CRA Knowledge Center · Checkliste

Die CRA-Checkliste für Maschinenbauer.

Was seit dem 11. September 2026 gilt, was bis zum 11. Dezember 2027 stehen muss — Punkt für Punkt zum Abhaken.

Frei zugänglich, ohne Anmeldung. Tipp: Über die Druckfunktion Ihres Browsers speichern Sie die Checkliste als PDF.

Schritt 1

Sind Sie betroffen?

Der CRA gilt für Hersteller von Produkten mit digitalen Elementen. Prüfen Sie für Ihre Produktlinie:

  • Sie entwickeln die Maschine oder lassen sie entwickeln und vertreiben sie unter eigenem Namen oder eigener Marke.

  • Die Maschine hat eine direkte oder indirekte Datenverbindung — Steuerung im Netz, Fernwartungszugang oder Cloud-Anbindung.

  • Sie verkaufen die Maschine in der EU.

  • Auch bereits ausgelieferte Maschinen: Die Meldepflicht gilt für alle Produkte im Anwendungsbereich, auch für ältere.

Treffen die ersten drei Punkte zu, gelten die Meldepflichten bereits heute.

Schritt 2 · gilt seit dem 11.09.2026

Die Meldefristen kennen.

Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden Sie über die Meldeplattform der ENISA. Die Fristen laufen ab Kenntnis — nicht ab Behebung.

  • Frühwarnung

    Ausgenutzte Schwachstelle
    24 Stunden ab Kenntnis
    Schwerer Vorfall
    24 Stunden ab Kenntnis

  • Ausführliche Meldung

    Ausgenutzte Schwachstelle
    72 Stunden ab Kenntnis
    Schwerer Vorfall
    72 Stunden ab Kenntnis

  • Abschlussbericht

    Ausgenutzte Schwachstelle
    14 Tage, nachdem eine Abhilfe verfügbar ist
    Schwerer Vorfall
    1 Monat nach der 72-Stunden-Meldung

Zusätzlich informieren Sie die betroffenen Anwender selbst — die Meldung an die Behörde ersetzt das nicht.

Schritt 3 · jetzt erledigen

Die Meldepflicht organisieren.

  • 01

    Zuständigkeit klären

    Welches nationale CSIRT ist zuständig? Maßgeblich ist, wo die Entscheidungen über die Cybersicherheit Ihrer Produkte überwiegend getroffen werden.

  • 02

    Zugang zur Meldeplattform einrichten

    Vor dem Ernstfall, nicht am Tag des Vorfalls.

  • 03

    Benennen, wer meldet

    Eine Person, eine Vertretung, eine Telefonnummer. Die Frist läuft ab Kenntnis des Unternehmens.

  • 04

    Den Eingangskanal festlegen

    Woher erfahren Sie von einer ausgenutzten Schwachstelle — Support, Service, Lieferanten, eine öffentliche Meldestelle?

  • 05

    Die Bestandsfrage beantworten

    Welche Software läuft heute auf welcher Maschine, bei welchem Kunden, in welchem Land? Das ist der längste Punkt.

Schritt 4 · bis zum 11.12.2027

Die installierte Basis beherrschen.

Ab dem 11. Dezember 2027 gelten die übrigen Anforderungen. Können Sie heute bereits …

  • Sicherheitsupdates auf Maschinen im Feld verteilen?

  • Erkennen, welche Softwareversion auf welcher Maschine läuft?

  • Maschinen und Edge-Systeme zentral verwalten?

  • Änderungen und Zugriffe nachvollziehbar dokumentieren?

  • Benutzer, Rollen und Berechtigungen zentral steuern?

  • Updates kontrolliert ausrollen und bei Problemen zurücksetzen?

Jedes „Nein" ist ein Handlungsfeld.

Mehr Hintergrund: CRA-Meldepflicht: 24 Stunden, ab Kenntnis und das CRA Knowledge Center.

Hinweis: Diese Checkliste ordnet die Rechtslage ein und ersetzt keine Rechtsberatung. Welche Pflichten Ihr Unternehmen konkret treffen, hängt von Ihren Produkten ab. Die CRA-Konformität des Endprodukts liegt in der Verantwortung des Herstellers.