EU Cyber Resilience Act

CRA-bereit werden, ohne den Überblick zu verlieren.

Q: Gilt der CRA auch für Schweizer Unternehmen?

Ja. Wer Produkte mit digitalen Elementen in der EU in Verkehr bringt, muss die Anforderungen erfüllen, unabhängig vom Firmensitz. Schweizer Unternehmen ohne EU-Niederlassung müssen zusätzlich einen bevollmächtigten Vertreter in der EU benennen.

Q: Welche Fristen gelten 2026 und 2027?

Ab 11. Juni 2026 werden notifizierte Stellen benannt, ab 11. September 2026 gelten die Meldepflichten für alle Hersteller, und ab 11. Dezember 2027 ist der CRA vollständig anwendbar inklusive CE-Kennzeichnung.

Q: Welche Meldefristen gelten bei Schwachstellen und Vorfällen?

Frühwarnung binnen 24 Stunden an CSIRT und ENISA, detailliertere Folgemeldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach einem Update sowie binnen 30 Tagen bei schweren Vorfällen.

Q: In welche Produktkategorie fällt mein Produkt?

Der CRA kennt vier Stufen: Standardkategorie mit Selbstdeklaration, Klasse I (wichtige Produkte), Klasse II (kritische Produkte) und kritische Kernprodukte. Für höhere Klassen ist eine strengere oder externe Konformitätsbewertung nötig.

Q: Was droht bei Nichteinhaltung?

Bussgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, zusätzlich mögliche Verkaufsverbote, Rückrufe oder Marktrücknahmen.

Q: Kommt auch in der Schweiz ein eigenes Gesetz?

Ja. Der Bundesrat hat das BACS beauftragt, bis Herbst 2026 eine Vernehmlassungsvorlage für eine Schweizer Gesetzgebung zur Cyberresilienz digitaler Produkte zu erarbeiten, orientiert am EU CRA.

Q: Wie unterstützt die SwissGRC Plattform bei der CRA-Compliance?

Die Plattform bringt Struktur in die organisatorischen CRA-Pflichten: Betroffenheitsanalyse, Risikomanagement und ISMS, Schwachstellen- und Meldeprozesse, SBOM auf Governance-Ebene und behördengerechte Dokumentation. CRA, NIS2 und DORA werden in einer Plattform abgebildet.

Der Cyber Resilience Act macht Cybersicherheit zur Pflicht für jedes Produkt mit digitalen Elementen. Die SwissGRC® Plattform bringt Ihre CRA-Prozesse an einen Ort, damit Sie jederzeit nachweisfähig bleiben.

Kontaktieren Sie uns Gap-Analyse starten

Erste Meldepflicht ab 11. September 2026

Zeitplan

Zwei Fristen 2026, die jetzt zählen

Viele denken, alles komme erst 2027. Falsch. Die erste Pflicht greift schon im September 2026, und sie gilt für jeden Hersteller.

11. Juni 2026

Vor allem Klasse I und II

Notifizierte Stellen werden benannt

EU-Mitgliedstaaten benennen akkreditierte Konformitätsbewertungsstellen. Für Produkte der Standardkategorie mit Selbstdeklaration kein unmittelbares Handlungserfordernis. Hersteller von Produkten der Klassen I und II sollten jetzt Kontakt aufnehmen, um Kapazitätsengpässen zuvorzukommen.

11. September 2026

Gilt für alle Hersteller

Meldepflichten für Schwachstellen und Vorfälle

Die zentrale und unmittelbarste Pflicht. Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle sind innert strikter Fristen an die nationale CSIRT-Behörde und ENISA zu melden:

24 hFrühwarnung an CSIRT und ENISA
72 hdetailliertere Folgemeldung
14 TageAbschlussbericht nach Update oder Workaround
30 TageAbschlussbericht bei schweren Vorfällen

Der gesamte Zeitplan im Überblick

10. Dez. 2024

CRA tritt in KraftDie Übergangsfrist beginnt.

11. Juni 2026

Notifizierte Stellen aktivVor allem für Klasse I und II relevant.

11. Sep. 2026

Meldepflichten für Schwachstellen und VorfälleAlle Hersteller betroffen. Meldeprozesse müssen funktionieren.

11. Dez. 2026

Ausreichend notifizierte Stellen in der EUKapazitätsplanung für die Zertifizierung.

11. Dez. 2027

Vollständige Anwendung aller CRA-AnforderungenCE-Kennzeichnung wird Pflicht.

Einordnung

Die vier Produktkategorien

Der CRA stuft Produkte nach Risiko ein. Die Kategorie entscheidet, ob eine Selbstdeklaration genügt oder eine notifizierte Stelle prüfen muss.

Standardkategorie

Gewöhnliche Geschäftssoftware, Consumer-Elektronik und Standard-IoT-Geräte.

Selbstdeklaration des Herstellers (Modul A)

Klasse I: Wichtige Produkte

Passwortmanager, Antivirensoftware, VPNs, Firewalls, Browser.

Strengere Konformitätsbewertung erforderlich

Klasse II: Kritische Produkte

Netzwerkmanagementsysteme, industrielle Steuerungen, Smart-Meter-Gateways.

Zertifizierung durch notifizierte Stelle zwingend

Kritische Kernprodukte

Besonders kleine Gruppe mit den strengsten Anforderungen.

Verpflichtende externe Bewertung

Unsicher, in welche Kategorie Ihre Produkte fallen? Machen Sie unsere kostenlose CRA Gap-Analyse weiter unten auf dieser Seite. In sechs Fragen erhalten Sie eine erste Einschätzung Ihrer Bereitschaft, anonym und ohne Registrierung.

Anforderungen

Die technischen Kernpflichten

Der CRA verlangt, dass Cybersicherheit über den gesamten Produktlebenszyklus mitgedacht und belegt wird. Fünf Pflichten stehen im Zentrum.

Security by Design und Default

Sicherheit von Beginn an: sichere Standardeinstellungen, keine Universalpasswörter, minimale Angriffsflächen, verschlüsselte Daten.

Schwachstellenmanagement

Sicherheitsupdates über mindestens fünf Jahre und ein PSIRT-Prozess, der Schwachstellen über den Lebenszyklus behandelt.

Software Bill of Materials

Vollständige, aktuelle Übersicht aller Softwarekomponenten je Produkt, inklusive Drittanbieter und Open Source.

Technische Dokumentation und CE

Ab Ende 2027 brauchen betroffene Produkte EU-Konformitätserklärung und CE-Kennzeichnung. Ohne sie kein EU-Import.

Resilienz und Incident Containment

Produkte müssen Angriffen standhalten. Hersteller müssen Vorfälle schnell eindämmen und Nutzer informieren.

Whitepaper

Cyber Resilience Act: Was Schweizer Hersteller jetzt tun müssen

Ein praxisnaher Leitfaden von Swiss Infosec AG und Swiss GRC. Alle Fristen, die vier Produktkategorien und ein konkreter Fahrplan bis September 2026.

10 Seiten Alle Fristen und Meldepflichten Fahrplan für Entwicklungsteams

Kostenlos. Download erscheint sofort und kommt zusätzlich per E-Mail.

Kostenlose Gap-Analyse

Wie CRA-reif ist Ihre Produktsicherheit?

Eine Selbsteinschätzung auf Basis des ENISA-Reifegradmodells für KMU: 25 Fragen in fünf Bereichen. Sie erhalten sofort einen Reifegrad je Bereich und gesamt, anonym und ohne Registrierung.

Basiert auf dem ENISA SME Cyber Resilience Maturity Assessment Model. Eine Selbsteinschätzung, die keine produktspezifische Risikobewertung, Rechtsberatung oder formale CRA-Konformitätsbewertung ersetzt.

25 Fragen 5 Bereiche 5 Minuten

Wählen Sie je Frage die Beschreibung, die Ihrer aktuellen Praxis am nächsten kommt. Es gibt kein richtig oder falsch, nur eine ehrliche Standortbestimmung.

Frage 1 / 25

0von 5

Ergebnis

Ausführlichen Report und Massnahmen-Checkliste anfordern

Optional. Wir senden Ihnen eine strukturierte Auswertung mit Ihrer Bereichs-Reife und einer priorisierten Massnahmen-Checkliste an Ihre E-Mail. Ihre Antworten bleiben anonym, bis Sie den Report anfordern.

Vielen Dank. Ihr Report ist unterwegs und trifft in Kürze in Ihrem Postfach ein.

Demo anfordern

Die Gap-Analyse ist eine unverbindliche Selbsteinschätzung nach dem ENISA-Reifegradmodell und ersetzt keine produktspezifische Risikobewertung, Rechtsberatung oder formale CRA-Konformitätsbewertung.

Die Rolle der Plattform

Struktur und Nachweisbarkeit für Ihre CRA-Compliance

Der CRA verlangt nicht nur ein sicheres Produkt, sondern auch belastbare Prozesse und lückenlose Nachweise. Genau hier setzt die SwissGRC® Plattform an.

Betroffenheit und Scoping

Portfolio erfassen, jedes Produkt einer Risikoklasse zuordnen, Handlungsbedarf festhalten. Aus der Analyse wird ein nachverfolgbarer Massnahmenplan.

Risikomanagement und ISMS

Produktrisiken in einem integrierten Datenmodell bewerten und steuern. Viele CRA-Anforderungen decken sich mit ISO-27001-Controls, die Sie hier schon abbilden.

Schwachstellen und Meldeprozess

PSIRT-Prozess abbilden und die knappen Meldefristen (24h, 72h, 14 Tage) mit klaren Rollen und lückenloser Historie steuern.

SBOM auf Governance-Ebene

SBOM mit Produkten und Risiken verknüpfen. Wird eine Komponente verwundbar, sehen Sie sofort, welche Produkte betroffen sind.

Technische Dokumentation

Risikoanalysen, Massnahmen und Konformitätsbelege an einem Ort, versioniert und jederzeit abrufbar.

CRA, NIS2 und DORA vereint

CRA, NIS2 und DORA in einer Plattform. Nachweise erbringen Sie einmal, nicht dreimal.

Häufig gestellte Fragen

Den CRA verstehen

Die wichtigsten Fragen zum Cyber Resilience Act, mit besonderem Blick auf Schweizer Hersteller und die kommende nationale Gesetzgebung.

Was ist der Cyber Resilience Act (CRA)?

Der CRA (Verordnung (EU) 2024/2847) ist das erste horizontale EU-Gesetz, das verbindliche Cybersicherheitsanforderungen für sämtliche Produkte mit digitalen Elementen festlegt. Er ergänzt Regelwerke wie die NIS-2-Richtlinie und die DSGVO, richtet sich aber direkt an Produkthersteller und greift entlang der gesamten Lieferkette. Er ist am 10. Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027.

Gilt der CRA auch für Schweizer Unternehmen?

Ja. Der CRA ist eine EU-Marktregulierung: Wer Produkte mit digitalen Elementen in der EU in Verkehr bringt, muss die Anforderungen erfüllen, unabhängig vom Firmensitz. Betroffen sind insbesondere Hersteller, die in der EU vertreiben, Importeure, Händler und unter Umständen auch Schweizer Cloud-Dienstleister. Schweizer Unternehmen ohne EU-Niederlassung müssen zusätzlich einen bevollmächtigten Vertreter in der EU (Authorised Representative) benennen.

Welche Fristen gelten 2026 und 2027?

Drei Stichtage sind zentral: Ab dem 11. Juni 2026 werden notifizierte Konformitätsbewertungsstellen benannt (vor allem für Klasse I und II relevant). Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, und zwar für alle Hersteller. Ab dem 11. Dezember 2027 ist der CRA vollständig anwendbar, inklusive CE-Kennzeichnung und Konformitätsbewertung.

Welche Meldefristen gelten bei Schwachstellen und Vorfällen?

Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innert enger Fristen gemeldet werden: Frühwarnung an die nationale CSIRT-Behörde und ENISA binnen 24 Stunden, detailliertere Folgemeldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach einem Update oder Workaround, sowie binnen 30 Tagen bei schweren Vorfällen. Die Meldung läuft über eine zentrale ENISA-Plattform.

In welche Produktkategorie fällt mein Produkt?

Der CRA kennt vier Stufen: die Standardkategorie (ca. 90 Prozent aller Produkte, Selbstdeklaration genügt), Klasse I (wichtige Produkte wie Passwortmanager, VPNs, Firewalls), Klasse II (kritische Produkte wie industrielle Steuerungen, Netzwerkmanagementsysteme) und kritische Kernprodukte mit den strengsten Anforderungen. Für Klasse I, II und Kernprodukte ist eine strengere oder externe Konformitätsbewertung nötig. Eine Gap-Analyse klärt die Einordnung.

Was droht bei Nichteinhaltung?

Bei schwerwiegenden Verstössen können Marktüberwachungsbehörden Bussgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Bei weniger schweren Verstössen liegt die Obergrenze bei 10 Millionen Euro oder 2 Prozent. Zusätzlich können Behörden den Verkauf untersagen, Rückrufe anordnen oder Produkte vom Markt nehmen.

Kommt auch in der Schweiz ein eigenes Gesetz?

Ja, das zeichnet sich ab. Der Bundesrat hat das Bundesamt für Cybersicherheit (BACS) beauftragt, bis Herbst 2026 eine Vernehmlassungsvorlage für eine Schweizer Gesetzgebung zur Cyberresilienz digitaler Produkte zu erarbeiten, ausdrücklich orientiert am EU CRA. Schweizer Hersteller sollten daher mit einer regulatorischen Doppelwelle rechnen: EU CRA jetzt, ein Schweizer Pendant voraussichtlich ab 2027 oder 2028. Wer die CRA-Logik heute umsetzt, ist für beide gut aufgestellt.

Wie unterstützt die SwissGRC® Plattform bei der CRA-Compliance?

Die Plattform bringt Struktur und Nachweisbarkeit in die organisatorischen CRA-Pflichten: Betroffenheitsanalyse und Scoping, Risikomanagement und ISMS, Schwachstellen- und Meldeprozesse mit den knappen Fristen, SBOM auf Governance-Ebene sowie behördengerechte technische Dokumentation. Da CRA, NIS2 und DORA in einer Plattform abgebildet werden, müssen Nachweise nur einmal erbracht werden. Das Security-by-Design im Produkt selbst bleibt Aufgabe der Entwicklung, hier unterstützt unser Partner Swiss GRC gemeinsam mit Swiss Infosec AG.

Der 11. September 2026 kommt. Bereiten Sie sich strukturiert vor.

Sehen Sie, wie Sie Betroffenheit, Schwachstellen, Meldeprozesse und technische Dokumentation mit der SwissGRC® Plattform steuern. Oder starten Sie mit dem Whitepaper von Swiss Infosec AG und Swiss GRC.

Demo anfordern Whitepaper herunterladen