# EU Cyber Resilience Act (CRA) Compliance > Swiss GRC erklärt die Pflichten des EU Cyber Resilience Act (CRA) für Hersteller von Produkten mit digitalen Elementen, auch in der Schweiz. Die SwissGRC® Plattform bündelt CRA-Prozesse und Nachweise. Ergänzt wird das durch eine kostenlose Gap-Analyse und ein Whitepaper. - URL: https://swissgrc.com/cyber-resilience-act-cra/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-07-17 - Zuletzt aktualisiert: 2026-10-07 ## Kernaussagen - Die erste Meldepflicht des CRA gilt ab dem 11. September 2026 für alle Hersteller. Aktiv ausgenutzte Schwachstellen und schwere Vorfälle sind an die nationale CSIRT-Behörde und ENISA zu melden. - Die Meldefristen betragen 24 Stunden für die Frühwarnung, 72 Stunden für die Folgemeldung, 14 Tage für den Abschlussbericht nach Update oder Workaround und 30 Tage bei schweren Vorfällen. - Der CRA (Verordnung (EU) 2024/2847) ist am 10. Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027, inklusive CE-Kennzeichnung. - Der CRA kennt vier Produktkategorien: Standardkategorie (ca. 90 Prozent aller Produkte, Selbstdeklaration), Klasse I (wichtige Produkte), Klasse II (kritische Produkte) und kritische Kernprodukte. - Schweizer Unternehmen ohne EU-Niederlassung müssen einen bevollmächtigten Vertreter in der EU benennen, wenn sie Produkte mit digitalen Elementen in der EU in Verkehr bringen. - Die SwissGRC® Plattform bildet CRA, NIS2 und DORA in einem System ab, sodass Nachweise nur einmal erbracht werden müssen. EU Cyber Resilience Act # CRA-bereit werden, *ohne den Überblick zu verlieren.* Der Cyber Resilience Act macht Cybersicherheit zur Pflicht für jedes Produkt mit digitalen Elementen. Die SwissGRC® Plattform bringt Ihre CRA-Prozesse an einen Ort, damit Sie jederzeit nachweisfähig bleiben. Kontaktieren Sie uns Gap-Analyse starten Erste Meldepflicht ab **11. September 2026** Zeitplan ## Zwei Fristen 2026, die jetzt zählen Viele denken, alles komme erst 2027. Falsch. Die erste Pflicht greift schon im September 2026, und sie gilt für jeden Hersteller. 11. Juni 2026 Vor allem Klasse I und II ### Notifizierte Stellen werden benannt EU-Mitgliedstaaten benennen akkreditierte Konformitätsbewertungsstellen. Für Produkte der Standardkategorie mit Selbstdeklaration kein unmittelbares Handlungserfordernis. Hersteller von Produkten der Klassen I und II sollten jetzt Kontakt aufnehmen, um Kapazitätsengpässen zuvorzukommen. 11. September 2026 Gilt für alle Hersteller ### Meldepflichten für Schwachstellen und Vorfälle Die zentrale und unmittelbarste Pflicht. Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle sind innert strikter Fristen an die nationale CSIRT-Behörde und ENISA zu melden: - **24 h**Frühwarnung an CSIRT und ENISA - **72 h**detailliertere Folgemeldung - **14 Tage**Abschlussbericht nach Update oder Workaround - **30 Tage**Abschlussbericht bei schweren Vorfällen Der gesamte Zeitplan im Überblick 10. Dez. 2024 **CRA tritt in Kraft**Die Übergangsfrist beginnt. 11. Juni 2026 **Notifizierte Stellen aktiv**Vor allem für Klasse I und II relevant. 11. Sep. 2026 **Meldepflichten für Schwachstellen und Vorfälle**Alle Hersteller betroffen. Meldeprozesse müssen funktionieren. 11. Dez. 2026 **Ausreichend notifizierte Stellen in der EU**Kapazitätsplanung für die Zertifizierung. 11. Dez. 2027 **Vollständige Anwendung aller CRA-Anforderungen**CE-Kennzeichnung wird Pflicht. Einordnung ## Die vier Produktkategorien Der CRA stuft Produkte nach Risiko ein. Die Kategorie entscheidet, ob eine Selbstdeklaration genügt oder eine notifizierte Stelle prüfen muss. 01 ### Standardkategorie ca. 90 % aller Produkte Gewöhnliche Geschäftssoftware, Consumer-Elektronik und Standard-IoT-Geräte. Selbstdeklaration des Herstellers (Modul A) 02 ### Klasse I: Wichtige Produkte Erhöhtes Risiko Passwortmanager, Antivirensoftware, VPNs, Firewalls, Browser. Strengere Konformitätsbewertung erforderlich 03 ### Klasse II: Kritische Produkte Hohes Risiko Netzwerkmanagementsysteme, industrielle Steuerungen, Smart-Meter-Gateways. Zertifizierung durch notifizierte Stelle zwingend 04 ### Kritische Kernprodukte Höchste Stufe Besonders kleine Gruppe mit den strengsten Anforderungen. Verpflichtende externe Bewertung Unsicher, in welche Kategorie Ihre Produkte fallen? Machen Sie unsere **kostenlose CRA Gap-Analyse** weiter unten auf dieser Seite. In sechs Fragen erhalten Sie eine erste Einschätzung Ihrer Bereitschaft, anonym und ohne Registrierung. Anforderungen ## Die technischen Kernpflichten Der CRA verlangt, dass Cybersicherheit über den gesamten Produktlebenszyklus mitgedacht und belegt wird. Fünf Pflichten stehen im Zentrum. 01 ### Security by Design und Default Sicherheit von Beginn an: sichere Standardeinstellungen, keine Universalpasswörter, minimale Angriffsflächen, verschlüsselte Daten. 02 ### Schwachstellenmanagement Sicherheitsupdates über mindestens fünf Jahre und ein PSIRT-Prozess, der Schwachstellen über den Lebenszyklus behandelt. 03 ### Software Bill of Materials Vollständige, aktuelle Übersicht aller Softwarekomponenten je Produkt, inklusive Drittanbieter und Open Source. 04 ### Technische Dokumentation und CE Ab Ende 2027 brauchen betroffene Produkte EU-Konformitätserklärung und CE-Kennzeichnung. Ohne sie kein EU-Import. 05 ### Resilienz und Incident Containment Produkte müssen Angriffen standhalten. Hersteller müssen Vorfälle schnell eindämmen und Nutzer informieren. Whitepaper ## Cyber Resilience Act: Was Schweizer Hersteller jetzt tun müssen Ein praxisnaher Leitfaden von Swiss Infosec AG und Swiss GRC. Alle Fristen, die vier Produktkategorien und ein konkreter Fahrplan bis September 2026. 10 Seiten Alle Fristen und Meldepflichten Fahrplan für Entwicklungsteams Kostenlos. Download erscheint sofort und kommt zusätzlich per E-Mail. ### Cyber Resilience Act: Was Schweizer Hersteller jetzt tun müssen Von der Betroffenheitsanalyse über die vier Produktkategorien bis zum konkreten Fahrplan bis September 2026. - Alle Fristen und Meldepflichten im Überblick - Die vier Produktkategorien und was sie bedeuten - Priorisierter Fahrplan für Entwicklungsteams - Sanktionen und das EU-Vertreter-Mandat erklärt Gemeinsames Whitepaper von **Swiss Infosec AG** und **Swiss GRC**, April 2026. ### Kostenlos herunterladen Bitte hinterlassen Sie Ihre Angaben. Der Download erscheint sofort und wird Ihnen zusätzlich per E-Mail zugestellt. ### Vielen Dank, Ihr Whitepaper ist bereit Der Download startet über den Button unten. Eine Kopie des Links ist zusätzlich in Ihrem Postfach. [Whitepaper öffnen (PDF)](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Öffnet sich nichts? [Direkt hier klicken.](https://swissgrc.com/Downloads/Whitepaper/CRA_Whitepaper_SwissGRC_SwissInfosec.pdf) Kostenlose Gap-Analyse ## Wie CRA-reif ist Ihre Produktsicherheit? Eine Selbsteinschätzung auf Basis des ENISA-Reifegradmodells für KMU: 25 Fragen in fünf Bereichen. Sie erhalten sofort einen Reifegrad je Bereich und gesamt, anonym und ohne Registrierung. Basiert auf dem **ENISA SME Cyber Resilience Maturity Assessment Model**. Eine Selbsteinschätzung, die keine produktspezifische Risikobewertung, Rechtsberatung oder formale CRA-Konformitätsbewertung ersetzt. **25** Fragen **5** Bereiche **5** Minuten Wählen Sie je Frage die Beschreibung, die Ihrer aktuellen Praxis am nächsten kommt. Es gibt kein richtig oder falsch, nur eine ehrliche Standortbestimmung. Frage **1** / 25 0von 5 ### Ergebnis #### Ausführlichen Report und Massnahmen-Checkliste anfordern Optional. Wir senden Ihnen eine strukturierte Auswertung mit Ihrer Bereichs-Reife und einer priorisierten Massnahmen-Checkliste an Ihre E-Mail. Ihre Antworten bleiben anonym, bis Sie den Report anfordern. **Vielen Dank.** Ihr Report ist unterwegs und trifft in Kürze in Ihrem Postfach ein. [Demo anfordern](https://swissgrc.com/demo/) Die Gap-Analyse ist eine unverbindliche Selbsteinschätzung nach dem ENISA-Reifegradmodell und ersetzt keine produktspezifische Risikobewertung, Rechtsberatung oder formale CRA-Konformitätsbewertung. Die Rolle der Plattform ## Struktur und Nachweisbarkeit für Ihre CRA-Compliance Der CRA verlangt nicht nur ein sicheres Produkt, sondern auch belastbare Prozesse und lückenlose Nachweise. Genau hier setzt die SwissGRC® Plattform an. 01 ### Betroffenheit und Scoping Portfolio erfassen, jedes Produkt einer Risikoklasse zuordnen, Handlungsbedarf festhalten. Aus der Analyse wird ein nachverfolgbarer Massnahmenplan. 02 ### Risikomanagement und ISMS Produktrisiken in einem integrierten Datenmodell bewerten und steuern. Viele CRA-Anforderungen decken sich mit ISO-27001-Controls, die Sie hier schon abbilden. 03 ### Schwachstellen und Meldeprozess PSIRT-Prozess abbilden und die knappen Meldefristen (24h, 72h, 14 Tage) mit klaren Rollen und lückenloser Historie steuern. 04 ### SBOM auf Governance-Ebene SBOM mit Produkten und Risiken verknüpfen. Wird eine Komponente verwundbar, sehen Sie sofort, welche Produkte betroffen sind. 05 ### Technische Dokumentation Risikoanalysen, Massnahmen und Konformitätsbelege an einem Ort, versioniert und jederzeit abrufbar. 06 ### CRA, NIS2 und DORA vereint CRA, NIS2 und DORA in einer Plattform. Nachweise erbringen Sie einmal, nicht dreimal. Häufig gestellte Fragen ## Den CRA verstehen Die wichtigsten Fragen zum Cyber Resilience Act, mit besonderem Blick auf Schweizer Hersteller und die kommende nationale Gesetzgebung. Was ist der Cyber Resilience Act (CRA)? Der CRA (Verordnung (EU) 2024/2847) ist das erste horizontale EU-Gesetz, das verbindliche Cybersicherheitsanforderungen für sämtliche Produkte mit digitalen Elementen festlegt. Er ergänzt Regelwerke wie die NIS-2-Richtlinie und die DSGVO, richtet sich aber direkt an Produkthersteller und greift entlang der gesamten Lieferkette. Er ist am 10. Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027. Gilt der CRA auch für Schweizer Unternehmen? Ja. Der CRA ist eine EU-Marktregulierung: Wer Produkte mit digitalen Elementen in der EU in Verkehr bringt, muss die Anforderungen erfüllen, unabhängig vom Firmensitz. Betroffen sind insbesondere Hersteller, die in der EU vertreiben, Importeure, Händler und unter Umständen auch Schweizer Cloud-Dienstleister. Schweizer Unternehmen ohne EU-Niederlassung müssen zusätzlich einen **bevollmächtigten Vertreter in der EU** (Authorised Representative) benennen. Welche Fristen gelten 2026 und 2027? Drei Stichtage sind zentral: Ab dem **11. Juni 2026** werden notifizierte Konformitätsbewertungsstellen benannt (vor allem für Klasse I und II relevant). Ab dem **11. September 2026** gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, und zwar für alle Hersteller. Ab dem **11. Dezember 2027** ist der CRA vollständig anwendbar, inklusive CE-Kennzeichnung und Konformitätsbewertung. Welche Meldefristen gelten bei Schwachstellen und Vorfällen? Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innert enger Fristen gemeldet werden: Frühwarnung an die nationale CSIRT-Behörde und ENISA binnen **24 Stunden**, detailliertere Folgemeldung binnen **72 Stunden**, Abschlussbericht binnen **14 Tagen** nach einem Update oder Workaround, sowie binnen **30 Tagen** bei schweren Vorfällen. Die Meldung läuft über eine zentrale ENISA-Plattform. In welche Produktkategorie fällt mein Produkt? Der CRA kennt vier Stufen: die **Standardkategorie** (ca. 90 Prozent aller Produkte, Selbstdeklaration genügt), **Klasse I** (wichtige Produkte wie Passwortmanager, VPNs, Firewalls), **Klasse II** (kritische Produkte wie industrielle Steuerungen, Netzwerkmanagementsysteme) und **kritische Kernprodukte** mit den strengsten Anforderungen. Für Klasse I, II und Kernprodukte ist eine strengere oder externe Konformitätsbewertung nötig. Eine Gap-Analyse klärt die Einordnung. Was droht bei Nichteinhaltung? Bei schwerwiegenden Verstössen können Marktüberwachungsbehörden Bussgelder von bis zu **15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes** verhängen, je nachdem, welcher Betrag höher ist. Bei weniger schweren Verstössen liegt die Obergrenze bei 10 Millionen Euro oder 2 Prozent. Zusätzlich können Behörden den Verkauf untersagen, Rückrufe anordnen oder Produkte vom Markt nehmen. Kommt auch in der Schweiz ein eigenes Gesetz? Ja, das zeichnet sich ab. Der Bundesrat hat das Bundesamt für Cybersicherheit (BACS) beauftragt, bis Herbst 2026 eine Vernehmlassungsvorlage für eine Schweizer Gesetzgebung zur Cyberresilienz digitaler Produkte zu erarbeiten, ausdrücklich orientiert am EU CRA. Schweizer Hersteller sollten daher mit einer regulatorischen Doppelwelle rechnen: EU CRA jetzt, ein Schweizer Pendant voraussichtlich ab 2027 oder 2028. Wer die CRA-Logik heute umsetzt, ist für beide gut aufgestellt. Wie unterstützt die SwissGRC® Plattform bei der CRA-Compliance? Die Plattform bringt Struktur und Nachweisbarkeit in die organisatorischen CRA-Pflichten: Betroffenheitsanalyse und Scoping, Risikomanagement und ISMS, Schwachstellen- und Meldeprozesse mit den knappen Fristen, SBOM auf Governance-Ebene sowie behördengerechte technische Dokumentation. Da CRA, NIS2 und DORA in einer Plattform abgebildet werden, müssen Nachweise nur einmal erbracht werden. Das Security-by-Design im Produkt selbst bleibt Aufgabe der Entwicklung, hier unterstützt unser Partner Swiss GRC gemeinsam mit Swiss Infosec AG. ## Der 11. September 2026 kommt. *Bereiten Sie sich strukturiert vor.* Sehen Sie, wie Sie Betroffenheit, Schwachstellen, Meldeprozesse und technische Dokumentation mit der SwissGRC® Plattform steuern. Oder starten Sie mit dem Whitepaper von Swiss Infosec AG und Swiss GRC. [Demo anfordern](https://swissgrc.com/demo/) Whitepaper herunterladen ## Häufige Fragen ### Gilt der Cyber Resilience Act auch für Schweizer Unternehmen? Ja. Der CRA ist eine EU-Marktregulierung und gilt für alle, die Produkte mit digitalen Elementen in der EU in Verkehr bringen, unabhängig vom Firmensitz. Schweizer Unternehmen ohne EU-Niederlassung müssen zusätzlich einen bevollmächtigten Vertreter in der EU benennen. ### Welche Fristen gelten beim CRA 2026 und 2027? Ab dem 11. Juni 2026 werden notifizierte Konformitätsbewertungsstellen benannt. Ab dem 11. September 2026 gelten die Meldepflichten für alle Hersteller. Ab dem 11. Dezember 2027 ist der CRA vollständig anwendbar, inklusive CE-Kennzeichnung und Konformitätsbewertung. ### Welche Meldefristen gelten bei Schwachstellen und Sicherheitsvorfällen nach dem CRA? Die Frühwarnung an CSIRT und ENISA erfolgt binnen 24 Stunden, die detailliertere Folgemeldung binnen 72 Stunden. Der Abschlussbericht folgt 14 Tage nach einem Update oder Workaround, bei schweren Vorfällen binnen 30 Tagen. ### Was droht bei Nichteinhaltung des CRA? Bei schwerwiegenden Verstössen sind Bussgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, was höher ist. Bei weniger schweren Verstössen liegt die Grenze bei 10 Millionen Euro oder 2 Prozent. Behörden können zudem Verkaufsverbote, Rückrufe oder Marktrücknahmen anordnen. ### Kommt in der Schweiz ein eigenes Gesetz zur Cyberresilienz von Produkten? Das zeichnet sich ab. Der Bundesrat hat das BACS beauftragt, bis Herbst 2026 eine Vernehmlassungsvorlage zu erarbeiten, die sich am EU CRA orientiert. Ein Schweizer Pendant wird voraussichtlich ab 2027 oder 2028 erwartet.