Erste Pflichten seit September 2026

EU CRA nach Branche

Der Cyber Resilience Act in Ihrer Branche.

Der Cyber Resilience Act gilt ab Dezember 2027 vollständig für jedes Produkt mit digitalen Elementen, das in der EU verkauft wird. Was das bedeutet, unterscheidet sich je Branche: Produktklassen, Konformitätswege und die Regulierung daneben. Neun Branchenseiten, jede mit eigenen Produktbeispielen und Pflichten.

Autor: Maximilian HeckGeprüft von: Dr. Martin McCafferyStand:

Finden Sie Ihr ProduktWählen Sie Ihre Branche

Produkt-Finder

Finden Sie Ihr Produkt

Geben Sie ein, was Sie herstellen. Der Finder zeigt die Klasse nach dem EU CRA für typische Produkte aus neun Branchen und führt zur Branchenseite mit Pflichten, Prüfweg und Beispielen.

Häufig gesucht:76 Treffer

Wer ist vom Cyber Resilience Act betroffen?

Vom Cyber Resilience Act betroffen sind alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Hersteller tragen die Hauptpflichten nach Art. 13 und 14 EU CRA, Importeure und Händler haben Prüfpflichten nach Art. 19 und 20. Erfasst sind Hardware mit eingebetteter Software wie Maschinen, IoT-Geräte und Netzwerktechnik ebenso wie reine Software, unabhängig von Unternehmensgröße und Firmensitz.

„Diese Verordnung gilt für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren bestimmungsgemäße Verwendung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“

Verordnung (EU) 2024/2847, Art. 2 Abs. 1

Neun Branchen

Wählen Sie Ihre Branche

Jede Seite ordnet die Produkte der Branche nach Konformitätsklasse, nennt die Pflichten mit dem meisten Gewicht, die Regulierung neben dem EU CRA und die Stellen, an denen Hersteller dort typischerweise hängen bleiben.

Industriemaschinen

Industriemaschinen & Automatisierung

Wer SPS, Bedienpanel und Fernwartung zu einer eigenen Maschine verbindet, ist nach dem Cyber Resilience Act Hersteller dieser Maschine und trägt die Pflichten über den Supportzeitraum der Baureihe.

Wichtiges Produkt, Klasse II · 2Wichtiges Produkt, Klasse I · 4Standardprodukt · 3
Zur Branchenseite
IoT & Konsumgüter

IoT & vernetzte Konsumgüter

Ob Kinderuhr oder Fitness-Armband mit Gesundheitsfunktion: Steht die Klasse nach dem Cyber Resilience Act schon vor dem Design-Freeze fest, bekommt eine externe Prüfung rechtzeitig ihren Termin.

Wichtiges Produkt, Klasse I · 3Standardprodukt · 4
Zur Branchenseite
Energie & Gebäudetechnik

Energie- & Gebäudetechnik

Wechselrichter, Wallbox und Heizungsregler sind nach dem EU Cyber Resilience Act meist Standardprodukte, das Smart-Meter-Gateway gilt als kritisch. Mit Kunnus haben Hersteller Einstufung, Schwachstellen und Meldepflichten jedes Produkts im Griff, bis zum Gerät, das seit Jahren im Technikraum hängt.

Kritisches Produkt · 1Wichtiges Produkt, Klasse II · 1Wichtiges Produkt, Klasse I · 3Standardprodukt · 5
Zur Branchenseite
Industriekomponenten

Industriekomponenten & Tier-1-Zulieferer

Für Hersteller von Antrieben, Sensoren, I/O-Modulen, Steuerungen und Chips, die an Maschinenbauer und Gerätehersteller liefern: welche Klasse eine Komponente hat, was ihr Hersteller selbst schuldet und was beim OEM-Kunden ankommen muss.

Kritisches Produkt · 1Wichtiges Produkt, Klasse II · 2Wichtiges Produkt, Klasse I · 2Standardprodukt · 3
Zur Branchenseite
Smart Farming

Landwirtschaft & Smart Farming

Wer Traktoren, Anbaugeräte oder Feldsensoren mit Software und Datenverbindung unter eigenem Namen verkauft, ist nach dem Cyber Resilience Act deren Hersteller. Kunnus hält Einstufung, Komponenten, Schwachstellen und Meldungen für das Portfolio nachweisbar fest.

Wichtiges Produkt, Klasse I · 1Standardprodukt · 5
Zur Branchenseite
Telekommunikation

Telekommunikation & Netzwerktechnik

Für Hersteller von Routern, Modems, Switches, Access Points und Firewalls: eine Orientierung, in welcher Klasse nach Anhang III des Cyber Resilience Act Ihre Geräte voraussichtlich liegen und welches Konformitätsverfahren dann in Frage kommt.

Wichtiges Produkt, Klasse II · 1Wichtiges Produkt, Klasse I · 6Standardprodukt · 1
Zur Branchenseite
Software & SaaS

Software & SaaS-Produkte

Desktop-Client, App, SDK, Backend, eigene Open-Source-Projekte: Softwarehersteller klären zuerst, was davon der Cyber Resilience Act als Produkt erfasst. Danach entscheidet der Release-Prozess, wie viel Dokumentation ein Update nach sich zieht.

Wichtiges Produkt, Klasse II · 1Wichtiges Produkt, Klasse I · 5Standardprodukt · 4
Zur Branchenseite
Embedded Systems

Embedded Systems & Firmware

Ob Firmware, Bootmanager, Mikrocontroller oder fertiges Gerät: Für Embedded-Hersteller entscheiden Produktklasse und Unterstützungszeitraum, wie viel Arbeit jede Variante unter dem Cyber Resilience Act macht.

Kritisches Produkt · 2Wichtiges Produkt, Klasse II · 2Wichtiges Produkt, Klasse I · 4Standardprodukt · 2
Zur Branchenseite
Smart Home & Consumer

Smart Home & Unterhaltungselektronik

Sprachassistenten und Sicherheitskameras zählen nach dem EU Cyber Resilience Act zur Klasse I, Smart-TVs und Thermostate in der Regel nicht.

Wichtiges Produkt, Klasse I · 6Standardprodukt · 2
Zur Branchenseite

Ihre Branche ist nicht dabei?

Der Cyber Resilience Act gilt nicht nach Branchen, sondern für jedes Produkt mit digitalen Elementen, ob es im Labor, im Handel, in der Logistik oder in der Lieferkette eines Krankenhauses landet. Die Reifegradanalyse gibt eine erste Einordnung für Ihr Produkt.

Analyse starten

Branchen außerhalb des Cyber Resilience Act

Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746), Kraftfahrzeuge (Verordnung (EU) 2019/2144), die zivile Luftfahrt (Verordnung (EU) 2018/1139) und Schiffsausrüstung (Richtlinie 2014/90/EU) folgen eigenen Cybersicherheitsregeln und sind nach Art. 2 EU CRA ausgenommen. Ebenfalls ausgenommen sind Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt werden.

Wo Hersteller stehen

Zwei Ausgangslagen, ein Ziel

Die meisten Hersteller finden sich in einer der beiden Spalten wieder. Beide führen zum selben Ziel: Nachweise je Produkt, die halten, wenn die Marktaufsicht fragt.

01

Noch kein Programm

  • Niemand im Unternehmen ist für den EU CRA verantwortlich
  • Kein strukturierter Prozess für SBOMs
  • Kein laufendes Schwachstellen-Monitoring für ausgelieferte Produkte
  • Produkte mit digitalen Elementen im EU-Markt ohne Plan
02

Prozesse am Limit

  • SBOMs und Nachweise in Tabellen
  • Schwachstellen per Hand recherchiert statt automatisch abgeglichen
  • Nachweise über mehrere Systeme und Teams verteilt
  • Kein gemeinsamer Stand über das Portfolio
Wie Kunnus beides abdeckt

Weiterlesen

CRA erklärt — Vollständiger LeitfadenCRA-Countdown: Ihre 2026–2027-Compliance-RoadmapPraktische Schritte zur CRA-Compliance für OEMsWarum manuelle CRA-Compliance scheitert

Häufige Fragen

Wer ist vom Cyber Resilience Act betroffen?+

Vom Cyber Resilience Act betroffen sind alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen: Hersteller tragen die Hauptpflichten, Importeure und Händler haben Prüfpflichten. Erfasst sind Hardware mit eingebetteter Software wie IoT-Geräte, Maschinen und Embedded Systems ebenso wie reine Software, unabhängig von Unternehmensgröße und Firmensitz.

Sind wir vom EU CRA betroffen?+

Enthält ein Produkt Software oder Firmware, kann es eine Datenverbindung aufbauen und wird es in der EU verkauft, greift der Cyber Resilience Act sehr wahrscheinlich. Die Ausnahmen in Art. 2 EU CRA betreffen sektoral regulierte Produkte wie Medizinprodukte, Kraftfahrzeuge und die zivile Luftfahrt. Die kostenlose Reifegradanalyse gibt in rund 15 Minuten eine Orientierung für ein konkretes Produkt.

Welche Produkte fallen unter den Cyber Resilience Act?+

Alle Produkte mit digitalen Elementen: vernetzte Hardware wie IoT-Geräte, Maschinensteuerungen und Netzwerktechnik ebenso wie reine Software, also Desktop-Anwendungen, Apps, Firmware und Betriebssysteme. Auch einzeln in Verkehr gebrachte Komponenten wie Softwarebibliotheken sind erfasst.

Welche Branchen sind vom Cyber Resilience Act ausgenommen?+

Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, die zivile Luftfahrt und Schiffsausrüstung sind nach Art. 2 EU CRA ausgenommen, weil ihre eigenen EU-Regeln die Cybersicherheit bereits abdecken. Ausgenommen sind auch Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt werden. Freie und quelloffene Software außerhalb einer Geschäftstätigkeit ist ebenfalls nicht erfasst.

Gilt der Cyber Resilience Act auch für SaaS und reine Software?+

Reine Software fällt unter den Cyber Resilience Act, sobald sie auf dem EU-Markt bereitgestellt wird. SaaS als solches liegt außerhalb des Anwendungsbereichs. Eine Datenfernverarbeitung ist nur erfasst, wenn das Produkt sie für eine seiner Funktionen braucht und der Hersteller sie für dieses Produkt konzipiert hat.

Wie weit ist Ihr Produkt?

Die Reifegradanalyse dauert rund 15 Minuten und liefert einen priorisierten Plan für Ihr Produkt und Ihre Branche.

Analyse startenDemo vereinbaren

Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj