Was ändert sich am 11. Dezember 2027 durch den Cyber Resilience Act?

Ab diesem Tag darf ein Produkt mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn es die Konformitätsanforderungen der Verordnung erfüllt und CE-gekennzeichnet ist. Für Produkte, die vorher in Verkehr gebracht wurden, gilt die Übergangsregel, sofern sie nicht wesentlich verändert werden. Die Meldepflicht nach Artikel 14 gilt bereits seit dem 11. September 2026.

Womit sollte ein kleines Softwareunternehmen bis Dezember 2027 anfangen?

Mit den vier Schritten, die an einem Nachmittag gehen: das zuständige CSIRT ermitteln, den Zugang zur Meldeplattform einrichten, die Rollen verteilen und den Meldefall einmal üben. Die Konformitätsseite beginnt mit der Liste der eigenen Produkte und ihrer Klassen, weil aus ihr der weitere Aufwand hervorgeht.

Reicht es, die Vorbereitung kurz vor dem Stichtag zu beginnen?

Für die Meldepflicht ist jeder Tag ab dem 11. September 2026 zu spät, denn sie gilt schon jetzt. Für die Konformität hängt der Aufwand vom Produkt ab: Eine Selbstbewertung mit gepflegter Dokumentation ist in Wochen machbar, eine Beteiligung notifizierter Stellen braucht Vorlauf, weil die Stellen Kapazität brauchen.

Ratgeber - Vorbereitung

Was gilt ab dem 11. Dezember 2027 und wie bereitet man sich vor?

CE-Kennzeichnung für Neuprodukte, Meldepflicht läuft längst

Der Dezember 2027 ist der Stichtag, der die Konformität einführt. Die Meldepflicht gilt seit September 2026. Die Vorbereitung ist deshalb zweigleisig: ein Notfallprozess, der jetzt stehen muss, und eine Konformitätsplanung, die bis 2027 wächst.

Die Kurzfassung

Ab Dezember 2027 gilt die CE-Kennzeichnung, die Meldung gilt längst

Der 11. Dezember 2027 ist der Stichtag der Vollanwendung: Ab diesem Tag darf ein Produkt mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn es die Konformitätsanforderungen erfüllt und CE-gekennzeichnet ist. Altprodukte bleiben über die Übergangsregel ausgenommen, solange sie nicht wesentlich verändert werden. Die Meldepflicht des Artikels 14 gilt seit dem 11. September 2026, unabhängig vom Stichtag und unabhängig vom Alter des Produkts.

GrundlageArt. 71 CRAArt. 69 Abs. 2 CRAArt. 69 Abs. 3 CRA

Der Plan

Der Vorbereitungsplan in drei Stufen nach Aufwand

Stufe	Aufwand	Was darin steht
1. Sofort	ein Nachmittag	CSIRT ermitteln, Zugang zur Meldeplattform, Rollen verteilen, Meldefall üben
2. Diese Quartale	Tage bis Wochen	Produktliste mit Klassen, SBOM je Produkt, Dokumentation beginnen, Verträge prüfen
3. Bis 2027	Wochen bis Monate	Konformitätsbewertung je Klasse, Konformitätserklärung, CE-Kennzeichnung

Die Stufen bauen aufeinander auf: Die Produktliste der zweiten Stufe entscheidet über den Aufwand der dritten, und der Notfallprozess der ersten Stufe schützt den Hersteller, solange die Konformität noch nicht steht. Die Checkliste zum Stichtag führt die ersten beiden Stufen mit elf Punkten auf.

Der 11. Dezember 2027 gilt für Neuprodukte. Der 11. September 2026 gilt für alle, längst.

KMU

Was Kleinstunternehmen und KMU entlastet

Die konkreten Erleichterungen der Verordnung

Die Verordnung nimmt Kleinstunternehmen an einer Stelle ausdrücklich heraus: Das Verpassen der reinen 24-Stunden-Frist wird für sie nicht mit Verwaltungsstrafen belegt. Von den Pflichten selbst befreit das nicht, und die 72-Stunden-Frist gilt voll. Die Konformitätsroute der übrigen Produkte ist die Selbstbewertung, die ohne notifizierte Stelle auskommt und deshalb auch für kleine Häuser machbar bleibt.

GrundlageArt. 64 CRA

Vertiefung

Weiterführende Seiten

Die Checkliste zum StichtagElf Punkte nach Aufwand sortiert, die ersten vier an einem Nachmittag.Der Betroffenheits-Check in fünf FragenOb die Meldepflicht das eigene Angebot trifft, in fünf Fragen geklärt.CE-Kennzeichnung für Software nach dem CRADas Verfahren von der Klassifizierung bis zur Kennzeichnung.