CRA-Produktanforderungen
Produktkategorie wählen und erfahren, was konkret zu tun ist: anwendbare Anforderungen aus Anhang I und II, der zulässige Konformitätsweg und die einschlägigen EN-40000-/EN-304-6xx-Normen - mit Verweisen auf passende CyberKlartext-Tools. Normenstand: 2026-08-07.
Einordnung
Was leistet dieses Tool?
Der Cyber Resilience Act verpflichtet jeden Hersteller eines Produkts mit digitalen Elementen - ob vernetztes Gerät, Industriesteuerung oder reine Software. Nur steht in der Verordnung (EU) 2024/2847 nirgends, was das für Ihr Produkt bedeutet: Die Anhänge sind für alle Produkte gleichzeitig formuliert, die Pflichten verteilen sich über rund 70 Artikel, und ob Sie selbst erklären dürfen oder eine benannte Stelle brauchen, hängt an einer Einstufung, die Sie erst einmal vornehmen müssen.
Genau diese Übersetzung nimmt Ihnen dieses Tool ab. Sie wählen die Produktkategorie, die der Kernfunktionalität Ihres Produkts entspricht - alles Weitere ergibt sich daraus: die Einstufung nach Anhang III oder IV, der nach Art. 32 zulässige Konformitätsweg und die anwendbaren Normen. Dazu bekommen Sie alle 37 Anforderungen aus Anhang I, Anhang II und den zentralen Herstellerpflichten - jede mit konkreten Umsetzungsschritten, dem erwarteten Nachweis für die technische Dokumentation nach Anhang VII und einem Hinweis, was ein offener Punkt praktisch bedeutet.
Der Anforderungsplan ist dabei kein Lesetext, sondern ein Arbeitsdokument: Sie setzen je Anforderung einen Status, hinterlegen Verantwortliche und Notizen und behalten offene Punkte nach Dringlichkeit (30/90/180 Tage) im Blick. Für mehrere Produkte legen Sie mehrere Pläne nebeneinander an.
Deine Eingaben liegen im lokalen Speicher deines Browsers - kein Konto, keine Anmeldung. Nur wenn du den PDF-Export auslöst, wird das Dokument einmalig an unseren Server geschickt, dort in ein PDF gerendert und nicht gespeichert. Ohne Verbindung ist der Export deaktiviert, alles andere funktioniert weiter. Details in der Datenschutzerklärung.
Alle 37 Anforderungen mit Status, Verantwortlichen und Notizen - offene Punkte sortiert nach Dringlichkeit.
Zu jeder Anforderung steht, welcher Nachweis nach Anhang VII erwartet wird. Der PDF-Export bündelt den Stand für Audits, Kunden und die benannte Stelle.
Offene Punkte lassen sich als Audit-Checkliste oder als Einträge im Risikoregister weiterführen, statt sie doppelt zu erfassen.
Wo dieses Tool im Ablauf steht
Der CRA-Klartext-Selbstcheck schätzt den Reifegrad über alle CRA-Domänen hinweg ein. Dieses Tool beantwortet die konkretere Frage: Was muss für genau dieses Produkt umgesetzt werden, nach welcher Norm, und mit welcher Konformitätsbewertung? Beides greift ineinander - der Selbstcheck verlinkt nach der Klassifizierung direkt auf die passende Produktkategorie hier.
- 01
Bin ich überhaupt betroffen?
Der Compliance-Kompass klärt in wenigen Fragen, ob NIS2, der Cyber Resilience Act oder ISO/IEC 42001 für Ihr Unternehmen greifen.
Zum Compliance-Kompass - 02
Scope und Produktkategorie klären
Der CRA-Klartext-Selbstcheck prüft in wenigen Fragen Scope und Klassifizierung Ihres Produkts und verlinkt direkt zu den passenden Produktanforderungen.
Zum CRA-Klartext-Selbstcheck - 03
Was ist für dieses Produkt konkret zu tun?Sie sind hier
Dieses Tool: je Produktkategorie die anwendbaren Anforderungen aus Anhang I und II, der nach Art. 32 zulässige Konformitätsweg (Modul A/B+C/H) und die einschlägigen Normen - mit Umsetzungsschritten und Nachweis für die technische Dokumentation.
- 04
CVD-Policy festlegen
Anhang I Teil II Nr. 5 verlangt eine Politik zur koordinierten Offenlegung von Schwachstellen. Der CVD-Policy-Generator erstellt sie mit den Reaktionszeiten und der Offenlegungsfrist der BSI TR-03183-3.
Zum CVD-Policy-Generator - 05
Meldewege maschinenlesbar veröffentlichen
Der security.txt-Generator erstellt die dafür nötige Datei nach RFC 9116 mit den Pflichtfeldern der BSI TR-03183-3 - inklusive Verweis auf die eben erstellte CVD-Policy.
Zum security.txt Generator - 06
Umsetzen und nachweisen
Jede Anforderung verweist auf das passende Werkzeug: ISMS-Dokumentation und Statement of Applicability für Prozesse und Controls, CSAF Studio für maschinenlesbare Sicherheitshinweise, CyberRisk Canvas für die Risikobewertung.
Zur ISMS-Dokumentation - 07
EU-Konformitätserklärung ausstellen
Letzter Schritt vor dem Inverkehrbringen: nach Abschluss der Konformitätsbewertung die EU-Konformitätserklärung nach Anhang V ausstellen und die CE-Kennzeichnung anbringen.
Zum Konformitätserklärung-Generator
Produktkategorie wählen
27 Kategorien aus Anhang III und Anhang IV
Die Einstufung folgt der Kernfunktionalität des Produkts nach der Durchführungsverordnung (EU) 2025/2392. Nicht sicher, wo Ihr Produkt hingehört? Bei Unklarheit gilt in der Regel die Kategorie "Standardprodukt".
Wichtiges Produkt - Klasse I
Anhang III Klasse I - Selbsterklärung nur bei voller Normanwendung, sonst benannte Stelle.
Wichtiges Produkt - Klasse II
Anhang III Klasse II - immer benannte Stelle, Modul A ist ausgeschlossen.
Kritisches Produkt
Anhang IV - immer benannte Stelle, zusätzlich möglicherweise EUCC-Zertifikat verpflichtend.
Standardprodukt
Keine Anhang-III/IV-Kategorie - Modul A (Selbsterklärung) ist grundsätzlich zulässig.
Hintergrund
Normen und Konformitätsbewertung nach dem Cyber Resilience Act
Jede Produktseite zeigt die Einstufung nach Anhang III/IV, den nach Art. 32 zulässigen Konformitätsweg, die anwendbaren horizontalen und vertikalen Normen mit Stand und die vollständige Anforderungsmatrix aus Anhang I und II - inklusive konkreter Umsetzungsschritte, Nachweisen für die technische Dokumentation und Verweisen auf bestehende CyberKlartext-Tools wie CSAF Studio, das ISMS-Statement-of-Applicability oder den CyberRisk Canvas.
Der Normenstand (2026-08-07) ist entscheidend für die Praxis: Solange keine CRA-Norm im Amtsblatt der EU zitiert ist, gibt es keine Konformitätsvermutung nach Art. 27 - die Anforderungen aus Anhang I und II müssen dann eigenständig nachgewiesen werden. Für Anhang-III-Klasse-I-Produkte entscheidet genau das darüber, ob die Selbsterklärung nach Modul A überhaupt in Frage kommt.
Häufige Fragen
Welche Normen gelten für den Cyber Resilience Act?
Der Normungsauftrag M/606 sieht 41 harmonisierte Normen vor: vier horizontale EN-40000-1-x-Normen für alle Produkte sowie 26 vertikale Normen je Produktkategorie (überwiegend die ETSI-EN-304-6xx-Serie). Bislang ist keine dieser Normen im EU-Amtsblatt zitiert.
Was ist die EN-40000-Serie?
Die EN-40000-1-x-Serie ist der horizontale Normenrahmen zum Cyber Resilience Act: Begriffe (-1-1), Grundsätze der Cyberresilienz (-1-2), Schwachstellenbehandlung (-1-3) und generische Sicherheitsanforderungen (-1-4). Sie gilt für jedes Produkt mit digitalen Elementen, zusätzlich zur produktspezifischen vertikalen Norm.
Gibt es schon eine Konformitätsvermutung nach dem CRA?
Nein. Solange keine CRA-Norm im Amtsblatt der EU zitiert ist, besteht für kein Produkt eine Konformitätsvermutung nach Art. 27 - unabhängig vom Bearbeitungsstand der jeweiligen Norm.
Mehr dazu: CRA-Klartext-Selbstcheck · CRA im Glossar · EN-40000-Serie im Glossar