Dieser Artikel wurde erstmals am 30.07.2025 veröffentlicht und am 13.10.2026 auf Basis des zu diesem Zeitpunkt bekannten Rechts- und Informationsstands aktualisiert.
Unsere bisherigen Beiträge zum CRA zeigen, wie Hersteller Produktsicherheit über Entwicklung, Markteinführung und Schwachstellenbehandlung hinweg berücksichtigen. Angrenzende EU-Vorschriften und Standards können dabei helfen – aber ähnliche Kontrollen bedeuten nicht automatisch, dass ein Produkt CRA-konform ist.
Dieser Beitrag ordnet ein, welche angrenzenden Vorgaben je nach Produkt und Branche relevant sind. Entscheidend sind der konkrete Geltungsbereich, die Rolle des Unternehmens und ein produktbezogener Abgleich mit den CRA-Anforderungen. Die meisten CRA-Pflichten gelten ab dem 11. Dezember 2027; die Meldepflichten nach Artikel 14 gelten bereits seit dem 11. September 2026.
Der EU Data Act ist seit dem 12. September 2025 anwendbar. Artikel 3 Absatz 1 gilt für verbundene Produkte und zugehörige Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden: Produktdaten sollen standardmäßig leicht, sicher, kostenfrei und in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sein; soweit relevant und technisch machbar, direkt für Nutzer.
Das kann CRA-relevante Architekturentscheidungen unterstützen, etwa bei Zugriffsschutz und Datenintegrität. Der Data Act ist aber kein Cybersecurity-Konformitätsnachweis: Hersteller müssen prüfen, welche Datenzugangs- und Sicherheitsanforderungen für ihr Produkt gelten, und diese getrennt mit den CRA-Pflichten abgleichen.
Ein KI-Baustein im Produkt löst nicht automatisch sämtliche Pflichten des EU AI Act aus. Entscheidend ist, ob das KI-System in den Anwendungsbereich fällt und wie es nach Artikel 6 sowie den Anhängen I und III eingestuft wird. Hochrisikopflichten gelten unter anderem für bestimmte KI-Sicherheitskomponenten und ausdrücklich erfasste Anwendungsfälle.
Die Fristen sind gestaffelt: Die Hochrisikoanforderungen für Systeme nach Anhang III gelten ab dem 2. Dezember 2027, jene für KI-Produkte beziehungsweise Sicherheitskomponenten nach Anhang I ab dem 2. August 2028. Andere AI-Act-Pflichten haben eigene Fristen. Gemeinsame Risiko- und Dokumentationsprozesse können helfen, ersetzen aber keine separate Einstufung nach beiden Regelwerken.
Die NIS2-Richtlinie verpflichtet erfasste wesentliche und wichtige Einrichtungen zu Cybersicherheits- und Meldeprozessen. Dazu können abhängig von Sektor und Unternehmensgröße auch Hersteller zählen. NIS2 verlangt jedoch nicht pauschal von jedem Zulieferer ein CRA-konformes Produkt. Anforderungen an Lieferanten können sich mittelbar aus dem Lieferketten-Risikomanagement und konkreten Beschaffungsverträgen ergeben.
Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 und richtet sich vor allem an Finanzunternehmen. Für deren Technologieanbieter können Anforderungen an ICT-Drittrisiken vertraglich relevant werden; allein die Lieferung eines Produkts an ein Finanzunternehmen macht einen Hersteller aber nicht automatisch zu einem DORA-regulierten Unternehmen.
CRA-Pflichten treffen Hersteller auf Produktebene. Ein Unternehmen kann zugleich unter mehrere Regelwerke fallen; dann müssen Zuständigkeiten und Nachweise je Rolle und Produkt getrennt geprüft werden.
Die Produktsicherheitsverordnung behandelt die Sicherheit von Verbraucherprodukten; Cyberrisiken sind dabei relevant, wenn sie die Produktsicherheit beeinträchtigen. Sie ist jedoch kein allgemeines Cybersecurity-Regelwerk wie der CRA. Die Maschinenverordnung (EU) 2023/1230 enthält Anforderungen zum Schutz sicherheitsrelevanter Software und Daten vor Manipulation. Sie gilt verpflichtend ab dem 20. Januar 2027.
Die Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie (RED) ergänzt die Sicherheitsanforderungen für bestimmte Kategorien von Funkanlagen; sie gilt seit dem 1. August 2025. Ihre Anforderungen erfassen nicht pauschal alle Funkprodukte und ersetzen keine CRA-Prüfung. Bestehende technische Maßnahmen können wiederverwendbar sein, müssen aber jeweils den geltenden Produktanforderungen zugeordnet werden.
Produkte, die unter die Medizinprodukteverordnung (MDR) oder die Verordnung über In-vitro-Diagnostika (IVDR) fallen, sind nach Artikel 2 des CRA vom CRA ausgenommen. Normen wie ISO 14971 und IEC 62304 unterstützen das Risikomanagement und die Softwareentwicklung im Medizinprodukterecht. Ihre Prozesse können bei anderen Produkten als Ausgangspunkt dienen, belegen aber keine CRA-Konformität.
Ähnlich gilt im Fahrzeugbereich: Produkte, auf die die Verordnung (EU) 2019/2144 zur Typgenehmigung von Kraftfahrzeugen anwendbar ist, sind vom CRA ausgenommen. UNECE R155, ISO/SAE 21434 und ISO 24089 bilden branchenspezifische Grundlagen für Cybersicherheit und Softwareupdates. Ob ein separat vertriebenes Produkt oder eine Komponente dennoch unter den CRA fällt, muss anhand seines konkreten Geltungsbereichs geprüft werden.
Normen wie IEC 62443, ISO 27001, ISO 27002 und EN 303 645 können Sicherheitsprozesse und technische Maßnahmen unterstützen. Eine Konformitätsvermutung nach dem CRA entsteht jedoch nur für einschlägige harmonisierte Normen, deren Fundstelle im Amtsblatt der EU veröffentlicht wurde. Der aktuelle Normungsauftrag der Kommission (M/606) umfasst 41 Normen; vor einer Konformitätsaussage sind Status und tatsächlicher Abdeckungsbereich der konkreten Norm zu prüfen.
Das BSI IT-Grundschutz-Kompendium sowie die BSI-Standards 200-1 und 200-3 helfen bei Informationssicherheitsmanagement und Risikoanalyse. Ihre Maßnahmen sollten Hersteller konkret den CRA-Anforderungen und der technischen Dokumentation zuordnen.
Die BSI-Technische Richtlinie TR-03161 ist auf sichere Anwendungen im Gesundheitswesen ausgerichtet. Sie kann dort relevant sein, ist aber keine allgemeine CRA-Leitlinie für beliebige Softwareprodukte.
Bestehende Prozesse und Nachweise können den Einstieg erleichtern, ersetzen aber nicht die Prüfung, ob ein Produkt unter den CRA fällt und welche Anforderungen dafür gelten. Prüfe je Produkt den Geltungsbereich, ordne vorhandene Kontrollen den CRA-Pflichten zu und ergänze die nachweisbaren Lücken. Berücksichtige dabei auch, welche Meldepflichten bereits seit September 2026 gelten.
Gerne unterstützen wir dich mit unserem CRA-Workshop bei der Einordnung und beim Aufbau eines konkreten Umsetzungsplans.
Wie ordnest du bestehende Sicherheitsnachweise deinem konkreten CRA-Produkt zu? Schau gerne bei uns auf LinkedIn vorbei und diskutiere mit.
Weitere Artikel zu ähnlichen Themen.
