Die Falle im Übergang
Viele Hersteller gehen davon aus, der CRA gelte erst für Produkte, die nach Dezember 2027 auf den Markt kommen. Das ist für die Meldepflicht falsch: Sie gilt ab dem 11. September 2026 für alle Produkte mit digitalen Elementen, die in der EU bereitgestellt werden — einschließlich der installierten Basis beim Kunden.
Wer 2015 eine Maschine mit Steuerung verkauft hat, muss ab September 2026 in der Lage sein, eine Schwachstellenmeldung zu dieser Maschine anzunehmen, zu bewerten und gegebenenfalls an die Behörde weiterzumelden.
Keine Rekonstruktion historischer Dokumente
Die EU-Kommission hat klargestellt, dass Hersteller älterer Produkte historische Entwicklungs- und Testunterlagen nicht vollständig rekonstruieren müssen. Ausreichend ist eine aktuelle, dokumentierte Risikobewertung, die zeigt, wie bestehende Maßnahmen die identifizierten Risiken mindern.
Das senkt den Aufwand erheblich: Statt Jahre alter Unterlagen zählt eine belastbare aktuelle Bewertung je Produkt oder Produktfamilie.
Was Sie für den Altbestand konkret brauchen
Erstens: Die Meldestelle und der Meldeprozess müssen Altprodukte ausdrücklich einbeziehen — eine Meldung zu einem zwölf Jahre alten Gerät darf nicht ins Leere laufen. Zweitens: Sie brauchen eine Stückliste der Software-Bestandteile auch für ältere Produkte, um Meldungen einem Produkt zuordnen zu können.
Drittens sollten Sie festlegen, bis wann Sie für welche Altprodukte Sicherheitsaktualisierungen bereitstellen, und das gegenüber Kunden dokumentieren.
Häufige Fragen
Gilt die CRA-Meldepflicht auch für Produkte, die vor 2026 verkauft wurden?
Ja. Ab dem 11. September 2026 müssen Schwachstellen und Vorfälle für alle Produkte mit digitalen Elementen gemeldet werden können, die in der EU bereitgestellt wurden und noch genutzt werden — unabhängig vom Verkaufsdatum.
Muss ich alte Entwicklungsdokumentation rekonstruieren?
Nein. Nach der Klarstellung der EU-Kommission genügt eine aktuelle Risikobewertung, die dokumentiert, wie vorhandene Maßnahmen die identifizierten Risiken mindern.
Wie lange muss ich Sicherheitsupdates für Altgeräte liefern?
Für die erwartete Produktlebensdauer, mindestens fünf Jahre ab Bereitstellung. Für ältere Produkte sollte dokumentiert werden, welcher Support-Zeitraum zugesagt wurde.