Eine CRA-Checkliste, die Sie wirklich abarbeiten können
Sechs Prüfungen hinter der Meldepflicht, die seit dem 11. September 2026 gilt, jede mit dem ersten konkreten Schritt — und dem, was die Verordnung verlangt.
Die meisten Checklisten zur Cyberresilienz-Verordnung (CRA) geben die Verordnung wieder und setzen Kästchen zum Abhaken an den Rand. Sie sagen Ihnen, dass Sie eine Strategie für die koordinierte Offenlegung von Schwachstellen brauchen. Sie sagen Ihnen nicht, was Sie am Montag tun.
Diese hier ist andersherum aufgebaut: sechs Prüfungen, jede mit der kleinsten konkreten Maßnahme, die sie schließt, und mit der Vorschrift, aus der sie stammt — damit Sie nachprüfen können, statt zu vertrauen.
Zwei der sechs tragen die Meldepflicht nach Art. 14, die seit dem 11. September 2026 gilt — fünfzehn Monate vor dem Rest der Verordnung. Diese beiden sind markiert. Wenn Sie nur für einen Teil der Liste Zeit haben, erledigen Sie diese.
1. Können Sie erfahren, dass eine Schwachstelle ausgenutzt wird?
Kritisch seit September 2026. Art. 14 Abs. 1
Die Pflicht entsteht mit der Kenntnis: Ein Hersteller muss jede aktiv ausgenutzte Schwachstelle, von der er Kenntnis erlangt, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden. Ohne einen Prozess, der diese Kenntnis verschafft, verschwindet die Pflicht nicht — sie scheitert unbemerkt, und Sie erfahren davon zuerst von einem Kunden oder einer Behörde.
Erster Schritt. Leiten Sie eine Warnung in einen Kanal, den ein Mensch ohnehin jeden Tag liest — aus Ihrem Scanner für Abhängigkeiten, von der Sicherheits-Mailingliste Ihrer Distribution oder aus einem CVE-Feed für die Komponenten, die Sie ausliefern. Eine Warnung, die dort ankommt, wo Menschen hinsehen, ist besser als drei Abonnements, die niemand öffnet.
Die 24-Stunden-Frist kann nicht anlaufen, wenn nichts sie in Gang setzt.
2. Könnten Sie tatsächlich innerhalb von 24 Stunden melden?
Kritisch seit September 2026. Art. 14 Abs. 2, 4 und 7
Drei Fristen, nicht eine:
- eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme
- eine ausführlichere Meldung innerhalb von 72 Stunden
- ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist — bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats
Alle drei laufen über die einheitliche Meldeplattform, an das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung: dort, wo Ihre Entscheidungen zur Cybersicherheit überwiegend getroffen werden, oder, falls sich das nicht bestimmen lässt, wo Sie in der Union die meisten Beschäftigten haben.
Klären Sie das jetzt. 24 Stunden reichen nicht, um herauszufinden, an welchen Mitgliedstaat Sie melden.
Erster Schritt. Entwerfen Sie den Text der Frühwarnung, bevor Sie ihn brauchen: was passiert ist, welches Produkt in welcher Version, was Sie bisher wissen und was Sie noch nicht wissen. Bei 24 Stunden ist nicht die Information knapp, sondern die Zeit, sich hinzusetzen und sie aufzuschreiben.
3. Gibt es einen veröffentlichten Weg, Ihnen eine Schwachstelle zu melden?
Anhang I Teil II Nr. 5 und 6
Die Verordnung verlangt von Herstellern, eine Strategie für die koordinierte Offenlegung von Schwachstellen aufzustellen und umzusetzen, und gesondert, eine Kontaktadresse für die Meldung der im Produkt entdeckten Schwachstellen anzugeben.
Eine Strategie, die außerhalb Ihres Unternehmens niemand findet, erfüllt in der Praxis keins von beidem: Sicherheitsforscher wenden sich dann an die Presse statt an Sie.
Erster Schritt. Wählen Sie eine Antwortfrist, die Sie auch in einer schlechten Woche einhalten — eine Eingangsbestätigung innerhalb von fünf Arbeitstagen ist ein Versprechen, das Sie halten können, 24 Stunden meist nicht —, und sorgen Sie dafür, dass die veröffentlichte Adresse mehr als eine Person erreicht.
Das ist der günstigste Punkt der Liste und der, der am häufigsten entscheidet, ob sich ein Sicherheitsforscher an Sie wendet oder an jemand anderen.
4. Haben Sie eine Software-Stückliste (SBOM)?
Anhang I Teil II Nr. 1
Hersteller müssen Schwachstellen und Komponenten ihrer Produkte ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen.
Über die rechtliche Anforderung hinaus ist sie die praktische Voraussetzung für Prüfung 1. Wenn sich die nächste weit verbreitete Bibliothek als ausgenutzt herausstellt, sagt Ihnen eine SBOM in Minuten statt in Tagen, ob Ihr Produkt betroffen ist.
Erster Schritt. Erzeugen Sie aus dem Build, den Sie ohnehin ausführen, eine SBOM für Ihre obersten Abhängigkeiten — CycloneDX und SPDX sind beide gängige maschinenlesbare Formate — und veröffentlichen oder bewahren Sie sie zusammen mit dem Release auf, das sie beschreibt.
5. Gibt es eine benannte Person, die für die Meldung verantwortlich ist?
Keine eigene Vorschrift — eine praktische Voraussetzung für Art. 14
Kein Artikel schreibt eine namentlich benannte Person vor. Der Punkt steht auf der Liste, weil jeder andere ohne sie scheitert.
Benennen Sie jemanden, der für die Meldung verantwortlich ist, benennen Sie eine Vertretung für den Fall, dass die erste Person im Flugzeug sitzt, und sorgen Sie dafür, dass beide die Meldeplattform um 2 Uhr nachts erreichen.
Erster Schritt. Testen Sie es, statt es zu dokumentieren: Fragen Sie die Person, an die Sie denken, ohne Vorwarnung, was sie täte, wenn heute Nacht eine ausgenutzte Schwachstelle auftauchte. Beginnt die Antwort damit, herauszufinden, wen man fragen muss, ist die Lücke noch offen.
Eine Pflicht, die allen gehört, gehört an einem Sonntag niemandem — und an einem Sonntag wird sie kommen.
6. Haben Sie einen angegebenen Unterstützungszeitraum, und können Sie ihn einhalten?
Art. 13 Abs. 8, 9 und 19 sowie Anhang I Teil II Nr. 2
Sicherheitsaktualisierungen müssen für den Unterstützungszeitraum bereitgestellt werden, und jede Sicherheitsaktualisierung, die Sie bereitstellen, muss nach ihrer Bereitstellung mindestens zehn Jahre verfügbar bleiben oder für die verbleibende Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.
Eine Ad-hoc-Praxis erfüllt nichts davon und lässt sich gegenüber einer Marktüberwachungsbehörde nicht belegen.
Erster Schritt. Geben Sie den Unterstützungszeitraum an, den Sie tatsächlich einhalten werden, veröffentlichen Sie ihn mit dem Produkt, und prüfen Sie, ob Ihr Release-Prozess für die älteste Version innerhalb dieses Zeitraums noch eine Korrektur bauen und ausliefern kann.
Dieser letzte Teil ist der, der Teams überrascht. Ein Unterstützungszeitraum von fünf Jahren bedeutet, dass sich ein fünf Jahre alter Build noch bauen lassen muss.
In welcher Reihenfolge
Wenn alle sechs offen sind, ist die Reihenfolge nicht die von oben.
- Zuerst Prüfungen 1, 2 und 5. Sie gehören zu der Pflicht, die seit September 2026 gilt, und sie sind vor allem Entscheidungen, keine Entwicklungsarbeit — wer beobachtet, wer meldet, was im Text steht. Eine Woche Aufmerksamkeit schließt sie.
- Dann Prüfung 3. Ein Nachmittag, und sie ändert, wer sich an Sie wendet, wenn etwas schiefgeht.
- Prüfungen 4 und 6 sind Entwicklungsarbeit mit längerem Vorlauf. Sie sind zum 11. Dezember 2027 fällig, zusammen mit den grundlegenden Anforderungen, der Konformitätsbewertung und der CE-Kennzeichnung.
Die beiden Fristen sind das, was die meisten am CRA falsch verstehen. Fünfzehn Monate liegen zwischen ihnen, und die frühere gilt für Produkte, die erst mehr als ein Jahr danach eine CE-Kennzeichnung brauchen.
Was diese Checkliste nicht abdeckt
Das ist die Vorbereitungsliste für die Meldepflicht und die Anforderungen an die Behandlung von Schwachstellen. Sie ist nicht die ganze Verordnung.
Sie deckt nicht die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I ab — sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Datenminimierung, möglichst geringe Angriffsflächen und den Rest. Sie deckt nicht die Konformitätsbewertung ab, die von Ihrer Produktklasse abhängt und bei wichtigen Produkten der Klasse II und bei kritischen Produkten eine notifizierte Stelle erfordert, vor der sich eine Warteschlange bildet. Und sie deckt nicht die technische Dokumentation und die CE-Kennzeichnung ab.
Das ist die Arbeit bis Dezember 2027. Diese Liste beschreibt, was schon fünfzehn Monate früher erfüllt sein muss.
Prüfen Sie, wo Sie stehen
Der kostenlose CRA-Readiness-Check geht genau diese sechs Prüfungen durch und wendet sie auf Ihre Antworten an, zusammen mit den Fragen zu Anwendungsbereich und Einstufung. Er dauert etwa fünf Minuten, braucht kein Konto, und das Ergebnis steht auf dem Bildschirm — ohne dass Sie dafür eine E-Mail-Adresse angeben müssen.
Wenn Sie lieber nicht zuerst Fragen beantworten möchten, beginnen Sie mit der Frage, ob der CRA überhaupt für Sie gilt.