CRA · Cyber Resilience Act · EU-Verordnung

CRA-Konformität — Produkte mit digitalen Elementen sicher in den EU-Markt bringen

Wir machen Ihre vernetzten Produkte CRA-konform — mit Security-by-Design, Schwachstellenmanagement, SBOM, technischer Dokumentation und der passenden Konformitätsbewertung für die CE-Kennzeichnung.

  • Full-Service ab 15.000 €
  • Ab 11.09.2026 gelten die Meldepflichten
  • Ab 11.12.2027 gilt die Verordnung vollständig
  • Kombinierbar mit ISO 27001 und NIS-2
  • 30-Minuten-Ersteinschätzung
CRA-Ersteinschätzung buchen CRA-Check starten
Notivia seit 2003· +100 ISMS-Kunden*· +20 Full-Service-Projekte*· ISO 27001, NIS-2 & CRA in einer Plattform· ★★★★★5.0

* Audit-Erfolg bezogen auf abgeschlossene Full-Service-Zertifizierungs­projekte seit 2019.

Kurz-Check

Diese Seite ist richtig für Sie, wenn …

  • … Sie Produkte mit digitalen Elementen herstellen, importieren oder vertreiben.
  • … Sie wissen müssen, ob Ihr Produkt Standard-, wichtig oder kritisch ist.
  • … Sie ein Schwachstellenmanagement mit SBOM aufbauen müssen.
  • … Sie die Meldepflicht an ENISA ab September 2026 erfüllen wollen.
  • … Sie wissen möchten, was CRA-Konformität kostet und wie lange sie dauert.
Unsere Leistungen für den CRA

Vier Bausteine. Ein Weg zur Compliance.

Cyber Resilience Act — von der Produkteinstufung bis zur EU-Konformitätserklärung.

Maximale Begleitung

Full-Service-Begleitung

Wir führen Ihr Produkt durch den gesamten CRA-Prozess — von der Einstufung nach Anhang III über Security-by-Design und Schwachstellenmanagement bis zur technischen Dokumentation und Konformitätserklärung.

Geeignet für Sie, wenn Sie CRA-Konformität mit möglichst wenig interner Projektlast erreichen wollen.
  • Produkteinstufung & Scope
  • Security-by-Design-Prozess
  • SBOM & Schwachstellenmanagement
  • Technische Dokumentation
ab €15.000 einmalig für ein Produkt / eine Produktfamilie · zzgl. Konformitätsbewertung durch Dritte · alle Preise netto
Angebot anfordern
Laufend

Laufende CRA-Begleitung

Wir unterstützen Ihr Team beim laufenden Betrieb: Schwachstellen-Monitoring, Meldefristen an ENISA, Update-Bereitstellung und Pflege der technischen Dokumentation über den gesamten Support-Zeitraum.

Geeignet für Sie, wenn Sie den CRA dauerhaft im Betrieb halten müssen — nicht nur einmalig nachweisen.
  • Schwachstellen-Monitoring
  • Meldeprozess 24 h / 72 h / 14 Tage
  • Update- & Patch-Governance
  • Pflege der technischen Doku
ab €900 / Monat
Betriebsbegleitung anfragen
12 Mo Mindestlaufzeit · 3 Mo Kündigungsfrist
Einmal / jährlich

Interne CRA-Prüfung

Wir prüfen Ihre Produkte und Prozesse gegen Anhang I Teil I und II, die Dokumentationspflichten aus Anhang VI und Ihre Meldeprozesse.

Geeignet für Sie, wenn Sie vor der Konformitätsbewertung wissen wollen, wo Sie stehen.
  • Prüfung gegen Anhang I
  • SBOM-Vollständigkeit
  • Nachweis-Mapping
  • Bericht mit Maßnahmenplan
ab €3.500 einmalig
Audit anfragen
Self-Service

Ready-Kit

Für Hersteller mit interner Produktsicherheits-Erfahrung, die den CRA selbst vorbereiten möchten.

Geeignet für Sie, wenn Sie intern genug Ressourcen haben und selbst umsetzen möchten.
  • Produkteinstufungs-Matrix
  • SBOM-Vorlage & Prozess
  • Vorlage technische Dokumentation
  • Vorlage EU-Konformitätserklärung
ab €1.790 einmalig · +€149/Mo Plattform
Jetzt bestellen

Zusätzlich für CRA

Norm-spezifische Zusatzleistungen — einzeln buchbar

SBOM-Aufbau

Software-Stückliste erstellen, automatisiert pflegen und in den Build-Prozess einbinden.

ab €2.900

Meldeprozess ENISA

Prozess für die 24-Stunden-Frühwarnung und die 72-Stunden-Meldung einrichten und proben.

ab €2.490

Kombi-Prüfung mit ISO 27001

Gemeinsame interne Prüfung — spart rund 40 % Aufwand.

ab €4.500
Laufende CRA-Begleitung: 12 Monate Mindestlaufzeit · 3 Monate Kündigungsfrist zum Monatsende · alle Preise netto.
Kostenlose Ersteinschätzung

Produkt-Cyberresilienz nach CRA — Klarheit in 30 Minuten

Die neue EU-Produktverordnung: Was Sie umsetzen müssen, ab wann, und was es kostet.

Lead Consultant
Lead Consultant
Ihr Ansprechpartner
  • Schnelle Antwort
  • Realistische Zeit- und Kostenangaben
  • Kein Verkaufsdruck, keine Verpflichtung
  • Von Notivia GmbH, Stuttgart — seit 2019
think why NETFORMIC Animus Intelligence Crest Digital Veoma VERDURE
Direkt buchen — am schnellsten
30-Min-Slot selbst wählen
oder schreiben Sie uns

    Kein Spam·Keine Verpflichtung·Schnelle Antwort·DSGVO-konform
    Lieber direkt anrufen? +49 711 35 15 705
    Selbst starten

    Vier Werkzeuge — jetzt sofort nutzbar

    Bevor Sie Kontakt aufnehmen: Kosten kalkulieren, Betroffenheit prüfen, Plattform erkunden oder den Leitfaden herunterladen — kostenlos und unverbindlich.

    Kostenloser CRA-Check · 3 Min.

    Fällt Ihr Produkt unter den Cyber Resilience Act?

    10 Fragen zu Produktart, digitalen Elementen, Vertriebsweg und Update-Fähigkeit. In 3 Minuten wissen Sie, ob und wie stark Sie betroffen sind.

    Check starten

    Oder selbst umsetzen

    Die ISMS-Plattform mit CRA-Modul

    Das Multinorm-ISMS bildet Produkteinstufung, SBOM, Schwachstellen und Meldefristen ab — ideal für Teams, die den CRA strukturiert dokumentieren möchten.

    Plattform entdecken
    Leitfaden · PDF

    CRA-Leitfaden für Produktverantwortliche

    Was die Verordnung verlangt, welche Fristen gelten, wie die Konformitätsbewertung abläuft — verständlich aufbereitet.

    Leitfaden herunterladen
    Die Norm in Kürze

    Was muss für den CRA umgesetzt werden?

    Acht Bausteine — das ist der Pflichtkanon für ein CRA-konformes Produkt.

    1. Produkteinstufung nach Anhang III / IV
    2. Cybersicherheits-Risikobewertung (Art. 13)
    3. Security-by-Design (Anhang I Teil I)
    4. Schwachstellenbehandlung (Anhang I Teil II)
    5. SBOM — Software-Stückliste
    6. Meldepflichten an ENISA (Art. 14)
    7. Technische Dokumentation (Anhang VI)
    8. Konformitätsbewertung & CE-Kennzeichnung

    Wir zeigen Ihnen im Erstgespräch, welche Punkte bei Ihnen bereits erfüllt sind.

    Kostenlose Ersteinschätzung buchen
    FÜR WEN?

    Wer ist vom CRA betroffen?

    Der CRA gilt für alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen — unabhängig davon, wo sie produziert werden.

    Hersteller

    Wer ein Produkt entwickelt oder unter eigenem Namen vertreibt, trägt die volle Verantwortung: Risikobewertung, Security-by-Design, Updates über den Support-Zeitraum und Meldepflichten.

    Importeure

    Wer Produkte aus Drittstaaten in die EU einführt, muss vor dem Inverkehrbringen prüfen, ob Konformitätsbewertung, CE-Kennzeichnung und Dokumentation vorliegen.

    Händler

    Wer Produkte weiterverkauft, muss die CE-Kennzeichnung prüfen und bei bekannten Risiken handeln — und Hersteller sowie Behörden informieren.

    PFLICHTEN

    Die Kernpflichten des CRA

    Der Cyber Resilience Act ist eine Verordnung — er gilt unmittelbar, ohne nationale Umsetzung. Diese Pflichten treffen Hersteller direkt.

    13

    Sorgfaltspflicht

    Cybersicherheits-Risikobewertung, Security-by-Design und Dokumentation über den gesamten Lebenszyklus.

    14

    Meldepflichten

    Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an ENISA und das nationale CSIRT.

    13.8

    Support-Zeitraum

    Sicherheitsupdates mindestens fünf Jahre — oder für die erwartete Nutzungsdauer, falls kürzer.

    13.17

    Konformitätsbewertung

    Je nach Produktklasse interne Kontrolle, EU-Baumusterprüfung oder umfassende Qualitätssicherung.

    20

    Importeurspflichten

    Prüfung von Konformität, Kennzeichnung und Dokumentation vor dem Inverkehrbringen.

    21

    Händlerpflichten

    Sorgfaltspflicht in der Lieferkette und Informationspflicht bei bekannten Risiken.

    23

    Marktüberwachung

    Nationale Behörden können Nachweise verlangen, Produkte prüfen und den Vertrieb untersagen.

    64

    Sanktionen

    Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes — der höhere Betrag gilt.

    ANHÄNGE

    Die Anhänge des CRA

    Die Anhänge konkretisieren, was „Cybersicherheit" für ein Produkt praktisch bedeutet.

    I

    Anforderungen

    Teil I: Produktsicherheit. Teil II: Schwachstellenbehandlung. Der Kern der Verordnung.

    II

    Nutzerinformation

    Was der Anwender mitgeliefert bekommen muss — von der Support-Dauer bis zur Kontaktstelle.

    III

    Wichtige Produkte

    Klasse I und II: Passwortmanager, VPN, Firewalls, Betriebssysteme, Hypervisoren und mehr.

    VI

    Technische Doku

    Was die Dokumentation enthalten muss: Beschreibung, Risikobewertung, SBOM, Testberichte.

    ANHANG I HIGHLIGHTS

    Was das Produkt können muss

    Anhang I Teil I definiert die Produkteigenschaften, Teil II die Prozesse dahinter.

    Sichere Standardkonfiguration

    Das Produkt wird ohne bekannte ausnutzbare Schwachstellen und mit sicherer Grundeinstellung ausgeliefert.

    Schutz vor unbefugtem Zugriff

    Authentifizierung, Identitäts- und Zugriffsverwaltung nach dem Stand der Technik.

    Vertraulichkeit & Integrität

    Verschlüsselung ruhender und übertragener Daten, Schutz vor Manipulation von Befehlen und Code.

    Datenminimierung

    Nur die Daten verarbeiten, die für die Funktion tatsächlich nötig sind.

    Verfügbarkeit & Resilienz

    Schutz vor Denial-of-Service und Begrenzung der Auswirkungen auf andere Dienste.

    Angriffsfläche begrenzen

    Externe Schnittstellen reduzieren und Vorfallauswirkungen durch Isolation eindämmen.

    Sicherheitsupdates

    Updates müssen zeitnah, kostenlos und — wo möglich — automatisch bereitgestellt werden.

    SBOM & Abhängigkeiten

    Eine maschinenlesbare Software-Stückliste über mindestens die obersten Abhängigkeiten.

    Koordinierte Offenlegung

    Eine dokumentierte Kontaktstelle und ein Prozess für gemeldete Schwachstellen.

    SYNERGIE

    ISO 27001 als Fundament für den CRA

    Ein bestehendes ISMS nimmt Ihnen einen erheblichen Teil der CRA-Arbeit ab. Risikomanagement, Lieferantensteuerung, Schwachstellenprozess, Incident Response und Dokumentenlenkung sind in beiden Welten dieselben Bausteine. Der CRA ergänzt das, was produktspezifisch ist: Einstufung, Security-by-Design, SBOM, Support-Zeitraum und die CE-Konformitätsbewertung. Typischerweise decken Sie damit rund die Hälfte der CRA-Anforderungen bereits ab.

    CRAISO 27001
    Art. 13 Risikobewertung Kl. 6 Risikomanagement (gleiche Systematik)
    Anhang I Schwachstellen A.8.8 Umgang mit Schwachstellen
    Art. 14 Meldepflichten A.5.24–5.28 Incident Management
    SBOM & Lieferkette A.5.19–5.23 Lieferantenbeziehungen
    Anhang VI Dokumentation Kl. 7.5 Dokumentierte Information
    Sichere Entwicklung A.8.25–8.31 Sichere Entwicklung
    rund 50 %
    Überschneidung bei Prozessen und Nachweisen — abhängig vom Reifegrad Ihres ISMS
    UNSERE LÖSUNG

    Den CRA umsetzen mit iso-easy

    1

    Produkte einstufen

    Alle Produkte mit digitalen Elementen erfassen und gegen Anhang III und IV klassifizieren.

    2

    Gap-Analyse

    Bestehende Entwicklungs- und Sicherheitsprozesse gegen Anhang I Teil I und II abgleichen.

    3

    Prozesse aufbauen

    Security-by-Design, SBOM, Schwachstellenbehandlung, Meldeprozess und technische Dokumentation.

    4

    Konformität erklären

    Konformitätsbewertung durchführen, CE-Kennzeichnung anbringen, Dokumentation vorhalten.

    Produkteinstufung SBOM Security-by-Design Meldeprozess ENISA Technische Doku CE-Konformität

    Oder selbst umsetzen

    Die ISMS-Plattform für den CRA — und 10 weitere Normen

    Digitalisieren Sie Produkteinstufung, SBOM, Schwachstellen und Meldefristen in einem Multinorm-ISMS. Mit KI-Copilot, Vorlagen und Audit-Lotse — ideal für Teams mit internen Ressourcen, die den CRA nachweisbar dokumentieren möchten.

    • Multinorm-ISMS
    • KI-Copilot & Vorlagen
    • Audit-Lotse
    • 30 Tage kostenlos testen

    ab €249

    / Monat · alle Normen

    Plattform entdecken
    FAQ

    Häufige Fragen zu CRA

    Was ist der Cyber Resilience Act?
    Der Cyber Resilience Act — Verordnung (EU) 2024/2847 — ist das erste EU-Gesetz, das Cybersicherheitsanforderungen an Produkte selbst stellt. Er gilt für alle „Produkte mit digitalen Elementen": Software, vernetzte Geräte, Maschinen mit Firmware. Ohne CRA-Konformität dürfen diese Produkte ab Dezember 2027 nicht mehr auf dem EU-Markt bereitgestellt werden.
    Ab wann gilt der CRA?
    Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig — dann braucht jedes betroffene Produkt eine Konformitätsbewertung und CE-Kennzeichnung.
    Welche Produkte sind betroffen?
    Grundsätzlich jedes Produkt mit digitalen Elementen, das in der EU in Verkehr gebracht wird. Der CRA unterscheidet drei Stufen: Standardprodukte (Selbstbewertung möglich), wichtige Produkte nach Anhang III in Klasse I und II — etwa Passwortmanager, VPN, Firewalls, Betriebssysteme — und kritische Produkte nach Anhang IV. Je höher die Klasse, desto strenger das Bewertungsverfahren.
    Was ist eine SBOM und brauche ich die wirklich?
    Eine SBOM (Software Bill of Materials) ist eine maschinenlesbare Liste aller Softwarekomponenten Ihres Produkts. Der CRA verlangt sie in Anhang I Teil II für mindestens die obersten Abhängigkeiten. Sie ist die Grundlage dafür, bei einer neu bekannt gewordenen Schwachstelle überhaupt sagen zu können, ob Ihr Produkt betroffen ist.
    Wie lange muss ich Updates liefern?
    Mindestens fünf Jahre ab Inverkehrbringen — oder für die erwartete Nutzungsdauer des Produkts, falls diese kürzer ist. Der Support-Zeitraum muss dem Kunden vor dem Kauf klar mitgeteilt werden. Für viele Hersteller ist das die weitreichendste Änderung, weil sie in die Produktkalkulation eingreift.
    Was passiert bei Verstößen?
    Die Bußgelder liegen bei bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Zusätzlich können Marktüberwachungsbehörden den Vertrieb untersagen und Rückrufe anordnen.
    Wie hängen CRA und NIS-2 zusammen?
    NIS-2 verpflichtet Organisationen zu Cybersicherheit, der CRA verpflichtet Produkte. Wer unter NIS-2 fällt und zugleich Produkte herstellt, ist von beidem betroffen. Die gute Nachricht: Risikomanagement, Lieferkettensteuerung und Meldeprozesse lassen sich weitgehend gemeinsam aufbauen.
    Wir kaufen Komponenten zu — haften wir trotzdem?
    Ja. Wer ein Produkt unter eigenem Namen in Verkehr bringt, ist Hersteller im Sinne des CRA — auch wenn wesentliche Teile zugekauft sind. Sie müssen Ihre Lieferkette prüfen, Komponenten in die SBOM aufnehmen und Schwachstellen in Fremdkomponenten selbst nachverfolgen.
    Wie viel interne Arbeit fällt bei uns an?
    Bei einem Produkt mit klarem Scope rechnen Sie mit 20–35 Personentagen auf Ihrer Seite — überwiegend in Entwicklung und Produktmanagement. Der größte Block ist die technische Dokumentation, weil dafür Wissen aus mehreren Teams zusammenkommen muss.
    Wie lange dauert die CRA-Konformität?
    Mit unserer Begleitung typischerweise 6–12 Monate für das erste Produkt. Jedes weitere Produkt derselben Familie geht deutlich schneller, weil Prozesse, Vorlagen und SBOM-Werkzeuge dann stehen. Wer bereits ISO 27001 hat, verkürzt den ersten Durchlauf spürbar.