Die CRA-Compliance umfasst 10 klare Schritte, die jeder Hersteller digitaler Produkte kennen und umsetzen muss. Diese Checkliste führt Sie von der ersten Bewertung bis zur CE-Kennzeichnung.

Schritt 1: Scope-Bestimmung

Prüfen Sie, ob Ihr Produkt in den Anwendungsbereich des CRA fällt. Alle Produkte mit digitalen Elementen sind betroffen, mit Ausnahmen für nicht-kommerzielle Open-Source-Software und Sektorvorschriften.

Schritt 2: Produktklassifizierung

Der CRA unterscheidet drei Klassen: Klasse I (moderates Risiko), Klasse II (höheres Risiko) und Außerhalb der Klasse (kritische Produkte). Die Klasse bestimmt das Konformitätsbewertungsverfahren.

Schritt 3: Technische Dokumentation (Anhang VII)

Das Dossier muss Produktbeschreibung, Konstruktionspläne, angewandte Normen, Risikoanalyse und Cybersicherheitsmaßnahmen enthalten.

Schritt 4: Sicherheit durch Design (Anhang I)

Implementieren Sie sichere Standardkonfiguration, Lebenszyklus-Schwachstellenmanagement, automatische Sicherheitsupdates und sichere Authentifizierung.

Schritt 5: SBOM erstellen und verwalten

Die Software-Stückliste listet alle Komponenten, Versionen und Lizenzen. Akzeptierte Formate: CycloneDX (empfohlen) und SPDX.

Schritt 6: Schwachstellenmanagement

Überwachen Sie CVEs, analysieren Sie Auswirkungen, entwickeln und deployen Sie Patches und dokumentieren Sie Entscheidungen (VEX).

Schritt 7: Article 14 Reporting

Ab September 2026: Frühwarnung innerhalb 24h, detaillierte Meldung innerhalb 72h, Abschlussbericht innerhalb 14 Tagen.

Schritt 8: EU-Konformitätserklärung

Dieses offizielle Dokument bestätigt die Einhaltung aller CRA-Anforderungen.

Schritt 9: CE-Kennzeichnung

Ohne CE-Kennzeichnung darf Ihr Produkt ab Dezember 2027 nicht mehr auf dem EU-Markt angeboten werden.

Schritt 10: Laufende Compliance

Aktualisieren Sie Ihr SBOM bei jeder Version, überwachen Sie neue Schwachstellen und führen Sie regelmäßige Prüfungen durch.

Die Expert CRA Plattform automatisiert Schritte 1 bis 10: Klassifizierung, Dokumentation, SBOM, CVE-Überwachung, Article 14 Reporting und Prüfpfade.