Die Fristen des Cyber Resilience Act: 2026 und 2027

Der Zeitplan der Cyber-Resilience-Act-Fristen, Schritt für Schritt

Das Inkrafttreten erfolgte am 10. Dezember 2024, womit die Übergangsfrist begann, ohne dass bereits Pflichten für Wirtschaftsakteure entstanden. Am 11. Juni 2026 beginnen die Vorschriften zu den notifizierten Stellen, damit die für wichtige und kritische Produkte benötigten Drittprüfer benannt werden können, bevor Hersteller sie brauchen. Das nächste Datum mit Pflichten für Hersteller ist der 11. September 2026, an dem die Meldepflichten beginnen. Das letzte Datum ist der 11. Dezember 2027, an dem die Verordnung vollständig gilt und jede materielle Pflicht wirksam ist.

Die Reihenfolge ist bewusst gewählt, und sie ist gesetzgeberisch klug. Die Meldepflichten kommen zuerst, damit die Behörden Sichtbarkeit über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gewinnen, während Hersteller ihre Konformitätsarbeit vor der vollständigen Geltung noch abschließen. Die praktische Konsequenz ist der Teil, den die meisten Teams übersehen: Ihre erste echte CRA-Frist ist die von 2026, und sie trifft Produkte, die Sie vor Jahren ausgeliefert haben. Liest man die Daten andersherum, gibt die Meldepflicht Ihnen ein festes Ziel für 2026 und die grundlegenden Anforderungen geben Ihnen ein festes Ziel für 2027 - die Roadmap plant sich also von selbst, sobald Sie wissen, welche Produkte im Anwendungsbereich liegen.

11. September 2026: Die Meldepflichten beginnen

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle in ihren Produkten an das als Koordinator benannte CSIRT im Mitgliedstaat ihrer Hauptniederlassung und an die ENISA melden, über die zentrale Meldeplattform, die die ENISA betreibt. Das ist die erste harte Frist des Cyber Resilience Act mit spürbaren Konsequenzen, und sie gilt auch für Produkte, die bereits auf dem Markt sind - sie läuft also mit engem Takt, lange bevor die vollständige Konformität verlangt wird. Behandeln Sie sie als das Datum, das sich schwerer aufholen lässt. Konformitätsarbeit lässt sich mit Geld und Beratern beschleunigen; eine Meldepflicht, die an einem Sonntagabend ausgelöst wird, nicht.

Die Meldeuhr hat drei Stufen, und die letzte Stufe unterscheidet sich je nach Meldetyp. Eine Frühwarnung ist innerhalb von 24 Stunden fällig, nachdem Sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall Kenntnis erlangt haben. Eine ausführlichere Meldung folgt innerhalb von 72 Stunden. Dann ein Abschlussbericht: bei einer ausgenutzten Schwachstelle innerhalb von 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist; bei einem schwerwiegenden Vorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Diesen Workflow aufzubauen ist Arbeit für 2026, denn einen 24-Stunden-Meldeprozess kann man während eines laufenden Vorfalls nicht improvisieren. Die Frühwarnung ist auf dem Papier großzügig und in der Praxis brutal, denn die Uhr startet mit der Kenntnisnahme, und Kenntnis kommt meist als E-Mail eines Sicherheitsforschers oder als Support-Ticket und nur selten als Alarm. Die Arbeit für dieses Jahr ist unglamourös: Legen Sie fest, wer den Ernstfall ausrufen darf, schreiben Sie auf, wen diese Person anruft, und proben Sie es einmal.

11. Dezember 2027: Der CRA gilt vollständig

Am 11. Dezember 2027 greift das volle Gewicht der Verordnung. Ab diesem Datum müssen Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden, die grundlegenden Anforderungen aus Anhang I erfüllen, und Hersteller müssen die Konformitätsbewertung abgeschlossen, die CE-Kennzeichnung angebracht und die EU-Konformitätserklärung ausgestellt haben sowie ein Schwachstellenmanagement über einen Unterstützungszeitraum betreiben, der die erwartete Nutzungsdauer des Produkts widerspiegelt und mindestens fünf Jahre beträgt, sofern die Lebensdauer nicht kürzer ist.

Anhang I hat zwei Hälften, und beide gelten. Teil I ist der Katalog der Produktsicherheitsanforderungen: sicher durch Voreinstellung, keine bekannten ausnutzbaren Schwachstellen, Schutz vor unbefugtem Zugriff, Vertraulichkeit und Integrität, Datenminimierung, Widerstandsfähigkeit gegen Denial-of-Service, eine begrenzte Angriffsfläche und die Fähigkeit, sicher aktualisiert zu werden. Teil II ist die Seite des Schwachstellenmanagements: Komponenten in einer Software-Stückliste (SBOM) dokumentieren, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen betreiben, Sicherheitsupdates mit Advisories ausliefern und regelmäßig testen. Eine Hälfte zu erfüllen genügt nicht. In Teil I fließt das Engineering-Budget, und Teil II ist der Punkt, an dem sich die meisten Hersteller schwertun werden, denn eine Software-Stückliste und eine koordinierte Offenlegungsrichtlinie verlangen, dass Sie wissen, was in Ihrem eigenen Produkt steckt, und dass Sie Fremde einladen, Ihnen zu sagen, dass es kaputt ist. Das sind organisatorische Gewohnheiten, und Gewohnheiten brauchen länger als Code. Der Hersteller muss außerdem die technische Dokumentation nach Anhang VII und die Konformitätserklärung mindestens zehn Jahre nach dem Inverkehrbringen des Produkts aufbewahren, oder für den Unterstützungszeitraum, wenn dieser länger ist.

Was das Verfehlen der Frist kostet

Der CRA legt in Artikel 64 Geldbußen in drei Stufen fest. Verstöße gegen die grundlegenden Anforderungen aus Anhang I oder gegen die Pflichten aus Artikel 13 und 14 können Geldbußen von bis zu 15 Mio. EUR oder 2,5 % des gesamten weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Andere Pflichten der Wirtschaftsakteure sind mit bis zu 10 Mio. EUR oder 2 % bewehrt, die Übermittlung falscher oder irreführender Angaben an notifizierte Stellen oder Marktüberwachungsbehörden mit bis zu 5 Mio. EUR oder 1 %. Marktüberwachungsbehörden können außerdem anordnen, dass ein Produkt zurückgenommen oder zurückgerufen wird, was bei einem vernetzten Produkt oft schmerzhafter ist als die Geldbuße. Die Staffelung selbst ist folgerichtig. Unsicher zu bleiben und zu schweigen liegt in der obersten Stufe, eine notifizierte Stelle zu täuschen darunter - das sagt deutlich, was der Gesetzgeber verhindern will.

Jetzt anfangen: Ein Readiness-Pfad zur Frist 2027

Das Zeitfenster wirkt großzügig, doch Konformitätsbewertung, CE-Kennzeichnung und eine fünfjährige Support-Zusage sind alles andere als Last-Minute-Aufgaben. Ein praktikabler Pfad beginnt heute. Inventarisieren Sie Ihre Produkte mit digitalen Elementen - das dauert einen Nachmittag, wenn Ihr Produktkatalog ehrlich ist, und einen Monat, wenn nicht. Klassifizieren Sie jedes Produkt anhand der Stufen Standard, wichtig und kritisch. Bei der Klassifizierung beginnen die Diskussionen, denn die Stufe entscheidet, ob Sie einen Drittprüfer brauchen, und niemand meldet sich freiwillig als die Person, die sagt, dass das Flaggschiffprodukt in die Klasse II der wichtigen Produkte fällt. Führen Sie eine Gap-Analyse gegen Anhang I durch. Bauen Sie Schwachstellenmanagement und eine Software-Stückliste auf. Nutzen Sie die Nachweise wieder, die Sie bereits aus NIS2, DORA und ISO 27001 haben. Schließen Sie dann Konformitätsbewertung und CE-Kennzeichnung vor dem 11. Dezember 2027 ab.

Häufig gestellte Fragen

Was ist die wichtigste Frist des Cyber Resilience Act?

Der 11. Dezember 2027, ab dem der CRA vollständig gilt. Ab diesem Datum müssen Produkte mit digitalen Elementen im Anwendungsbereich, die auf dem EU-Markt in Verkehr gebracht werden, die grundlegenden Anforderungen aus Anhang I erfüllen, die Konformitätsbewertung abgeschlossen haben und die CE-Kennzeichnung tragen. Das frühere Datum, der 11. September 2026, bringt die Meldepflichten für Schwachstellen und Vorfälle.

Gelten die Meldepflichten für Produkte, die bereits auf dem Markt sind?

Ja. Ab dem 11. September 2026 gilt die Pflicht aus Artikel 14, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, für Produkte im Anwendungsbereich, einschließlich derjenigen, die bereits vor der vollständigen Geltung bereitgestellt wurden. Deshalb gehört der Meldeworkflow schon in die Arbeitsplanung für 2026.

Was passiert am 11. Juni 2026?

Die Vorschriften zu den Konformitätsbewertungsstellen (Kapitel IV) beginnen zu gelten, sodass die Mitgliedstaaten die Drittstellen benennen und notifizieren können, die wichtige Produkte der Klasse II und kritische Produkte bewerten werden. Diese Frist richtet sich an die Mitgliedstaaten; für Sie zählt sie, wenn Ihre Produkte eine Drittbewertung brauchen, denn Sie wollen rechtzeitig vor Dezember 2027 eine notifizierte Stelle verfügbar haben.

Gibt es eine Übergangsphase für die grundlegenden Anforderungen?

Nein. Während die Meldepflichten früher greifen, werden die grundlegenden Anforderungen aus Anhang I, die Konformitätsbewertung, die CE-Kennzeichnung und die technische Dokumentation alle gemeinsam am 11. Dezember 2027 wirksam. Nach diesem Datum gibt es für neu in Verkehr gebrachte Produkte keine gestaffelte Schonfrist.

Welche Strafen drohen bei Fristversäumnis?

Bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen oder die Pflichten aus Artikel 13 und 14, mit niedrigeren Stufen von 10 Mio. EUR oder 2 % und 5 Mio. EUR oder 1 % für andere Verstöße. Die Behörden können außerdem anordnen, dass ein nicht konformes Produkt vom Markt genommen wird.

Beide Fristen mit Venvera planen

Das Venvera-CRA-Modul macht aus diesem Pfad eine nachverfolgte Gap-Analyse, und seine Crosswalk-Engine nutzt Nachweise wieder, die Sie bereits für NIS2, DORA und ISO 27001 erstellt haben, damit Sie dieselben Controls kein zweites Mal aufbauen. Gute CRA-Compliance-Software hält Risikobewertung, technische Dokumentation und Schwachstellenaufzeichnungen an einem Ort, damit Ihr Umsetzungsstand gegen beide Daten, 2026 und 2027, nachverfolgt bleibt. Wenn Sie vor der Planung eine schnelle Standortbestimmung wollen, starten Sie einen kostenlosen Compliance-Check. Da der CRA auf Pflichten aufsetzt, die Sie möglicherweise schon erfüllen, gilt: Je früher Sie die Überschneidungen kartieren, desto kürzer der Weg zu beiden Fristen.

Primärquellen

Die oben genannten Daten und Pflichten stammen aus der Verordnung (EU) 2024/2847 (Artikel 13, 14, 31, 64 und 71 zu den Geltungsdaten sowie Anhänge I und VII) sowie von den Politikseiten der Europäischen Kommission zum Cyber Resilience Act und aus der Zusammenfassung des Gesetzgebungsakts. Prüfen Sie den aktuellen Text, bevor Sie sich auf ein bestimmtes Datum verlassen.

Alexander Sverdlov

CEO and founder, Venvera

Alexander is the founder of Venvera and a 20+ year veteran of European cybersecurity and compliance. He has led security and risk programmes for regulated financial institutions, fintechs and SaaS companies operating under DORA, NIS2, GDPR, ISO 27001 and the EU AI Act. Before Venvera, he founded Atlant Security, an offensive security consultancy that ran penetration tests, red-team exercises and ISO 27001 readiness programmes for clients across the EU and the Middle East. He writes on the cross-framework realities of running modern compliance: how to map one control to many obligations, where the spreadsheets fall apart, and what regulators are actually asking for once the auditor sits down.

More articles by Alexander →

VERWANDTE ARTIKEL

Wissen

Gilt die KI-Verordnung auch außerhalb der EU?

Wer von außerhalb der EU KI in die EU verkauft, fällt meist in den Anwendungsbereich. Welche Unternehmen aus Drittstaaten erfasst werden, wie der Auslöser "Ausgabe wird in der EU verwendet" wirkt, was die Pflicht zum Bevollmächtigten bedeutet und welche Fristen gelten, nachdem der Digital Omnibus 2026 die Hochrisiko-Regeln auf Dezember 2027 verschoben hat.

Feb 25, 2026

Wissen

DORA Gap-Analyse: Bewerten Sie Ihren Reifegrad

Bewerten Sie Ihre DORA-Reife über sieben Domänen hinweg, jede verankert im Artikel, aus dem sie stammt, und gewichten Sie dann die Lücken, damit Sie wissen, was zuerst zu beheben ist.

Feb 24, 2026

Wissen

DORA IKT-Drittparteienrisiko: ein konformes Anbieterregister aufbauen

DORA Kapitel V, Abschnitt I, vollständig: das Informationsregister, die neun Vertragsklauseln für jeden IKT-Vertrag plus sechs weitere für kritische Funktionen, der RTS zur Unterauftragsvergabe und die Ausstiegstests.

Mar 10, 2026