Der typische Mandant
Ein KMU aus Deutschland, Österreich oder der Schweiz mit 10 bis 250 Mitarbeitenden, das eigene Software oder vernetzte Geräte auf dem EU-Markt anbietet: Maschinen- und Anlagenbau, Steuerungen, Sensorik, Gebäudetechnik oder Branchensoftware mit Installation beim Kunden. Eine eigene Sicherheitsabteilung gibt es nicht. Die Frage nach dem CRA kommt vom Vertrieb oder von einem Grosskunden.
Was der CRA verlangt
Seit dem 11. September 2026 gilt die Meldepflicht: eine Frühwarnung innert 24 Stunden, eine Meldung innert 72 Stunden und ein Abschlussbericht, auch für Produkte, die bereits auf dem Markt sind. Ab dem 11. Dezember 2027 kommen die Produktpflichten dazu: Sicherheit durch Design und Voreinstellungen, keine bekannten ausnutzbaren Schwachstellen bei der Auslieferung, Sicherheitsupdates über einen angegebenen Supportzeitraum, eine Softwarestückliste (SBOM), eine Richtlinie zur Offenlegung von Schwachstellen, die Konformitätsbewertung und die CE-Kennzeichnung.
Was Sie nach zwei Wochen haben
Die Einstufung Ihres Produkts und den Bewertungsweg: Selbstbewertung oder Bewertung durch eine benannte Stelle. Eine SBOM Ihres aktuellen Releases in CycloneDX und SPDX, abgeglichen mit bekannten Schwachstellen. Eine Lückenanalyse nach Anhang I mit Befund und Beleg zu jeder Anforderung. Einen erprobten Meldeablauf für die 24- und die 72-Stunden-Frist, eine veröffentlichungsbereite Offenlegungsrichtlinie mit security.txt und einen Massnahmenplan bis Dezember 2027 mit Festpreisen.
Geprüft mit Werkzeugen, die wir selbst betreiben
Für die Prüfung nutzen wir dieselbe Software-Lieferkette, auf der auch unsere eigene Plattform läuft. Jedes Paket und jedes Image wird mit Trivy und Grype gescannt, SBOMs entstehen in CycloneDX und SPDX, neue Paketversionen werden erst nach einer Wartefrist freigegeben. Renovate hält Abhängigkeiten aktuell, Kubescape prüft den Betrieb anhand von Sicherheits-Baselines, und unsere security.txt ist veröffentlicht. Die Befunde führen wir in ClearSky, mit Schweregrad, Verantwortlichen und Status.
Zwei Wochen, zwei Termine
Tag 1: Kick-off
90 Minuten zu Produkt, Märkten und Lieferkette. Ergebnis: die Einstufung Ihres Produkts.
Tage 2 bis 8: Analyse und Meldeablauf
SBOM aus Ihrem Release, Abgleich mit bekannten Schwachstellen, Lückenanalyse nach Anhang I, Entwurf und Probedurchlauf des Meldeablaufs.
Tage 9 und 10: Übergabe
90 Minuten zu allen Ergebnissen und zum Massnahmenplan bis Dezember 2027.
Häufige Fragen
Gilt der CRA auch für uns als Schweizer Unternehmen?
Ja, wenn Sie ein Produkt mit digitalen Elementen in der EU anbieten. Massgebend ist der Markt, nicht der Firmensitz. Für Unternehmen in Deutschland und Österreich gilt er ohnehin.
Wir sind ein kleines Unternehmen. Gibt es Erleichterungen?
Klein- und Kleinstunternehmen werden für eine verpasste 24-Stunden-Frist nicht gebüsst. Die übrigen Pflichten gelten unverändert.
Fallen auch reine Cloud-Dienste darunter?
Reine SaaS-Angebote ohne ausgeliefertes Produkt in der Regel nicht. Gehört eine Cloud-Funktion zu Ihrem Produkt, etwa die Steuerung eines Geräts, ist sie mit erfasst. Das klären wir am ersten Tag.
Ersetzt der Check die Konformitätsbewertung?
Nein. Wir sind keine benannte Stelle und leisten keine Rechtsberatung. Wir bereiten Sie so vor, dass die Bewertung ohne Überraschungen verläuft.