CRA-Pflichten für Hersteller
Stand: 1. August 2026
Was Hersteller von Produkten mit digitalen Elementen seit September 2026 leisten müssen und ab Dezember 2027 zusätzlich leisten müssen, von der Meldestelle bis zur CE-Kennzeichnung.
Wer ist Hersteller im Sinne des CRA
Hersteller ist, wer ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in der EU bereitstellt, unabhängig davon, wo entwickelt oder produziert wird. Wer ein fremdes Produkt unter eigenem Namen verkauft oder wesentlich verändert, gilt ebenfalls als Hersteller.
Die Verordnung unterscheidet nicht nach Unternehmensgröße. Entscheidend ist allein das Produkt und seine Bereitstellung auf dem EU-Markt.
Pflichten seit dem 11. September 2026
Ab diesem Datum gilt die Meldepflicht nach Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das zuständige CSIRT und die Marktaufsicht melden, und zwar über die zentrale Meldeplattform der ENISA.
Die Fristen sind gestaffelt: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Vollmeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme. Bei schwerwiegenden Sicherheitsvorfällen gilt stattdessen ein Monat nach der 72-Stunden-Meldung. Voraussetzung dafür ist eine veröffentlichte Meldestelle, über die Schwachstellen überhaupt gemeldet werden können, sowie ein dokumentierter interner Prozess.
Pflichten ab dem 11. Dezember 2027
Das vollständige Pflichtenprogramm umfasst eine dokumentierte Risikobewertung je Produkt, eine technische Dokumentation, eine maschinenlesbare Stückliste der Software-Bestandteile (SBOM), eine Konformitätsbewertung und die CE-Kennzeichnung unter Referenz auf den CRA.
Außerdem müssen Hersteller Sicherheitsaktualisierungen für die erwartete Produktlebensdauer bereitstellen, mindestens jedoch fünf Jahre.
Was bei Verstößen droht
Verstöße gegen die Meldepflicht und die wesentlichen Produktanforderungen können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes belegt werden. Die Marktaufsicht kann darüber hinaus die Bereitstellung eines Produkts untersagen oder einen Rückruf anordnen.
Häufige Fragen
Ab wann gelten die CRA-Pflichten für Hersteller?
Die Meldepflicht für Schwachstellen und Vorfälle gilt seit dem 11. September 2026. Alle weiteren Pflichten (Risikobewertung, technische Dokumentation, SBOM, CE-Kennzeichnung) gelten ab dem 11. Dezember 2027.
Gilt der CRA auch für kleine Hersteller?
Ja. Die Verordnung enthält keine Größenbeschränkung. Für Kleinstunternehmen und kleine Unternehmen sind lediglich Erleichterungen bei der Dokumentation vorgesehen, keine Ausnahme von den Pflichten.
Wann ist ein Unternehmen Hersteller im Sinne des CRA?
Wenn es ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in der EU bereitstellt. Auch wer ein fremdes Produkt umbenennt oder wesentlich verändert, wird als Hersteller behandelt.
Quelle
Verordnung (EU) 2024/2847 im Volltext auf eur-lex.europa.eu
Verbindlich ist ausschließlich der Verordnungstext in seiner jeweils geltenden Fassung.