Cyber Resilience Act — Zeitplan und aktueller Stand: Oktober 2026
Wo der EU Cyber Resilience Act gerade steht: welche Pflichten schon gelten, welche Frist als Nächstes kommt und was Hersteller jetzt tun sollten.
Schnellantwort
Stand Oktober 2026: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist in Kraft, und zwei seiner Meilensteine gelten bereits. Die Regelungen zu notifizierten Stellen gelten seit dem 11. Juni 2026. Die Meldepflicht nach Art. 14 EU CRA gilt seit dem 11. September 2026: Hersteller melden aktiv ausgenutzte Schwachstellen und schwere Vorfälle an das koordinierende CSIRT und die ENISA, auch für Produkte, die bereits auf dem Markt sind. Die nächste Frist ist die volle Geltung am 11. Dezember 2027.
Aktualisiert am 7. Oktober 2026: Die Meldepflicht nach Art. 14 EU CRA gilt seit dem 11. September 2026. Schnellantwort, Zeitplan und FAQ nannten sie bis zu diesem Update noch als kommende Frist.
Ist der Cyber Resilience Act schon in Kraft?
Ja. Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten und gilt unmittelbar in allen EU-Mitgliedstaaten, ohne nationale Umsetzungsgesetze. Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 für alle Hersteller; die übrigen Produktanforderungen folgen am 11. Dezember 2027.
EU-CRA-Zeitplan: Welche Fristen gelten — und welche kommt als Nächstes?
Die Verordnung legt vier Meilensteine fest. So stehen sie im Oktober 2026:
| Datum | Meilenstein | Status |
|---|---|---|
| 10. Dezember 2024 | EU CRA tritt in Kraft — die Übergangsphase für alle Hersteller beginnt | Gilt |
| 11. Juni 2026 | Regelungen zu notifizierten Stellen gelten (Kapitel IV) — Konformitätsbewertungsstellen können notifiziert werden | Gilt |
| 11. September 2026 | Meldepflichten nach Artikel 14: aktiv ausgenutzte Schwachstellen und schwere Vorfälle werden an das koordinierende CSIRT und die ENISA gemeldet, mit Frühwarnung binnen 24 Stunden — auch für Produkte, die bereits auf dem Markt sind | Gilt |
| 11. Dezember 2027 | Volle Geltung: Jedes neue Produkt mit digitalen Elementen auf dem EU-Markt muss alle Anforderungen des EU CRA erfüllen | Als Nächstes |
Was müssen Hersteller jetzt tun?
Die Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026. Die Prioritäten:
- 1
Den Meldeprozess betreiben, nicht nur beschreiben
Die Meldekaskade nach Art. 14 EU CRA an das koordinierende CSIRT und die ENISA gilt auch für Bestandsprodukte: Frühwarnung binnen 24 Stunden, Zwischenmeldung binnen 72 Stunden und Abschlussbericht nach 14 Tagen bei aktiv ausgenutzter Schwachstelle bzw. einem Monat beim schwerwiegenden Sicherheitsvorfall. Dafür braucht es Schwachstellenüberwachung, einen Bewertungsweg und einen Meldeworkflow, die im Ernstfall erprobt sind.
- 2
Produktinventar und Risikoklassifizierung abschließen
Welche Produkte fallen unter den EU CRA, und in welche Anhang-III-Klasse? Die Klassifizierung entscheidet, ob die Selbstbewertung reicht oder eine notifizierte Stelle beteiligt werden muss — deren Kapazität für den EU CRA baut sich noch auf.
- 3
Rückwärts vom 11. Dezember 2027 planen
Ein EU-CRA-Compliance-Projekt dauert typischerweise 9–12 Monate. Produkte, die ab dem 11. Dezember 2027 in Verkehr gehen, brauchen die volle Nachweiskette: Risikobewertung, SBOM, Anhang-VII-Dokumentation, Konformitätserklärung.
Häufige Fragen zum aktuellen Stand des CRA
Ab wann gilt der Cyber Resilience Act?+
Der Cyber Resilience Act ist seit dem 10. Dezember 2024 in Kraft, die Pflichten greifen gestaffelt. Die Regelungen zu notifizierten Stellen gelten seit dem 11. Juni 2026, die Meldepflichten nach Artikel 14 seit dem 11. September 2026, und die volle Geltung für alle neuen Produkte auf dem EU-Markt beginnt am 11. Dezember 2027.
Ist der Cyber Resilience Act schon in Kraft?+
Ja, seit dem 10. Dezember 2024. Als EU-Verordnung gilt der Cyber Resilience Act unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzungsgesetze. Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026; die nächste verbindliche Frist ist die volle Geltung am 11. Dezember 2027.
Was gilt seit dem 11. September 2026?+
Seit dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle nach Art. 14 EU CRA an das koordinierende CSIRT und die ENISA: Frühwarnung binnen 24 Stunden, ergänzende Details binnen 72 Stunden, Abschlussbericht binnen 14 Tagen (Schwachstellen) bzw. einem Monat (Vorfälle). Die Pflicht gilt auch für Produkte, die bereits auf dem Markt sind.
Gilt der CRA für Produkte, die schon auf dem Markt sind?+
Die vollen Produktanforderungen gelten für Produkte, die ab dem 11. Dezember 2027 auf den EU-Markt kommen. Die Meldepflichten nach Artikel 14, die seit dem 11. September 2026 gelten, erfassen jedoch auch Bestandsprodukte — Schwachstellen in bereits verkauften Produkten müssen überwacht und gemeldet werden.
Wo finde ich den offiziellen CRA-Text auf Deutsch?+
Der offizielle Text der Verordnung (EU) 2024/2847 ist auf EUR-Lex in allen EU-Sprachen veröffentlicht, inklusive PDF-Fassung aus dem Amtsblatt. Unsere Wissensdatenbank spiegelt den Volltext — alle Artikel, Erwägungsgründe und Anhänge — mit verständlichen Erläuterungen und FAQ.
Wie bereit sind Sie für die nächste Frist?
Die kostenlose CRA-Reifegradanalyse zeigt Ihnen in rund 15 Minuten, wo Ihre Organisation gegenüber der geltenden Meldepflicht und der vollen Geltung am 11. Dezember 2027 steht — mit priorisierter Roadmap.