Aktuelles zum Cyber Resilience Act
Der CRA ist in Kraft, aber vieles ist noch in Bewegung: Durchführungsgesetz, harmonisierte Normen, notifizierte Stellen, die Plattform der ENISA. Hier steht, was sich ändert und was es für Hersteller bedeutet.
Rechtsstand 8. Oktober 2026. Keine Rechtsberatung.
- EN 40000-1-1 und EN 40000-1-2 haben den Formal Vote bestanden, aber noch keine Norm steht im AmtsblattDie ersten beiden CRA-Normen sind laut Sekundärquellen angenommen. Konformitätsvermutung gibt es noch keine.
- Das deutsche CRA-Durchführungsgesetz steckt im InnenausschussBundesrat ohne Einwendungen, seit Juni im Innenausschuss, im Oktober nicht auf der Tagesordnung. Was fehlt.
- ENISA-FAQ vom 3. Oktober 2026: Der 72-Stunden-Zähler im Portal zeigt 48 StundenDas Portal rechnet die 72-Stunden-Frist ab der Frühwarnung. Ein Feld für den Kenntniszeitpunkt fehlt bei Schwachstellen noch.
- Schweizer Bundesrat beauftragt ein Cybersicherheitsgesetz nach Vorbild des CRAVernehmlassung bis Juni 2027. Für Schweizer Hersteller, die in die EU liefern, gilt der CRA schon jetzt.
- Bußgelder nach dem CRA greifen erst ab dem 11. Dezember 2027Meldepflicht seit September 2026, Bußgeldrahmen erst ab Dezember 2027. Die Fristen gelten trotzdem.
- ENISA veröffentlicht die Liste der koordinierenden CSIRTs: CERT-Bund für Deutschland, CERT.at für ÖsterreichDie Liste für alle 27 Mitgliedstaaten ist da. Was bei der Registrierung im Meldeportal zu wählen ist.
Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?
CRA Response Center liest Ihr Sicherheits-Postfach mit, erkennt wichtige Meldungen mit einer KI in Deutschland, ohne OpenAI und Co., und benachrichtigt Ihre Leute per SMS und E-Mail. 190 Euro im Monat je Domain inklusive Mehrwertsteuer, 30 Tage kostenlos testen.