Prüflabor und Beratung · Granges-Paccot

Gespräch buchen

Verordnung (EU) 2024/2847

Cyber Resilience Act (CRA)

Der Cyber Resilience Act stellt Cybersicherheitsanforderungen an fast alle Hardware- und Softwareprodukte mit digitalen Elementen, die in der EU verkauft werden. Die Meldepflicht für Schwachstellen gilt seit dem 11. September 2026, die gesamte Verordnung ab dem 11. Dezember 2027. Säfeli bewertet Ihr Produkt, baut mit Ihnen die verlangten Prozesse auf und erstellt die technische Dokumentation.

30-Minuten-Gespräch buchenUnsere Leistungen
Meldepflicht für Schwachstellen
11.09.2026
Volle Anwendung
11.12.2027
Meldefristen
24 h · 72 h
Höchstbusse oder 2,5 % des Umsatzes
15 Mio. €

Für wen

Wer betroffen ist

  • Hersteller von Hardwareprodukten

    Vernetzte Geräte, Maschinen, elektronische Geräte, Komponenten mit Software.

  • Softwarehersteller

    Als Produkte in Verkehr gebrachte Software, mit einem Gerät gelieferte Apps.

  • Einführer und Händler

    CE-Kennzeichnung, Dokumentation und Herstellerpflichten prüfen.

  • Integratoren von Komponenten

    Sorgfaltspflicht bei Komponenten von Dritten und integrierter Open-Source-Software.

Unsere Leistungen

Ihre CRA-Konformität, Schritt für Schritt

Vom Geltungsbereich bis zur technischen Dokumentation, mit den Prozessen, die während des gesamten Unterstützungszeitraums funktionieren müssen.

Ingenieurin untersucht die Leiterplatte eines vernetzten Geräts
Geltungsbereich und Klasse

Sind Sie betroffen? Geltungsbereich und Produktklasse

Direkte oder indirekte Datenverbindung, Fernverarbeitung, sektorale Ausnahmen, Standardprodukt, wichtiges Produkt der Klasse I oder II oder kritisches Produkt: Wir klären, ob der CRA für Ihr Produkt gilt und welches Konformitätsbewertungsverfahren anzuwenden ist.

Was Sie erhalten

  • Analyse des Geltungsbereichs
  • Produktklasse und Bewertungsverfahren
  • Zeitplan bis zur Konformität

Referenzen

  • CRA, Art. 2, 3, 7 und 8
  • CRA, Anhänge III und IV
Elektronischer Chip, geschützt durch mehrere Schichten leuchtender Schilde
Grundlegende Anforderungen

Risikoanalyse und Anforderungen an die Konstruktion

Auf Grundlage einer Bewertung der Cybersicherheitsrisiken prüfen wir jede Anforderung von Anhang I: sichere Standardkonfiguration, Zugriffskontrolle, Verschlüsselung, Integrität, Datenminimierung, Resilienz, Angriffsfläche, Protokollierung, sicheres Löschen von Daten.

Was Sie erhalten

  • Dokumentierte Bewertung der Cybersicherheitsrisiken
  • Tabelle der Anforderungen und Begründungen
  • Lücken und konstruktive Massnahmen

Referenzen

  • CRA, Art. 13 Abs. 2 bis 4
  • CRA, Anhang I, Teil I
Die Bedrohungsanalyse (TARA)
Ingenieur prüft ein Verzeichnis von Softwarekomponenten und eine Schwachstellenliste
Schwachstellen

Umgang mit Schwachstellen und SBOM

Software-Stückliste (SBOM), regelmässige Sicherheitstests, Strategie zur koordinierten Offenlegung, sichere Verteilung der Updates, Meldung an die ENISA: Wir bauen mit Ihnen die Prozesse auf, die während des gesamten Unterstützungszeitraums funktionieren müssen.

Was Sie erhalten

  • SBOM und Komponenteninventar
  • Strategie zur koordinierten Offenlegung
  • Meldeprozess 24 h, 72 h und Abschlussbericht

Referenzen

  • CRA, Anhang I, Teil II
  • CRA, Art. 14
Berater vergleicht eine technische Dokumentation mit einer Anforderungsliste
Dokumentation

Technische Dokumentation und EU-Konformitätserklärung

Beschreibung, Architektur, Risikoanalyse, Prozesse für den Umgang mit Schwachstellen, Begründung des Unterstützungszeitraums, angewandte Normen, Prüfberichte: Wir erstellen die Dokumentation nach Anhang VII und bereiten die EU-Konformitätserklärung vor.

Was Sie erhalten

  • Technische Dokumentation nach Anhang VII
  • Informationen und Anleitungen für Nutzer
  • EU-Konformitätserklärung

Referenzen

  • CRA, Anhang VII
  • CRA, Art. 28

Ausserdem

Fristen und Pflichten

Der CRA in Fristen und Pflichten

Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Ihre Pflichten gelten schrittweise, und einige betreffen auch bereits verkaufte Produkte.

  1. 10.12.2024Inkrafttreten
  2. 11.06.2026Regeln für die benannten Stellen
  3. 11.09.2026Meldung von Schwachstellen und Sicherheitsvorfällen
  4. 11.12.2027Volle Anwendung

  • Aktiv ausgenutzte Schwachstelle

    Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrekturmassnahme.

    CRA, Art. 14

  • Schwerwiegender Sicherheitsvorfall

    Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht einen Monat nach der Meldung, über die Plattform der ENISA.

    CRA, Art. 14 und 16

  • Unterstützungszeitraum

    Festgelegt nach der erwarteten Nutzungsdauer des Produkts, mindestens fünf Jahre, ausser bei kürzerer Nutzungsdauer, mit kostenlosen Sicherheitsupdates.

    CRA, Art. 13 Abs. 8; Anhang I, Teil II

  • Aufbewahrung

    Technische Dokumentation und EU-Konformitätserklärung mindestens zehn Jahre aufbewahren, oder während des Unterstützungszeitraums, falls dieser länger ist.

    CRA, Art. 13 Abs. 13

  • Produkte bereits auf dem Markt

    Fallen nur bei einer wesentlichen Änderung nach dem 11. Dezember 2027 unter den CRA, die Meldepflicht gilt jedoch für alle.

    CRA, Art. 69

  • Sanktionen

    Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes bei Verstössen gegen die grundlegenden Anforderungen und die Hauptpflichten.

    CRA, Art. 64

Quellen: Verordnung (EU) 2024/2847, Art. 13, 14, 16, 64, 69 und 71.

Anhang I

Die grundlegenden Anforderungen an die Konstruktion

Dreizehn Sicherheitseigenschaften, umzusetzen auf Grundlage der Risikoanalyse. Jede nicht angewandte Anforderung muss begründet werden.

  • Sicher ab Werk und aktuell

    Keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen, sichere Standardkonfiguration, Sicherheitsupdates, standardmässig automatisch.

    Anhang I, Teil I, Nr. 2 Buchst. a bis c

  • Zugriffskontrolle

    Geeignete Authentifizierung sowie Identitäts- und Zugangsverwaltung, Meldung möglicher unbefugter Zugriffe.

    Anhang I, Teil I, Nr. 2 Buchst. d

  • Vertraulichkeit und Integrität

    Verschlüsselung gespeicherter und übertragener Daten, Integrität von Daten, Befehlen, Programmen und Konfiguration.

    Anhang I, Teil I, Nr. 2 Buchst. e und f

  • Datenminimierung, sicheres Löschen

    Nur die für den bestimmungsgemässen Gebrauch nötigen Daten verarbeiten, Daten und Einstellungen dauerhaft löschen können.

    Anhang I, Teil I, Nr. 2 Buchst. g und m

  • Verfügbarkeit und Resilienz

    Wesentliche Funktionen erhalten, auch bei Denial-of-Service-Angriffen, ohne andere Geräte oder Netze zu beeinträchtigen.

    Anhang I, Teil I, Nr. 2 Buchst. h und i

  • Angriffsfläche und Überwachung

    Exponierte Schnittstellen begrenzen, Auswirkungen eines Vorfalls verringern, relevante interne Aktivitäten protokollieren und überwachen.

    Anhang I, Teil I, Nr. 2 Buchst. j bis l

Normen

Die Normen zum CRA

Die harmonisierten Normen zum CRA werden derzeit erarbeitet. Bis dahin bieten die EN 18031 und die Reihe IEC 62443 eine solide Grundlage.

ArtNormGegenstand
CRAFprEN 40000-1-2*Grundsätze, Produkt-Risikomanagement und Tätigkeiten im Lebenszyklus (in Genehmigung)
CRAprEN 40000-1-3*Umgang mit Schwachstellen (in Genehmigung)
CRAprEN 40000-1-4*Generische Sicherheitsanforderungen (Veröffentlichung für 2027 geplant)
CRAVertikale Normen von ETSI und CENELEC*Wichtige und kritische Produkte (Veröffentlichung Ende 2026 bis Mitte 2027 geplant)
REDEN 18031-1, -2 und -3:2024Cybersicherheit von Funkanlagen, harmonisiert für die Funkanlagenrichtlinie
IndustrieIEC 62443-4-1:2018Sicherer Entwicklungsprozess für Produkte
IndustrieIEC 62443-4-2:2019Technische Sicherheitsanforderungen an Komponenten
IoTETSI EN 303 645 V3.1.3Cybersicherheit für Verbraucher-IoT

* Laufende Projekte bei CEN und CENELEC am 1. Oktober 2026; der Zeitplan kann sich ändern. Erst die Veröffentlichung der Fundstelle im Amtsblatt der EU begründet die Konformitätsvermutung für den CRA (Art. 27).

Produktklassen

Wer bewertet die Konformität?

Das Verfahren hängt von der Produktklasse ab. Säfeli ist keine benannte Stelle: Wir bereiten Ihr Produkt und Ihre Dokumentation vor, unabhängig vom Verfahren.

  • Standardprodukt

    Die grosse Mehrheit der Produkte. Der Hersteller bewertet die Konformität selbst (interne Kontrolle).

    CRA, Art. 32 Abs. 1

  • Wichtig, Klasse I

    Z. B. Router, Betriebssysteme, Passwort-Manager, Sicherheitskameras, vernetzte Türschlösser, vernetztes Spielzeug. Interne Kontrolle nur bei vollständiger Anwendung harmonisierter Normen.

    CRA, Art. 32 Abs. 2; Anhang III

  • Wichtig, Klasse II

    Z. B. Hypervisoren, Firewalls, Angriffserkennungssysteme, manipulationssichere Mikrocontroller. Bewertung durch eine Drittstelle vorgeschrieben.

    CRA, Art. 32 Abs. 3; Anhang III

  • Kritisch

    Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten. Europäische Zertifizierung oder die Verfahren der Klasse II.

    CRA, Art. 8 und Art. 32 Abs. 4; Anhang IV

Unser Vorgehen

Ihre CRA-Konformität in vier Schritten

  1. Erstgespräch

    Ihr Produkt, seine Verbindungen, Ihre Märkte und Ihr Zeitplan. 30 Minuten.

  2. Gap-Analyse

    Geltungsbereich, Klasse, grundlegende Anforderungen, bestehende Prozesse.

  3. Umsetzung

    Risikoanalyse, konstruktive Massnahmen, SBOM, Schwachstellenprozess, Tests.

  4. Dokumentation

    Technische Dokumentation, Anleitungen und EU-Konformitätserklärung.

Schweizer Markt

Der CRA und die Schweiz

Der CRA gilt für jedes in der EU verkaufte Produkt, auch von einem Schweizer Hersteller. In der Schweiz hat der Bundesrat am 25. September 2026 beschlossen, ein vom CRA inspiriertes Bundesgesetz zur Cybersicherheit zu schaffen; ein Entwurf soll bis Juni 2027 in die Vernehmlassung gehen. Wer sich auf den CRA vorbereitet, bereitet sich also auch auf das künftige Schweizer Recht vor.

Quelle: BACS, Medienmitteilung vom 25.09.2026.

Häufige Fragen

Häufige Fragen zum Cyber Resilience Act

Ihr Produkt wirft eine besondere Frage auf? Stellen Sie sie direkt einem Ingenieur.

Gespräch buchen
Was ist ein Produkt mit digitalen Elementen?

Ein Hardware- oder Softwareprodukt, einschliesslich seiner Datenfernverarbeitungslösungen und separat verkaufter Komponenten, dessen bestimmungsgemässe oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschliesst. Erfasst ist die Fernverarbeitung, ohne die eine Funktion des Produkts nicht ausgeführt werden könnte.

Quellen: Verordnung (EU) 2024/2847, Art. 2 Abs. 1 und Art. 3

Mein Produkt wird bereits verkauft: Was muss ich tun?

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nur bei einer späteren wesentlichen Änderung unter den CRA. Die Pflicht, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden, gilt hingegen seit dem 11. September 2026 für alle Produkte. Neue Versionen und neue Produkte müssen ab dem 11. Dezember 2027 konform sein.

Quellen: Verordnung (EU) 2024/2847, Art. 14, 69 und 71

Was ist eine SBOM?

Eine Software-Stückliste (software bill of materials): die maschinenlesbare Liste der Softwarekomponenten des Produkts, mindestens seiner direkten Abhängigkeiten. Damit wissen Sie schnell, ob eine veröffentlichte Schwachstelle Sie betrifft. Sie gehört zur technischen Dokumentation und ist der Behörde auf begründetes Verlangen vorzulegen; veröffentlichen müssen Sie sie nicht.

Quellen: Verordnung (EU) 2024/2847, Anhang I, Teil II, Nr. 1; Anhang VII, Nr. 8

Braucht es eine Risikoanalyse?

Ja. Der Hersteller bewertet die Cybersicherheitsrisiken seines Produkts, dokumentiert diese Bewertung und aktualisiert sie während des Unterstützungszeitraums. Sie berücksichtigt die bestimmungsgemässe und vernünftigerweise vorhersehbare Verwendung, die Einsatzbedingungen und die Nutzungsdauer und begründet, welche Anforderungen von Anhang I gelten und wie sie umgesetzt werden.

Quellen: Verordnung (EU) 2024/2847, Art. 13 Abs. 2 bis 4

Gibt es bereits harmonisierte Normen zum CRA?

Sie sind in Vorbereitung: Die Kommission hat am 3. Februar 2025 einen Normungsauftrag für 41 horizontale und vertikale Normen erteilt. Nach dem vorläufigen Zeitplan der europäischen Normungsorganisationen werden die ersten 2026 erwartet, die generischen Anforderungen 2027. Die Konformitätsvermutung gilt erst, wenn die Fundstelle im Amtsblatt der EU veröffentlicht ist.

Quellen: Durchführungsbeschluss C(2025) 618 (M/606); Verordnung (EU) 2024/2847, Art. 27

Betrifft der CRA auch Einführer und Händler?

Ja. Einführer und Händler prüfen insbesondere, ob das Produkt die CE-Kennzeichnung trägt, ob die Dokumentation verfügbar ist und ob der Hersteller seine Pflichten erfüllt hat. Wer ein Produkt unter eigenem Namen in Verkehr bringt oder es wesentlich ändert, wird zum Hersteller.

Quellen: Verordnung (EU) 2024/2847, Kapitel II

Gilt der CRA in der Schweiz?

Nicht als solcher, aber er gilt für jedes in der EU verkaufte Produkt, auch von einem Schweizer Hersteller. In der Schweiz hat der Bundesrat am 25. September 2026 beschlossen, ein vom CRA inspiriertes Bundesgesetz zur Cybersicherheit zu schaffen; ein Entwurf soll bis Juni 2027 in die Vernehmlassung gehen.

Quellen: BACS, Medienmitteilung vom 25.09.2026

Gespräch buchen

Erzählen Sie uns von Ihrem Produkt

Wählen Sie direkt einen 30-minütigen Termin mit einem Ingenieur. Kein Hin und Her per E-Mail: Sie wählen die Zeit, wir bereiten das Gespräch vor.

Termin wählen

Kontaktdaten

Adresse
Säfeli Sàrl
Route d'Englisberg 3
1763 Granges-Paccot
Sprachen
Französisch, Deutsch, Englisch
Gespräch buchen