Der Cyber Resilience Act (CRA) verpflichtet Hersteller, Einführer und Händler von Produkten mit digitalen Elementen zu umfassenden Cybersicherheitsmaßnahmen. Wer bis zum 11. Dezember 2027 konform sein will, braucht einen strukturierten Projektplan mit klaren Verantwortlichkeiten. Wir erklären, wer im Unternehmen mitwirken muss, wo Sie sinnvoll beginnen und welche Schritte in welcher Reihenfolge zum Ziel der CRA-Compliance führen.
Warum braucht die CRA-Umsetzung einen eigenen Projektplan?
Ein strukturierter Projektplan für die Umsetzung des Cyber Resilience Acts ist vor allem wegen der hohen Komplexität erforderlich.
Der CRA ist weder ein reines IT-Projekt noch ein klassisches Rechtsprojekt. Die Verordnung greift tief in Produktentwicklung, Dokumentation, Einkauf, Support und Vertrieb ein. Ohne koordiniertes Vorgehen arbeiten Abteilungen an unterschiedlichen Produktdefinitionen, Fristen geraten aus dem Blick und am Ende fehlt die Dokumentation für die Konformitätsbewertung.
Verstöße gegen den CRA können Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Zudem drohen Maßnahmen der Aufsichtsbehörden wie ein Entzug des Marktzugangs und Produktrückrufe.
Ein CRA-Projektplan schafft Verbindlichkeit und macht den Umsetzungsstand jederzeit sichtbar.
Wer muss an der CRA-Umsetzung mitwirken?
Die Umsetzung des CRA gelingt nur als Querschnittsprojekt. Die Geschäftsführung trägt die Verantwortung für die Konformität, stellt Ressourcen bereit und sollte das Projekt sichtbar unterstützen. Darüber hinaus gehören in das CRA-Kernteam:
- Produktmanagement, das den Überblick über Produkte, Varianten und Roadmaps hat
- Entwicklung und Engineering, die die technischen Anforderungen umsetzen
- IT-Sicherheit, die Risikobewertungen, Schwachstellenmanagement und Meldeprozesse verantwortet
- Qualitätsmanagement und Regulatory Affairs, die Erfahrung mit Konformitätsverfahren und CE-Kennzeichnung mitbringen
- Einkauf und Lieferantenmanagement, da zugekaufte Soft- und Hardwarekomponenten in die Bewertung einfließen
- Recht und Compliance für die Auslegung der Pflichten und die Vertragsgestaltung
- Marketing und Vertrieb, weil Produktversprechen und Produktbezeichnungen mit dem tatsächlichen Produkt übereinstimmen müssen
Gerade die letzte Gruppe wird häufig vergessen. Dabei kann auch die Außendarstellung darüber entscheiden, welchem Verwendungszweck und welcher Klassifizierung ein Produkt zugeordnet wird, und ob einzelne Komponenten als eigenständige Produkte gelten.
Schritt 1: Welche Produkte haben Sie überhaupt?
Am Anfang steht ein vollständiges Produktinventar. Das klingt trivial, ist es in der Praxis aber selten. Erfassen Sie alle Produkte mit digitalen Elementen einschließlich Varianten, Versionen, White-Label-Produkten und weiterhin vertriebenen Altprodukten. Klären Sie für jedes Produkt, was genau dazugehört. Zählt die zugehörige App dazu, die Cloud-Anbindung, das Zubehör?
Besonders wichtig ist der Abgleich zwischen Marketingsicht und technischer Sicht. Häufig verkauft der Vertrieb eine Lösung als ein Produkt, während die Technik mehrere eigenständige Komponenten sieht, oder umgekehrt. Dieser Dissens muss früh aufgelöst werden, denn die Produktdefinition bestimmt den gesamten weiteren Projektverlauf.
Schritt 2: Scoping und Klassifizierung der Produkte
Im zweiten Schritt prüfen Sie für jedes Produkt, ob es in den Anwendungsbereich des CRA fällt. Maßgeblich ist Art. 2 CRA. Erfasst sind Produkte mit digitalen Elementen, die eine direkte oder indirekte Datenverbindung herstellen können. Ausnahmen bestehen etwa für Produkte unter sektorspezifischen Regelungen wie der Medizinprodukteverordnung sowie unter bestimmten Voraussetzungen für Open-Source-Software.
Klären Sie im selben Schritt, in welcher Rolle Ihr Unternehmen betroffen ist. Der CRA unterscheidet zwischen Herstellern, Einführern und Händlern mit jeweils eigenem Pflichtenumfang nach Art. 13 ff. CRA. Wer ein Produkt unter eigener Marke vertreibt oder wesentlich verändert, wird rechtlich zum Hersteller, auch wenn er sich selbst als Händler versteht. Gerade bei White-Label-Konstellationen entscheidet diese Einordnung über den Pflichtenumfang.
Fällt ein Produkt in den Anwendungsbereich, folgt die Klassifizierung. Der CRA unterscheidet zwischen Produkten der Standardkategorie, wichtigen Produkten der Klassen I und II nach Anhang III und kritischen Produkten nach Anhang IV. Die Einstufung entscheidet darüber, welches Konformitätsbewertungsverfahren zulässig ist und ob eine notifizierte Stelle einbezogen werden muss. Halten Sie das Ergebnis für jedes Produkt schriftlich fest, inklusive der Begründung. Diese Analyse ist später Teil Ihrer Nachweisführung.
Schritt 3: Zeitplan, Ressourcen und Verantwortliche festlegen
Erst mit dem Scoping-Ergebnis lässt sich der Aufwand für die CRA-Compliance realistisch schätzen. Planen Sie rückwärts von den beiden zentralen Terminen:
- Die Meldepflichten gelten ab dem 11. September 2026.
- Die vollständige Anwendbarkeit beginnt am 11. Dezember 2027. Produkte, die danach in Verkehr gebracht werden, müssen sämtliche Anforderungen erfüllen.
Beachten Sie dabei die Übergangsregelung für Bestandsprodukte. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die vollen Anforderungen erst erfüllen, wenn sie wesentlich verändert werden. Die Meldepflichten nach Art. 14 CRA gelten dagegen für alle Produkte im Anwendungsbereich, unabhängig vom Zeitpunkt des Inverkehrbringens.
Benennen Sie eine Gesamtprojektleitung sowie für jedes Produkt eine verantwortliche Person, die den Umsetzungsstand kennt und Entscheidungen herbeiführen kann. Legen Sie fest, wo externe Unterstützung nötig ist, etwa bei der rechtlichen Einordnung, bei Penetrationstests oder bei der technischen Dokumentation. Priorisieren Sie Produkte mit hohem Umsatzanteil, hoher Klassifizierung oder langem Entwicklungszyklus.
Schritt 4: Meldeprozesse einrichten, denn die Frist läuft zuerst ab
Die Meldepflichten sind der zeitkritischste Baustein des Projekts. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Frühwarnung muss innerhalb von 24 Stunden nach Kenntnis erfolgen, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen bei Schwachstellen und einem Monat bei Vorfällen. Gemeldet wird über die zentrale Meldeplattform an das zuständige nationale CSIRT (Computer Security Incident Response Team, in Deutschland das Bundesamt für Sicherheit in der Informationstechnik – BSI) und die ENISA (European Union Agency for Cybersecurity).
Richten Sie deshalb frühzeitig einen internen Meldeprozess ein. Dazu gehören klare Kriterien für die Meldepflicht, benannte Verantwortliche mit Vertretungsregelung, Erreichbarkeit außerhalb der Geschäftszeiten und vorbereitete Meldevorlagen. Testen Sie den Prozess vor dem Stichtag mit einer Übung. Wer erst im Ernstfall klärt, wer meldet, riskiert die 24-Stunden-Frist zu verpassen.
Tipp: Lesen Sie unseren Ratgeber zur Umsetzung der Meldepflichten unter dem Cyber Resilience Act.
Schritt 5: Interne Prozesse und Rollen dauerhaft verankern
Neben den Meldeprozessen verlangt der CRA weitere dauerhafte Prozesse, die Sie jetzt aufbauen sollten. Im Zentrum steht das Schwachstellenmanagement nach Anhang I Teil II. Hersteller müssen Schwachstellen identifizieren, dokumentieren und unverzüglich durch kostenlose Sicherheitsaktualisierungen beheben. Dazu gehören
- eine Richtlinie zur koordinierten Offenlegung von Schwachstellen,
- eine zentrale Anlaufstelle, über die Nutzer direkt und schnell mit dem Hersteller kommunizieren und insbesondere Schwachstellen melden können sowie
- regelmäßige Tests der Produktsicherheit.
Legen Sie außerdem fest, wie lange jedes Produkt unterstützt wird. Der Supportzeitraum muss der erwarteten Nutzungsdauer entsprechen und beträgt grundsätzlich mindestens fünf Jahre.
Definieren Sie zudem, wie Sicherheitsanforderungen künftig in die Produktentwicklung einfließen, denn der CRA verlangt Cybersicherheit über den gesamten Lebenszyklus.
Expertentipp: Gerade wenn Sie mehrere Produkte und Produktlinien anbieten, wird dieser Prozess schnell unübersichtlich. Wir empfehlen daher, sich an etablierten Managementsystemen zu orientieren, um die geforderte Kontinuität erfüllen zu können. Zudem raten wir dringend dazu, die Prozesse in einer auf den CRA spezialisierten Software abzubilden, um den Überblick zu behalten.
Schritt 6: Risikobewertung durchführen und Anforderungen aus Anhang I umsetzen
Für jedes Produkt im Anwendungsbereich ist eine Cybersicherheits-Risikobewertung durchzuführen und zu dokumentieren. Sie ist der Dreh- und Angelpunkt der materiellen Anforderungen, denn sie bestimmt, welche der grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I für das konkrete Produkt einschlägig und wie sie umzusetzen sind. Dazu zählen etwa sichere Standardkonfigurationen (Security by Design), Schutz vor unbefugtem Zugriff, Verschlüsselung, Datenminimierung und die Begrenzung von Angriffsflächen.
Führen Sie anschließend eine Gap-Analyse durch. Welche Anforderungen erfüllt das Produkt bereits, wo bestehen Lücken und welche technischen oder organisatorischen Maßnahmen schließen sie? Aus dieser Analyse entsteht der konkrete Umsetzungsplan je Produkt. Beziehen Sie dabei auch zugekaufte Komponenten und Open-Source-Bestandteile ein, denn der Hersteller bleibt für das Gesamtprodukt verantwortlich.
Unser Tipp: Behalten Sie die Entwicklung der harmonisierten Normen zum CRA im Blick. Wer diese Normen korrekt anwendet, profitiert von der Konformitätsvermutung.
Da viele Normen derzeit noch erarbeitet werden, gehört in den Projektplan eine feste Aufgabe, die Normenlage regelmäßig zu prüfen und die Umsetzung daran auszurichten. Das vermeidet doppelte Arbeit.
Schritt 7: Technische Dokumentation erstellen
Parallel zur bisher diskutierten Umsetzung entsteht die technische Dokumentation nach Anhang VII CRA. Sie umfasst unter anderem die Produktbeschreibung, die Risikobewertung, Angaben zum Schwachstellenmanagement, Testberichte und eine Softwarestückliste (Software Bill of Materials, SBOM), die mindestens die obersten Abhängigkeiten des Produkts abbildet. Die Dokumentation muss vor dem Inverkehrbringen vollständig vorliegen und über den gesamten Supportzeitraum aktuell bleiben. Führen Sie sie deshalb von Beginn an mit und benennen Sie je Produkt eine verantwortliche Person.
Denken Sie daneben an die Informationen für die Nutzenden nach Anhang II CRA, darunter eine Kontaktstelle für Schwachstellenmeldungen, Angaben zum Supportzeitraum und Hinweise zum sicheren Betrieb. Diese Angaben müssen dem Produkt beiliegen und verständlich formuliert sein.
Schritt 8: Konformitätsbewertung, Erklärung und CE-Kennzeichnung
Den Abschluss bildet die Konformitätsbewertung.
- Für Standardprodukte genügt in der Regel die interne Kontrolle durch den Hersteller.
- Bei wichtigen Produkten der Klasse I kann die Anwendung harmonisierter Normen ins Spiel kommen.
- Bei Klasse II und bei kritischen Produkten ist regelmäßig eine notifizierte Stelle oder eine Zertifizierung einzubeziehen.
Nach erfolgreicher Bewertung stellen Sie die EU-Konformitätserklärung aus und bringen die CE-Kennzeichnung an. Erst damit darf das Produkt ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Expertentipp: Falls Ihre Produkte eine notifizierte Stelle benötigen, fragen Sie diese so früh wie möglich an. Die Mitgliedstaaten müssen erst bis Ende 2026 eine ausreichende Zahl notifizierter Stellen sicherstellen, Engpässe und Wartezeiten sind daher wahrscheinlich.
Wer die Klassifizierung früh abschließt, weiß rechtzeitig, ob eine Drittprüfung nötig ist, und sichert sich Prüfkapazitäten vor dem Ansturm kurz vor dem Stichtag.
Die CE-Kennzeichnung ist dabei kein Schlusspunkt. Wesentliche Änderungen können eine erneute Bewertung erforderlich machen, Schwachstellenmanagement und Meldeprozesse laufen über den gesamten Supportzeitraum weiter. Der Projektplan sollte deshalb ausdrücklich den Übergang vom Projekt in den Regelbetrieb vorsehen.
Wie kann activeMind Unternehmen dabei helfen, einen CRA-Projektplan zu entwickeln?
Bei der Entwicklung und Umsetzung von Projektplänen zum CRA versuchen unsere Experten vor allem zwei Dinge zu erreichen:
- Zum einen stellen wir durch sorgfältige Betroffenheitsprüfung (erfolgt durch unsere Partnerkanzlei) und Produktklassifizierung sicher, dass Sie alle relevanten Produkte und Komponenten in Ihrem CRA-Projektplan bedenken.
- Zum anderen etablieren wir Prozesse und Verantwortlichkeiten in Ihrem Unternehmen von Anfang an so, dass immer klar ist, welche Informationen wo liegen und wer was für was zuständig ist.
Ihre Vorteile:
- Durch unsere langjährige Erfahrung mit verschiedensten Normen der Informationssicherheit (etwa ISO 27001, NIS2 oder DORA) wissen wir, worauf es bei der Umsetzung wirklich ankommt.
- Im Ergebnis erhalten Sie einen (auf Wunsch: softwaregestützten) CRA-Projektplan, der alle relevanten Aspekte in angemessener Tiefe behandelt und zugleich Ihre Ressourcen schont.
Einen funktionierenden Projektplan für die zu erreichende CRA-Compliance zu erstellen, überfordert viele interne Teams – ist aber der wesentliche Startpunkt für gutes Projektmanagement. Gerne unterstützen wir Sie dabei!
Fazit: Erst der Überblick, dann die Technik
Ein tragfähiger CRA-Projektplan beginnt nicht bei den technischen Anforderungen, sondern beim Produktinventar und beim Scoping. Erst wer weiß, welche Produkte in welcher Klassifizierung und Rolle betroffen sind, kann Zeitplan, Ressourcen und Verantwortlichkeiten realistisch festlegen.
Unternehmen, die jetzt beginnen, verschaffen sich den nötigen Vorlauf, können ggfs. externe Expertise einholen und vermeiden teure Last-Minute-Aktionen kurz vor dem 11. Dezember 2027.
