Die Meldepflichten gelten ab dem 11. September 2026
Die meisten Organisationen planen auf Dezember 2027 hin. Das ist nicht das Datum, mit dem Sie anfangen sollten.
Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an die ENISA und das zuständige nationale CSIRT melden – Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht im Anschluss. Diese Pflicht gilt auch für Produkte, die bereits auf dem EU-Markt sind, nicht nur für künftig in Verkehr gebrachte.
Wenn Sie eine aktiv ausgenutzte Schwachstelle in einem im Feld befindlichen Produkt heute nicht zuverlässig erkennen, innerhalb eines Tages bewerten und binnen 24 Stunden melden können, haben Sie eine Lücke, die in diesem Herbst sichtbar wird.
Die grundlegenden Anforderungen, die technische Dokumentation, die Konformitätsbewertung und die CE-Kennzeichnung folgen zum 11. Dezember 2027.
„Wir bauen Fahrzeuge – der CRA betrifft uns nicht“
Manchmal stimmt das. Oft nicht, und genau an dieser Grenze entsteht die meiste Unsicherheit.
Fahrzeuge unter EU-Typgenehmigung sind ausgenommen, weil Cybersecurity dort bereits über UNECE R155 und R156 geregelt ist. Die Ausnahme gilt jedoch für das regulierte Produkt – nicht für Ihr Unternehmen und nicht für Ihr gesamtes Portfolio. Im Anwendungsbereich liegen beispielsweise:
- Diagnose- und Werkstattausrüstung
- Nachrüst- und Aftermarket-Geräte
- Telematikeinheiten und separat vertriebenes vernetztes Zubehör
- Ladeinfrastruktur
- Entwicklungswerkzeuge, Prüfstände und als Produkt vertriebene Software
- Softwarekomponenten und Bibliotheken, die eigenständig in Verkehr gebracht werden
Ein Zulieferer kann also mit seinem Steuergerätegeschäft vollständig außerhalb des CRA liegen – und mit einem Diagnosewerkzeug oder einem lizenzierten Software-Stack mitten drin.
Die erste Frage lautet nicht wie erreichen wir Konformität, sondern welche Teile unseres Portfolios fallen überhaupt in den Anwendungsbereich, und in welche Produktklasse.
Wo die Verordnung tatsächlich steht
Bevor Sie einen Plan darauf aufbauen, lohnt sich der Blick auf den Stand der Umsetzung:
- Der Normungsauftrag M/606 der Europäischen Kommission umfasst rund 40 harmonisierte Normen. Bis Mitte 2026 war keine davon im Amtsblatt der EU veröffentlicht.
- Für den CRA sind bislang keine notifizierten Stellen benannt. Die Mitgliedstaaten können Konformitätsbewertungsstellen seit dem 11. Juni 2026 notifizieren.
- Die zentrale Meldeplattform der ENISA soll zum 11. September 2026 betriebsbereit sein.
Die praktische Folge: Für wichtige Produkte der Klasse I hängen zwei der drei Konformitätswege an Normen oder Spezifikationen, die es noch nicht gibt. Das ist kein Grund zu warten. Meldebereitschaft, Produktklassifizierung, sichere Entwicklungsprozesse und die Erzeugung von SBOMs lassen sich heute aufbauen – und sie haben den längsten Vorlauf.
Was Sie erhalten
CRA-Anwendbarkeitsanalyse
Eine dokumentierte und belastbare Einordnung je Produktlinie: im Anwendungsbereich oder nicht, auf Basis welcher Definition, und in welcher Klasse – Standardkategorie, wichtiges Produkt (Klasse I oder II) oder kritisches Produkt. Das ist das Ergebnis, mit dem die interne Diskussion endet.
Gap-Assessment gegen Anhang I
Die grundlegenden Anforderungen an das Produkt und an den Umgang mit Schwachstellen, bewertet gegen Ihre tatsächliche Entwicklungs- und Supportpraxis – einschließlich SBOM-Reife gemäß Anhang I Teil II.
Meldebereitschaft für September 2026
Auslösekriterien, Entscheidungsgrundlagen für „aktiv ausgenutzt“ und „schwerwiegend“, Eskalationswege sowie ein 24/72-Stunden-Ablauf, dem eine reale Rufbereitschaft auch folgen kann. Integriert in bestehende NIS2- oder ISO/SAE 21434-Prozesse statt parallel dazu.
Umsetzungs-Roadmap bis Dezember 2027
Priorisiert, mit Aufwänden hinterlegt und entlang des kritischen Pfads sequenziert – Konformitätsweg, technische Dokumentation, Lieferantenpflichten, Marktbeobachtung.
Wo vorhandene Arbeit weiterträgt
Die meisten Automotive-Organisationen haben mehr CRA-Substanz, als sie vermuten. CSMS nach ISO/SAE 21434, TARA, Schwachstellenmanagement und Open-Source-Governance nach ISO 5230 lassen sich auf CRA-Pflichten abbilden. Ziel der Zusammenarbeit ist es, diese Arbeit zu nutzen – nicht ein zweites System aufzubauen.
Typische Zusammenarbeit
| Leistung | Typischer Aufwand |
| Anwendbarkeitsanalyse | ab 1–2 Tage, je nach Portfoliogröße |
| Gap-Assessment | 3 Tage je Produktlinie |
| Workshop Meldebereitschaft | 3 Tage, Entwicklung gemeinsam mit Support und Rechtsabteilung |
| Roadmap und Coaching | laufend, in der Regel 2 – 4 Tage pro Monat |
Remote oder vor Ort, auf Deutsch oder Englisch. Die meisten Organisationen beginnen mit der Anwendbarkeitsanalyse, weil alles Weitere darauf aufbaut.
Warum Safionyx
CRA-Readiness ist keine juristische Aufgabe. Sie ist eine Produktentwicklungsaufgabe mit einer gesetzlichen Frist – weshalb sie bei Kanzleien ebenso schlecht aufgehoben ist wie bei allgemeinen IT-Security-Beratungen.
Alexander Much hat 22 Jahre in sicherheits- und security-kritischer Automotive-Software gearbeitet, zuletzt als Director für Quality, Functional Safety, Cybersecurity und Open Source bei Elektrobit. Dort hat er die Cybersecurity-Compliance-Fähigkeit der Organisation im Zuge der Einführung von ISO/SAE 21434 und UNECE R155 aufgebaut. Er ist INTACS Principal Assessor für Automotive SPICE mit Security Extension, Certified Automotive Cybersecurity Manager und Engineer sowie Autor von über 50 Veröffentlichungen zu funktionaler Sicherheit, Cybersecurity und Prozessbewertung bei Springer, Wiley und Elsevier.
Der CRA berührt alle vier Bereiche gleichzeitig: sicherer Entwicklungsprozess, Cybersecurity-Engineering, Open Source und SBOM sowie belastbare Nachweise. Genau diese Kombination ist der Grund, hier anzurufen.
Ausgewählte Veröffentlichungen
- A Multilevel Approach to TARA: Proposals for Attack Feasibility in Interference-Free Scenarios – Wiley, Software: Evolution and Process, 2025
- The New Cybersecurity Challenges and Demands for Automotive Organisations and Projects – Springer, EuroSPI 2023
- Automotive SPICE for Cybersecurity: MAN.7 Cybersecurity Risk Management and TARA – Springer, EuroSPI 2022
Beginnen Sie mit der entscheidenden Frage
Fällt Ihr Produkt unter den CRA – und in welche Klasse?
Ein Gespräch von 45 Minuten genügt meist, um zu klären, ob Sie ein September-Thema haben, ein Thema für Dezember 2027, oder keines von beiden.
Gespräch vereinbaren: alexander.much@safionyx.com
Quellen für die genannten Fristen: Verordnung (EU) 2024/2847; Europäische Kommission, CRA-Zusammenfassung und Umsetzungshinweise.