CRA How-To für Kleinbetriebe und kleine Anlagen

Zum durchgespielten Beispiel: vernetzte Hackschnitzelheizung

Fristen

• seit 11.09.2026: Meldepflicht nach Art. 14 CRA, auch für Produkte, die schon ausgeliefert sind
• bis 19.01.2027: Maschinenrichtlinie 2006/42/EG
• ab 20.01.2027: Maschinenverordnung (EU) 2023/1230
• ab 11.12.2027: CRA vollständig, CE-Kennzeichnung auch nach CRA

Bin ich betroffen? Bin ich Hersteller?

Betroffen ist Ihr Produkt, wenn beides zutrifft:

• Das Gerät hat Software, etwa eine Steuerung, ein Bedienfeld oder ein Gateway.
• Es hat eine Verbindung nach außen oder zu einem anderen Gerät: Netzwerk, App, Cloud-Portal, Fernwartung, USB.

Sie sind Hersteller, wenn mindestens eines zutrifft:

• Sie bauen mehrere Maschinen zu einer Gesamtheit zusammen, die als eine Anlage funktioniert, und übergeben sie dem Kunden. Dann sind Sie Hersteller nach Maschinenverordnung und, wenn die Anlage vernetzt ist, auch nach CRA.
• Sie bringen ein Gerät unter eigenem Namen oder eigener Marke in Verkehr, auch wenn Partner es bauen.
• Sie verändern ein Gerät nach dem Verkauf so, dass sich seine Sicherheit ändert (wesentliche Änderung).
• Sie holen Geräte von außerhalb der EU und bringen sie hier in Verkehr (dann gelten Sie mindestens als Importeur).
• Maschinenverordnung: Sie bauen mehrere Maschinen oder Komponenten zu einer Anlage mit gemeinsamer Steuerung oder gemeinsamen Sicherheitsfunktionen zusammen und nehmen sie in Betrieb, etwa Kessel, Austragung und Steuerung. Dann sind Sie Hersteller dieser Gesamtheit, auch ohne eigene Marke und auch beim Aufbau beim Kunden. Nach dem CRA werden Sie dadurch allein nicht Hersteller, sondern erst mit eigenem Namen, eigener Software oder Fernzugang oder einer wesentlichen Änderung.

Eine Heizung, Kälteanlage oder Maschine mit App, Portal oder Fernwartung ist in aller Regel ein Standardprodukt. Dann reicht die interne Kontrolle, ohne Prüfstelle. Ist es zugleich eine Maschine, gilt dazu die Maschinenverordnung, und Sie stellen eine gemeinsame Konformitätserklärung für beide aus. Im Beispiel: Dokument D01 Einstufung, Rechtsrahmen und Bewertungsverfahren (Vorlage, Beispiel).

In neun Schritten zur CE-Kennzeichnung

So geht das Beispiel vor, ein Betrieb mit zwei Personen und Partnerfirmen. Jeder Schritt mit leerer Vorlage und ausgefülltem Beispiel.

Welche Prozesse Ihr Betrieb braucht

Der CRA verlangt keine großen Abteilungen, aber feste Abläufe, die auch zu zweit funktionieren. Das Beispiel beschreibt 20 Prozesse im Prozesshandbuch (D08 Prozesshandbuch (Vorlage, Beispiel)), zusammengefasst:

1. Regeln im Blick behalten: Monatlich prüfen, ob sich Gesetze, Normen oder Fristen geändert haben, und jede Anforderung mit Quelle in eine Liste schreiben. (P-01, P-02; D01 Einstufung, Rechtsrahmen und Bewertungsverfahren (Vorlage, Beispiel); F01 Anforderungsliste (Vorlage, Beispiel))
2. Sicher entwickeln und prüfen: Sicherheit von Anfang an einplanen: Bedrohungen bewerten, sicher programmieren, testen, vor jeder Hauptversion einen Penetrationstest, jede Sicherheitsfunktion validieren, jedes Gerät vor der Auslieferung prüfen. (P-03, P-04, P-14, P-20; D04 Steuerungs- und Sicherheitskonzept (Vorlage, Beispiel); D05 Netzwerk- und Systemarchitektur (Vorlage, Beispiel); F09 Validierungsprotokoll Sicherheitsfunktion (Vorlage, Beispiel); F10 Stückprüfprotokoll (Vorlage, Beispiel); F14 Release-Freigabe Security (Vorlage, Beispiel))
3. Zulieferer und Bauteile: Bauteile und Software von Partnern bewerten, Pflichten vertraglich festhalten und eine Stückliste der Software (SBOM) für jede Version pflegen. (P-05, P-06; F02 Lieferanten- und Komponentenbewertung (Vorlage, Beispiel); F03 Unterauftragsvereinbarung: Anhang CRA und MVO (Vorlage, Beispiel); F04 SBOM-Freigabe (Vorlage, Beispiel))
4. Schwachstellen und Updates: Hinweise auf Lücken annehmen (Kontaktadresse, Richtlinie zur Offenlegung), bewerten, beheben und Updates kostenlos und sicher verteilen, solange der Unterstützungszeitraum läuft. (P-07, P-08, P-10, P-11; F05 Schwachstellenticket (Vorlage, Beispiel); D14 Richtlinie zur koordinierten Offenlegung (Vorlage, Beispiel); F07 Sicherheitshinweis an Nutzer (Vorlage, Beispiel); D15 Erklärung zum Unterstützungszeitraum (Vorlage, Beispiel))
5. Melden: Aktiv ausgenutzte Schwachstellen und schwere Vorfälle über die Meldeplattform melden: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht danach. Die Notfallkarte hängt am Arbeitsplatz. (P-09; D16 Notfallkarte: Meldung nach Art. 14 CRA (Vorlage, Beispiel); F06 Meldeprotokoll nach Art. 14 CRA (Vorlage, Beispiel))
6. Änderungen und Marktbeobachtung: Jede Änderung darauf prüfen, ob sie wesentlich ist, Rückmeldungen aus dem Feld auswerten und bei Bedarf Korrekturmaßnahmen einleiten und Behörden informieren. (P-12, P-13, P-17, P-18; F08 Änderungsantrag (Vorlage, Beispiel); F13 Korrekturmaßnahme und Behördenkontakt (Vorlage, Beispiel))
7. Dokumentation, Anleitung, Schulung: Technische Dokumentation vollständig halten und lange genug aufbewahren, Anleitung und Nutzerinformationen aktuell halten, alle Beteiligten schulen und das festhalten. (P-15, P-16, P-19; D09 Technische Dokumentation: Inhaltsverzeichnis (Vorlage, Beispiel); D13 Nutzerinformationen nach CRA Anhang II (Vorlage, Beispiel); F12 Schulungsnachweis (Vorlage, Beispiel))

Was das Produkt können muss

Die Anforderungen aus Anhang I Teil I Nr. 2 CRA in einfachen Worten. Wie das Beispiel sie umsetzt, steht in D04 Steuerungs- und Sicherheitskonzept (Vorlage, Beispiel); D05 Netzwerk- und Systemarchitektur (Vorlage, Beispiel); D07 Cybersecurity-Risikobewertung (Vorlage, Beispiel).

• a) Keine bekannten ausnutzbaren Schwachstellen bei der Auslieferung.
• b) Sichere Grundeinstellung ab Werk, mit der Möglichkeit, auf diesen Zustand zurückzusetzen.
• c) Sicherheitsupdates einspielbar, standardmäßig automatisch, mit der Möglichkeit, das abzuschalten.
• d) Schutz vor unbefugtem Zugriff: Anmeldung, Rollen, keine gemeinsamen Standardpasswörter.
• e) Vertraulichkeit gespeicherter und übertragener Daten, zum Beispiel durch Verschlüsselung.
• f) Schutz der Integrität von Daten, Befehlen, Programmen und Einstellungen vor Manipulation.
• g) Nur die Daten verarbeiten, die für den Zweck nötig sind.
• h) Grundfunktionen bleiben verfügbar, auch bei Angriffen oder Störungen der Verbindung.
• i) Das Gerät stört andere Geräte und Netze nicht.
• j) Möglichst wenige Angriffsflächen: nur nötige Schnittstellen und Dienste offen.
• k) Folgen eines Vorfalls begrenzen.
• l) Sicherheitsrelevante Ereignisse aufzeichnen und überwachen, mit Abschaltmöglichkeit für den Nutzer.
• m) Nutzer können alle Daten und Einstellungen sicher und dauerhaft löschen.

Für Maschinen kommt dazu: Fernzugriff und angeschlossene Geräte dürfen keine gefährliche Situation auslösen, und Steuerungen müssen böswilligen Versuchen standhalten (MVO Anhang III Nr. 1.1.9 und 1.2.1). Im Beispiel wirken Temperaturbegrenzer, Ablaufsicherung, Sicherheitsventil und Löschung ohne Software und Netzwerk.

Was steht wo

Nutzerinformationen und Betriebsanleitung

CRA Anhang II, MVO Anhang III Nr. 1.7.4

Hersteller und Kontaktstelle für Schwachstellen, Zweck und Sicherheitseigenschaften, bekannte Risiken, Unterstützungszeitraum, sichere Inbetriebnahme, Updates, Abschalten automatischer Updates, sichere Außerbetriebnahme. Dazu die Maschinenanleitung mit Montage, Bedienung, Wartung und Restrisiken. Im Beispiel: D13 Nutzerinformationen nach CRA Anhang II (Vorlage, Beispiel).

Technische Dokumentation

CRA Anhang VII, MVO Anhang IV Teil A, ein gemeinsamer Satz nach Art. 31 Abs. 3 CRA

Beschreibung, Konstruktion, beide Risikobeurteilungen, Prozesse, Begründung des Unterstützungszeitraums, Normen, Prüfberichte, SBOM, Konformitätserklärung. Mindestens zehn Jahre aufbewahren, bei längerem Unterstützungszeitraum entsprechend länger. Im Beispiel: D09 Technische Dokumentation: Inhaltsverzeichnis (Vorlage, Beispiel); D10 Checkliste bis zum Inverkehrbringen (Vorlage, Beispiel).

EU-Konformitätserklärung

CRA Art. 28 und Anhang V, MVO Art. 21 und Anhang V

Eine einzige Erklärung für alle Rechtsakte, die für das Produkt gelten, mit Produkt, Hersteller, Rechtsakten, Normen mit Ausgabe und Unterschrift. Pflicht nach Art. 28 Abs. 1 CRA ist der Satz, dass die Erfüllung der Anforderungen aus Anhang I nachgewiesen wurde. Sie gilt für Geräte, die ab 11.12.2027 in Verkehr kommen. Dem Produkt liegt die Erklärung oder die vereinfachte Fassung nach Anhang VI bei. Im Beispiel: D11 EU-Konformitätserklärung (Vorlage, Beispiel).

Typenschild und CE-Kennzeichnung

CRA Art. 30, MVO Anhang III Nr. 1.7.3

Hersteller, Typ, Seriennummer, CE-Kennzeichen; dazu ein Hinweis, wo die Erklärung und die Nutzerinformationen zu finden sind. Im Beispiel: D12 Typenschild und Kennzeichnung (Vorlage, Beispiel).

Auf Ihrer Webseite

CRA Anhang I Teil II Nr. 5 und 6, Art. 13 Abs. 19

Kontaktstelle und Richtlinie zur koordinierten Offenlegung (gern als security.txt), das Ende des Unterstützungszeitraums, die vollständige Konformitätserklärung und die Sicherheitshinweise mit Schwere und betroffenen Versionen. Im Beispiel: D14 Richtlinie zur koordinierten Offenlegung (Vorlage, Beispiel); D15 Erklärung zum Unterstützungszeitraum (Vorlage, Beispiel).

Intern, als Nachweis

Art. 13, Art. 14, Anhang I Teil II CRA

Meldeprotokolle, Schwachstellentickets, SBOM- und Release-Freigaben, Änderungsanträge, Schulungen, Inbetriebnahmen. Im Beispiel: F04 SBOM-Freigabe (Vorlage, Beispiel); F05 Schwachstellenticket (Vorlage, Beispiel); F06 Meldeprotokoll nach Art. 14 CRA (Vorlage, Beispiel); F08 Änderungsantrag (Vorlage, Beispiel); F12 Schulungsnachweis (Vorlage, Beispiel); F14 Release-Freigabe Security (Vorlage, Beispiel).

Erleichterungen für kleine Betriebe

• Kleinst- und Kleinunternehmen zahlen keine Geldbuße, wenn sie die Frühwarnung nach 24 Stunden verpassen. Die Meldepflicht selbst gilt (Art. 64 Abs. 10 Buchst. a CRA).
• Für die technische Dokumentation sieht der CRA ein vereinfachtes Formular für Kleinst- und Kleinunternehmen vor, das die Kommission festlegt (Art. 33 Abs. 5 CRA). Wer es nutzt, muss trotzdem alle Inhalte aus Anhang VII liefern.
• Die Mitgliedstaaten sollen kleine Unternehmen mit Information, Schulung und Anlaufstellen unterstützen (Art. 33 Abs. 1 CRA).

Häufige Fehler

• „Der CRA gilt erst 2027“: Die Meldepflicht gilt seit 11.09.2026, auch für Geräte, die schon beim Kunden stehen.
• App und Cloud-Portal vergessen: Was das Gerät fernsteuert oder Daten verarbeitet, gehört zur Bewertung.
• Der Partner liefert, also ist er zuständig: Die Pflichten bleiben beim Hersteller. Verträge und Meldewege müssen das abdecken.
• Kein Unterstützungszeitraum festgelegt oder nicht veröffentlicht.
• Zwei getrennte Konformitätserklärungen statt einer gemeinsamen.
• Erklärung ohne den Satz zu Anhang I (Art. 28 Abs. 1 CRA) oder mit CRA-Bezug auch für Geräte, die vor dem 11.12.2027 in Verkehr kamen.
• Ein festes Supportende für alle Geräte: Wer spät kauft, bekommt weniger als fünf Jahre. Besser ein Zeitraum ab Übergabe jeder Einheit.
• Nicht jeden Punkt aus Anhang I Teil I einzeln bewertet: Art. 13 Abs. 3 verlangt zu a bis m, ob er gilt und wie er umgesetzt ist.
• Sicherheitsfunktionen hängen an der Software oder am Netzwerk. Im Muster wirken Temperaturbegrenzer und Ablaufsicherung ohne beides.

Alles zum Herunterladen

• Verfahren als PDF: alle neun Schritte mit Links
• Alle leeren Vorlagen mit Ausfüllhilfe (ZIP)
• Alle ausgefüllten Beispiele (ZIP)

Vor der Erklärung noch prüfen

• Verkündung des deutschen CRA-Durchführungsgesetzes und die zuständige Marktüberwachungsbehörde
• Gelistete harmonisierte Normen zum CRA und zu MVO Anhang III Nr. 1.1.9 (bis dahin Spezifikationen wie IEC 62443 begründet nutzen)
• Ziffernfolgen in MVO Anhang IV und V gegen das Amtsblatt

Quellen

• Cyber Resilience Act, Verordnung (EU) 2024/2847
• Maschinenverordnung, Verordnung (EU) 2023/1230
• EU-Kommission: Cyber Resilience Act
• EU-Kommission: CRA für Kleinst-, kleine und mittlere Unternehmen
• BSI: Cyber Resilience Act

Kostenfreies Muster von OT-Cyber.de, keine Rechtsberatung. Alle Firmen, Personen und Daten im Beispiel sind fiktiv. Stand 06.11.2026. Hilfe bei der Umsetzung: CRA as a Service.

Zuletzt aktualisiert: 06.11.2026

Fragen? Wir helfen auch. Notfall? 24/7 anrufen: +49 8031 8603164

Seite teilen: LinkedInXINGFacebookXWhatsAppE-Mail