Was eine umfassende CRA-Konformitätsleistung liefern sollte

Die Einhaltung der EU-Cyberresilienz-Verordnung (CRA) ist weder ein einzelner Penetrationstest noch ein einmaliges Zertifikat. Für Hersteller ist sie ein Nachweis- und Freigabeprozess, der Produktumfang, Cybersicherheitsrisikobewertung, technische Kontrollen, Schwachstellenbehandlung, technische Dokumentation, den anwendbaren Konformitätsbewertungsweg, CE-/EU-Konformitätserklärung und Pflichten nach dem Inverkehrbringen verbindet.

Am 7. Oktober 2026 befindet sich der CRA in der Übergangsphase: Die Meldepflichten der Hersteller nach Artikel 14 gelten seit dem 11. September 2026; im Übrigen gilt die Verordnung ab dem 11. Dezember 2027. Ein belastbares Projekt hat daher zwei Spuren: einen heute bereits funktionierenden Meldeprozess und ein Programm zur Marktreife, das die Produkt- und Prozessnachweise vor dem allgemeinen Geltungsbeginn am 11. Dezember 2027 vervollständigt.

Was eine umfassende CRA-Konformitätsleistung liefern sollte

Die Leistung sollte Rechtsanforderungen in kontrollierte Projektergebnisse übersetzen. Kernergebnis ist keine allgemeine Stellungnahme, sondern eine rückverfolgbare Akte: welches Produkt und welche Version bewertet wurden, welche Risiken und Anforderungen gelten, wie jede Anforderung umgesetzt oder begründet wurde, welche Prüfungen dies stützen, welcher Konformitätsweg genutzt wurde und was nach Freigabe fortgeführt werden muss.

Die Verantwortung für Produkt und EU-Konformitätserklärung verbleibt beim Hersteller. Externe Berater, Labore und Konformitätsbewertungsstellen können Analyse und Nachweise liefern; Verantwortlichkeiten und Freigabekontrollpunkte müssen jedoch im eigenen Freigabeprozess des Herstellers verankert sein.

Eingangsprüfung: Produkt, Wirtschaftsakteur, Umfang und Bewertungsweg festlegen

Vor Prüfaufträgen ist der regulatorische Gegenstand einzufrieren: Hersteller, Produktfamilie und Varianten, Software-/Firmwarestände, Abhängigkeiten von entfernter Datenverarbeitung, Zweckbestimmung, vernünftigerweise vorhersehbare Verwendung, Märkte, Vertriebsmodell, Drittkomponenten sowie die Stelle, die Updates und Schwachstellenbehandlung steuert.

Danach wird entschieden, ob der CRA anwendbar ist und ob es sich um ein sonstiges Produkt, ein wichtiges Produkt Klasse I, Klasse II oder potenziell kritisches Produkt handelt. Diese Einordnung bestimmt den zulässigen Konformitätsweg. Unsicherheiten werden als offene Entscheidung mit Nachweisen und Verantwortlichem geführt und nicht in einem Prüfauftrag versteckt.

Operativer Ablauf von der Eingangsprüfung bis zur Marktreife

Prüfung und Nachweise: die Risikobewertung belegen, nicht einen generischen „CRA-Test“

Der CRA kennt keine universelle Prüfreihe. Prüfungen sollten aus der Cybersicherheitsrisikobewertung und den anwendbaren Anforderungen des Anhangs I abgeleitet werden. Je nach Produkt können Architektur- und Konfigurationsprüfung, Schnittstellen-/Authentifizierungstests, Schwachstellenscans, SBOM-/Abhängigkeitsanalyse, Penetrationstests, Prüfungen des Aktualisierungsmechanismus, Fehl- und Missbrauchsszenarien und die Prüfung der Schwachstellenprozesse zusammenwirken.

Für jede Prüfung sind Version, Konfiguration, Umgebung, Methode, Akzeptanzkriterium, Ergebnis, Abstellung und Status der Wiederholungsprüfung zu dokumentieren. Bei externen Laboren müssen Prüfumfang und Leistungsbeschreibung erhalten bleiben, damit der Bericht dem konkreten Freigabekandidaten zugeordnet werden kann. Ein Ergebnis „bestanden“ für eine nicht identifizierte oder veraltete Produktversion ist ein schwacher Konformitätsnachweis.

Technische Dokumentation und Freigabepaket

Die technische Akte sollte parallel zur Entstehung der technischen Nachweise aufgebaut und nicht am Ende rekonstruiert werden. Ein praktisches Freigabepaket umfasst regelmäßig:

• Produktidentifikation, Architektur und Versions-/Konfigurationsbasis;
• Cybersicherheitsrisikobewertung einschließlich Zweckbestimmung und vernünftigerweise vorhersehbarer Verwendung;
• Zuordnung der anwendbaren Anhang-I-Anforderungen zu Kontrollen und Nachweisen;
• Konstruktions-/Entwicklungsinformationen und relevante Komponenten-/Abhängigkeitsnachweise;
• Prüfberichte sowie Nachweise zu Abstellmaßnahmen und Wiederholungsprüfungen;
• Prozesse zur Schwachstellenbehandlung und koordinierten Offenlegung, Aktualisierungsmechanismus und Sicherheitsunterstützung;
• Begründung des Unterstützungszeitraums sowie erforderliche Nutzerinformationen/-anweisungen;
• routenspezifische Konformitätsunterlagen, EU-Konformitätserklärung und CE-Freigabenachweise soweit einschlägig.

Die technische Dokumentation muss vor dem Inverkehrbringen erstellt und während des Unterstützungszeitraums bei Bedarf aktualisiert werden. Hersteller halten technische Dokumentation und EU-Konformitätserklärung mindestens zehn Jahre nach Inverkehrbringen oder für den Unterstützungszeitraum bereit, je nachdem, welcher Zeitraum länger ist.

Konformitätsbewertungsweg und Übergaben an Dritte

Die Koordination externer Stellen sollte als kontrollierte Übergabe geführt werden. Vor Übermittlung an eine notifizierte Stelle oder einen anderen Bewertungsanbieter sind Befugnis und Bewertungsumfang, Sprache und Einreichungspaket zu bestätigen, die bewertete Version einzufrieren und ein Fragenprotokoll zu führen. 2026 werden CRA-Bewertungsinfrastruktur und Normen noch aufgebaut; Status und anwendbare Normen sollten daher aktuell verifiziert und nicht aus älteren Marketingunterlagen abgeleitet werden.

Freigabekontrolle, Meldungen und Änderungssteuerung

Marktreife ist eine Freigabeentscheidung und nicht bloß das Ende der Tests. Die Freigabekontrolle sollte bestätigen, dass das freigegebene Produkt der bewerteten Ausgangskonfiguration entspricht, die erforderlichen Konformitätsdokumente genehmigt sind, Nutzerinformationen und Informationen zur Sicherheitsunterstützung bereitstehen, der Unterstützungszeitraum festgelegt ist und die für die Phase nach dem Inverkehrbringen Verantwortlichen Zugriff auf Systeme für die Entgegennahme von Schwachstellenmeldungen, Aktualisierungen und Meldungen haben.

Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche CRA-Meldeplattform (SRP) melden. Die Kommission beschreibt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden; der Abschlussbericht folgt den CRA-Fristen des jeweiligen Ereignistyps. Der Ablauf sollte vor einem Vorfall geprobt werden. Dabei sollte festgelegt sein, wer Meldungen einreichen darf, wer die zugrunde gelegten Tatsachen freigibt und wie technische Nachweise gesichert werden.

Änderungen an Code, Hardware, Abhängigkeiten, Kryptografie, Schnittstellen, entfernter Verarbeitung, Zweckbestimmung, Unterstützungsregelungen oder Prozessen zur Schwachstellenbehandlung sollten in eine dokumentierte Auswirkungsprüfung einfließen. Zu prüfen ist, ob Risikobewertung, Nachweise, Nutzerinformationen oder Konformitätsaussage aktualisiert werden müssen.

Typische Engpässe, die die CRA-Bereitschaft verzögern

• Klassifizierung bleibt offen, während Prüfungen starten und der falsche Bewertungsweg budgetiert wird;
• Varianten sowie Cloud-Abhängigkeiten und Abhängigkeiten entfernter Verarbeitung sind nicht konfigurationskontrolliert;
• Risikobewertung, SBOM und Prüfumfang beziehen sich auf unterschiedliche Versionen;
• Lieferantennachweise für sicherheitskritische Komponenten oder Updateabhängigkeiten fehlen;
• Code-Fixes erfolgen, aber Nachweise zu Abstellung und Wiederholungsprüfung werden nicht aufbewahrt;
• Unterstützungszeitraum, Eingang von Schwachstellenmeldungen und Verantwortung für Meldungen werden erst bei der Freigabe entschieden;
• Bewertung durch Dritte wird gebucht, bevor die technische Akte intern konsistent ist.

Was diese Seite nicht ersetzt

Für Beraterauswahl, Governance oder strategische Lückenanalyse siehe die Seite zum CRA-Berater. Für Budget und Kostentreiber siehe die Seite zu CRA-Kosten. Für regimeübergreifende Fragen zur CE-Freigabe siehe CE-Kennzeichnungsleistungen. Diese Seite behandelt die Ausführungskette und die Übergaben zum freigabefähigen CRA-Nachweispaket.