# CRA How-To für Kleinbetriebe und kleine Anlagen
Kurz gesagt: Wer ein vernetztes Gerät unter eigenem Namen verkauft oder mehrere Maschinen zu einer vernetzten Anlage zusammenbaut und übergibt, ist Hersteller und braucht ab 11.12.2027 eine CE-Kennzeichnung auch nach dem Cyber Resilience Act. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gilt schon seit 11.09.2026. Diese Seite zeigt, welche Prozesse Ihr Betrieb braucht, was das Produkt können muss und was in welches Dokument gehört. Alles mit leeren Vorlagen und einem komplett ausgefüllten Beispiel zum Herunterladen, kostenfrei.Zum durchgespielten Beispiel: vernetzte Hackschnitzelheizung (/muster/cra-hackschnitzelheizung/)

## Fristen

- seit 11.09.2026: Meldepflicht nach Art. 14 CRA, auch für Produkte, die schon ausgeliefert sind
- bis 19.01.2027: Maschinenrichtlinie 2006/42/EG
- ab 20.01.2027: Maschinenverordnung (EU) 2023/1230
- ab 11.12.2027: CRA vollständig, CE-Kennzeichnung auch nach CRA
## Bin ich betroffen? Bin ich Hersteller?
Betroffen ist Ihr Produkt, wenn beides zutrifft:

- Das Gerät hat Software, etwa eine Steuerung, ein Bedienfeld oder ein Gateway.
- Es hat eine Verbindung nach außen oder zu einem anderen Gerät: Netzwerk, App, Cloud-Portal, Fernwartung, USB.Sie sind Hersteller, wenn mindestens eines zutrifft:

- Sie bauen mehrere Maschinen zu einer Gesamtheit zusammen, die als eine Anlage funktioniert, und übergeben sie dem Kunden. Dann sind Sie Hersteller nach Maschinenverordnung und, wenn die Anlage vernetzt ist, auch nach CRA.
- Sie bringen ein Gerät unter eigenem Namen oder eigener Marke in Verkehr, auch wenn Partner es bauen.
- Sie verändern ein Gerät nach dem Verkauf so, dass sich seine Sicherheit ändert (wesentliche Änderung).
- Sie holen Geräte von außerhalb der EU und bringen sie hier in Verkehr (dann gelten Sie mindestens als Importeur).
- Maschinenverordnung: Sie bauen mehrere Maschinen oder Komponenten zu einer Anlage mit gemeinsamer Steuerung oder gemeinsamen Sicherheitsfunktionen zusammen und nehmen sie in Betrieb, etwa Kessel, Austragung und Steuerung. Dann sind Sie Hersteller dieser Gesamtheit, auch ohne eigene Marke und auch beim Aufbau beim Kunden. Nach dem CRA werden Sie dadurch allein nicht Hersteller, sondern erst mit eigenem Namen, eigener Software oder Fernzugang oder einer wesentlichen Änderung.Eine Heizung, Kälteanlage oder Maschine mit App, Portal oder Fernwartung ist in aller Regel ein Standardprodukt. Dann reicht die interne Kontrolle, ohne Prüfstelle. Ist es zugleich eine Maschine, gilt dazu die Maschinenverordnung, und Sie stellen eine gemeinsame Konformitätserklärung für beide aus. Im Beispiel: Dokument D01 Einstufung, Rechtsrahmen und Bewertungsverfahren (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D01_Einstufung_Rechtsrahmen_Verfahren.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D01_Einstufung_Rechtsrahmen_Verfahren.pdf)).

## In neun Schritten zur CE-Kennzeichnung
So geht das Beispiel vor, ein Betrieb mit zwei Personen und Partnerfirmen. Jeder Schritt mit leerer Vorlage und ausgefülltem Beispiel.
Schritt 1Einstufen
Gelten Maschinenverordnung und CRA, und sind wir Hersteller?
D01 Einstufung, Rechtsrahmen und Bewertungsverfahren (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D01_Einstufung_Rechtsrahmen_Verfahren.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D01_Einstufung_Rechtsrahmen_Verfahren.pdf))
Schritt 2Betrieb aufstellen
Wie decken zwei Personen alle Herstellerpflichten ab?
D02 Rollen, Unterauftragnehmer und Pflichtenverteilung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D02_Rollen_Unterauftragnehmer.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D02_Rollen_Unterauftragnehmer.pdf)); D16 Notfallkarte: Meldung nach Art. 14 CRA (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D16_Notfallkarte_Meldung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D16_Notfallkarte_Meldung.pdf)); F03 Unterauftragsvereinbarung: Anhang CRA und MVO (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F03_Unterauftrag_Pflichtenanhang.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F03_Unterauftrag_Pflichtenanhang.pdf)); F06 Meldeprotokoll nach Art. 14 CRA (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F06_Meldeprotokoll_Art14.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F06_Meldeprotokoll_Art14.pdf)); F12 Schulungsnachweis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F12_Schulungsnachweis.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F12_Schulungsnachweis.pdf))
Schritt 3Anlage beschreiben
Was genau bringen wir in Verkehr, und wofür?
D03 Anlagenbeschreibung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D03_Anlagenbeschreibung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D03_Anlagenbeschreibung.pdf)); F01 Anforderungsliste (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F01_Anforderungsliste.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F01_Anforderungsliste.pdf))
Schritt 4Sicher konstruieren
Wie bleibt die Heizung sicher, auch wenn jemand angreift?
D04 Steuerungs- und Sicherheitskonzept (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D04_Steuerungs_Sicherheitskonzept.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D04_Steuerungs_Sicherheitskonzept.pdf)); D05 Netzwerk- und Systemarchitektur (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D05_Netzwerk_Systemarchitektur.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D05_Netzwerk_Systemarchitektur.pdf))
Schritt 5Risiken beurteilen
Welche Gefahren bleiben, und sind sie akzeptabel?
D06 Risikobeurteilung Maschinensicherheit (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D06_Risikobeurteilung_Maschine.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D06_Risikobeurteilung_Maschine.pdf)); D07 Cybersecurity-Risikobewertung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D07_Cybersecurity_Risikobewertung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D07_Cybersecurity_Risikobewertung.pdf))
Schritt 6Prozesse einführen
Was muss im Betrieb dauerhaft laufen?
D08 Prozesshandbuch (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D08_Prozesshandbuch.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D08_Prozesshandbuch.pdf)); D14 Richtlinie zur koordinierten Offenlegung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D14_Richtlinie_Offenlegung_CVD.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D14_Richtlinie_Offenlegung_CVD.pdf)); F02 Lieferanten- und Komponentenbewertung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F02_Lieferantenbewertung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F02_Lieferantenbewertung.pdf)); F04 SBOM-Freigabe (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F04_SBOM_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F04_SBOM_Freigabe.pdf)); F14 Release-Freigabe Security (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F14_Release_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F14_Release_Freigabe.pdf))
Schritt 7Prüfen und validieren
Funktioniert alles so, wie geplant?
F09 Validierungsprotokoll Sicherheitsfunktion (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F09_Validierungsprotokoll.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F09_Validierungsprotokoll.pdf)); F10 Stückprüfprotokoll (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F10_Stueckpruefprotokoll.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F10_Stueckpruefprotokoll.pdf))
Schritt 8Dokumentieren und erklären
Was braucht es für die CE-Kennzeichnung?
D09 Technische Dokumentation: Inhaltsverzeichnis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D09_Technische_Dokumentation.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D09_Technische_Dokumentation.pdf)); D10 Checkliste bis zum Inverkehrbringen (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D10_Checkliste_Inverkehrbringen.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D10_Checkliste_Inverkehrbringen.pdf)); D11 EU-Konformitätserklärung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D11_EU_Konformitaetserklaerung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D11_EU_Konformitaetserklaerung.pdf)); D12 Typenschild und Kennzeichnung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D12_Typenschild_Kennzeichnung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D12_Typenschild_Kennzeichnung.pdf)); D13 Nutzerinformationen nach CRA Anhang II (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D13_Nutzerinformationen_CRA.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D13_Nutzerinformationen_CRA.pdf)); D15 Erklärung zum Unterstützungszeitraum (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D15_Unterstuetzungszeitraum.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D15_Unterstuetzungszeitraum.pdf))
Schritt 9Ausliefern und betreuen
Was gilt nach dem Verkauf, über den ganzen Unterstützungszeitraum?
F05 Schwachstellenticket (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F05_Schwachstellenticket.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F05_Schwachstellenticket.pdf)); F07 Sicherheitshinweis an Nutzer (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F07_Sicherheitshinweis.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F07_Sicherheitshinweis.pdf)); F08 Änderungsantrag (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F08_Aenderungsantrag.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F08_Aenderungsantrag.pdf)); F11 Inbetriebnahmeprotokoll (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F11_Inbetriebnahmeprotokoll.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F11_Inbetriebnahmeprotokoll.pdf)); F13 Korrekturmaßnahme und Behördenkontakt (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F13_Korrekturmassnahme.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F13_Korrekturmassnahme.pdf))

## Welche Prozesse Ihr Betrieb braucht
Der CRA verlangt keine großen Abteilungen, aber feste Abläufe, die auch zu zweit funktionieren. Das Beispiel beschreibt 20 Prozesse im Prozesshandbuch (D08 Prozesshandbuch (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D08_Prozesshandbuch.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D08_Prozesshandbuch.pdf))), zusammengefasst:

- Regeln im Blick behalten: Monatlich prüfen, ob sich Gesetze, Normen oder Fristen geändert haben, und jede Anforderung mit Quelle in eine Liste schreiben. (P-01, P-02; D01 Einstufung, Rechtsrahmen und Bewertungsverfahren (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D01_Einstufung_Rechtsrahmen_Verfahren.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D01_Einstufung_Rechtsrahmen_Verfahren.pdf)); F01 Anforderungsliste (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F01_Anforderungsliste.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F01_Anforderungsliste.pdf)))
- Sicher entwickeln und prüfen: Sicherheit von Anfang an einplanen: Bedrohungen bewerten, sicher programmieren, testen, vor jeder Hauptversion einen Penetrationstest, jede Sicherheitsfunktion validieren, jedes Gerät vor der Auslieferung prüfen. (P-03, P-04, P-14, P-20; D04 Steuerungs- und Sicherheitskonzept (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D04_Steuerungs_Sicherheitskonzept.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D04_Steuerungs_Sicherheitskonzept.pdf)); D05 Netzwerk- und Systemarchitektur (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D05_Netzwerk_Systemarchitektur.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D05_Netzwerk_Systemarchitektur.pdf)); F09 Validierungsprotokoll Sicherheitsfunktion (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F09_Validierungsprotokoll.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F09_Validierungsprotokoll.pdf)); F10 Stückprüfprotokoll (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F10_Stueckpruefprotokoll.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F10_Stueckpruefprotokoll.pdf)); F14 Release-Freigabe Security (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F14_Release_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F14_Release_Freigabe.pdf)))
- Zulieferer und Bauteile: Bauteile und Software von Partnern bewerten, Pflichten vertraglich festhalten und eine Stückliste der Software (SBOM) für jede Version pflegen. (P-05, P-06; F02 Lieferanten- und Komponentenbewertung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F02_Lieferantenbewertung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F02_Lieferantenbewertung.pdf)); F03 Unterauftragsvereinbarung: Anhang CRA und MVO (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F03_Unterauftrag_Pflichtenanhang.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F03_Unterauftrag_Pflichtenanhang.pdf)); F04 SBOM-Freigabe (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F04_SBOM_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F04_SBOM_Freigabe.pdf)))
- Schwachstellen und Updates: Hinweise auf Lücken annehmen (Kontaktadresse, Richtlinie zur Offenlegung), bewerten, beheben und Updates kostenlos und sicher verteilen, solange der Unterstützungszeitraum läuft. (P-07, P-08, P-10, P-11; F05 Schwachstellenticket (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F05_Schwachstellenticket.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F05_Schwachstellenticket.pdf)); D14 Richtlinie zur koordinierten Offenlegung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D14_Richtlinie_Offenlegung_CVD.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D14_Richtlinie_Offenlegung_CVD.pdf)); F07 Sicherheitshinweis an Nutzer (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F07_Sicherheitshinweis.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F07_Sicherheitshinweis.pdf)); D15 Erklärung zum Unterstützungszeitraum (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D15_Unterstuetzungszeitraum.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D15_Unterstuetzungszeitraum.pdf)))
- Melden: Aktiv ausgenutzte Schwachstellen und schwere Vorfälle über die Meldeplattform melden: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht danach. Die Notfallkarte hängt am Arbeitsplatz. (P-09; D16 Notfallkarte: Meldung nach Art. 14 CRA (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D16_Notfallkarte_Meldung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D16_Notfallkarte_Meldung.pdf)); F06 Meldeprotokoll nach Art. 14 CRA (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F06_Meldeprotokoll_Art14.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F06_Meldeprotokoll_Art14.pdf)))
- Änderungen und Marktbeobachtung: Jede Änderung darauf prüfen, ob sie wesentlich ist, Rückmeldungen aus dem Feld auswerten und bei Bedarf Korrekturmaßnahmen einleiten und Behörden informieren. (P-12, P-13, P-17, P-18; F08 Änderungsantrag (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F08_Aenderungsantrag.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F08_Aenderungsantrag.pdf)); F13 Korrekturmaßnahme und Behördenkontakt (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F13_Korrekturmassnahme.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F13_Korrekturmassnahme.pdf)))
- Dokumentation, Anleitung, Schulung: Technische Dokumentation vollständig halten und lange genug aufbewahren, Anleitung und Nutzerinformationen aktuell halten, alle Beteiligten schulen und das festhalten. (P-15, P-16, P-19; D09 Technische Dokumentation: Inhaltsverzeichnis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D09_Technische_Dokumentation.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D09_Technische_Dokumentation.pdf)); D13 Nutzerinformationen nach CRA Anhang II (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D13_Nutzerinformationen_CRA.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D13_Nutzerinformationen_CRA.pdf)); F12 Schulungsnachweis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F12_Schulungsnachweis.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F12_Schulungsnachweis.pdf)))
## Was das Produkt können muss
Die Anforderungen aus Anhang I Teil I Nr. 2 CRA in einfachen Worten. Wie das Beispiel sie umsetzt, steht in D04 Steuerungs- und Sicherheitskonzept (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D04_Steuerungs_Sicherheitskonzept.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D04_Steuerungs_Sicherheitskonzept.pdf)); D05 Netzwerk- und Systemarchitektur (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D05_Netzwerk_Systemarchitektur.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D05_Netzwerk_Systemarchitektur.pdf)); D07 Cybersecurity-Risikobewertung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D07_Cybersecurity_Risikobewertung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D07_Cybersecurity_Risikobewertung.pdf)).

- a) Keine bekannten ausnutzbaren Schwachstellen bei der Auslieferung.
- b) Sichere Grundeinstellung ab Werk, mit der Möglichkeit, auf diesen Zustand zurückzusetzen.
- c) Sicherheitsupdates einspielbar, standardmäßig automatisch, mit der Möglichkeit, das abzuschalten.
- d) Schutz vor unbefugtem Zugriff: Anmeldung, Rollen, keine gemeinsamen Standardpasswörter.
- e) Vertraulichkeit gespeicherter und übertragener Daten, zum Beispiel durch Verschlüsselung.
- f) Schutz der Integrität von Daten, Befehlen, Programmen und Einstellungen vor Manipulation.
- g) Nur die Daten verarbeiten, die für den Zweck nötig sind.
- h) Grundfunktionen bleiben verfügbar, auch bei Angriffen oder Störungen der Verbindung.
- i) Das Gerät stört andere Geräte und Netze nicht.
- j) Möglichst wenige Angriffsflächen: nur nötige Schnittstellen und Dienste offen.
- k) Folgen eines Vorfalls begrenzen.
- l) Sicherheitsrelevante Ereignisse aufzeichnen und überwachen, mit Abschaltmöglichkeit für den Nutzer.
- m) Nutzer können alle Daten und Einstellungen sicher und dauerhaft löschen.Für Maschinen kommt dazu: Fernzugriff und angeschlossene Geräte dürfen keine gefährliche Situation auslösen, und Steuerungen müssen böswilligen Versuchen standhalten (MVO Anhang III Nr. 1.1.9 und 1.2.1). Im Beispiel wirken Temperaturbegrenzer, Ablaufsicherung, Sicherheitsventil und Löschung ohne Software und Netzwerk.

## Was steht wo

### Nutzerinformationen und Betriebsanleitung
CRA Anhang II, MVO Anhang III Nr. 1.7.4
Hersteller und Kontaktstelle für Schwachstellen, Zweck und Sicherheitseigenschaften, bekannte Risiken, Unterstützungszeitraum, sichere Inbetriebnahme, Updates, Abschalten automatischer Updates, sichere Außerbetriebnahme. Dazu die Maschinenanleitung mit Montage, Bedienung, Wartung und Restrisiken. Im Beispiel: D13 Nutzerinformationen nach CRA Anhang II (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D13_Nutzerinformationen_CRA.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D13_Nutzerinformationen_CRA.pdf)).

### Technische Dokumentation
CRA Anhang VII, MVO Anhang IV Teil A, ein gemeinsamer Satz nach Art. 31 Abs. 3 CRA
Beschreibung, Konstruktion, beide Risikobeurteilungen, Prozesse, Begründung des Unterstützungszeitraums, Normen, Prüfberichte, SBOM, Konformitätserklärung. Mindestens zehn Jahre aufbewahren, bei längerem Unterstützungszeitraum entsprechend länger. Im Beispiel: D09 Technische Dokumentation: Inhaltsverzeichnis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D09_Technische_Dokumentation.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D09_Technische_Dokumentation.pdf)); D10 Checkliste bis zum Inverkehrbringen (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D10_Checkliste_Inverkehrbringen.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D10_Checkliste_Inverkehrbringen.pdf)).

### EU-Konformitätserklärung
CRA Art. 28 und Anhang V, MVO Art. 21 und Anhang V
Eine einzige Erklärung für alle Rechtsakte, die für das Produkt gelten, mit Produkt, Hersteller, Rechtsakten, Normen mit Ausgabe und Unterschrift. Pflicht nach Art. 28 Abs. 1 CRA ist der Satz, dass die Erfüllung der Anforderungen aus Anhang I nachgewiesen wurde. Sie gilt für Geräte, die ab 11.12.2027 in Verkehr kommen. Dem Produkt liegt die Erklärung oder die vereinfachte Fassung nach Anhang VI bei. Im Beispiel: D11 EU-Konformitätserklärung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D11_EU_Konformitaetserklaerung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D11_EU_Konformitaetserklaerung.pdf)).

### Typenschild und CE-Kennzeichnung
CRA Art. 30, MVO Anhang III Nr. 1.7.3
Hersteller, Typ, Seriennummer, CE-Kennzeichen; dazu ein Hinweis, wo die Erklärung und die Nutzerinformationen zu finden sind. Im Beispiel: D12 Typenschild und Kennzeichnung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D12_Typenschild_Kennzeichnung.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D12_Typenschild_Kennzeichnung.pdf)).

### Auf Ihrer Webseite
CRA Anhang I Teil II Nr. 5 und 6, Art. 13 Abs. 19
Kontaktstelle und Richtlinie zur koordinierten Offenlegung (gern als security.txt), das Ende des Unterstützungszeitraums, die vollständige Konformitätserklärung und die Sicherheitshinweise mit Schwere und betroffenen Versionen. Im Beispiel: D14 Richtlinie zur koordinierten Offenlegung (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D14_Richtlinie_Offenlegung_CVD.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D14_Richtlinie_Offenlegung_CVD.pdf)); D15 Erklärung zum Unterstützungszeitraum (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/D15_Unterstuetzungszeitraum.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/D15_Unterstuetzungszeitraum.pdf)).

### Intern, als Nachweis
Art. 13, Art. 14, Anhang I Teil II CRA
Meldeprotokolle, Schwachstellentickets, SBOM- und Release-Freigaben, Änderungsanträge, Schulungen, Inbetriebnahmen. Im Beispiel: F04 SBOM-Freigabe (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F04_SBOM_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F04_SBOM_Freigabe.pdf)); F05 Schwachstellenticket (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F05_Schwachstellenticket.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F05_Schwachstellenticket.pdf)); F06 Meldeprotokoll nach Art. 14 CRA (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F06_Meldeprotokoll_Art14.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F06_Meldeprotokoll_Art14.pdf)); F08 Änderungsantrag (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F08_Aenderungsantrag.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F08_Aenderungsantrag.pdf)); F12 Schulungsnachweis (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F12_Schulungsnachweis.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F12_Schulungsnachweis.pdf)); F14 Release-Freigabe Security (Vorlage (/muster/cra-hackschnitzelheizung/vorlagen-leer/F14_Release_Freigabe.pdf), Beispiel (/muster/cra-hackschnitzelheizung/muster-ausgefuellt/F14_Release_Freigabe.pdf)).

## Erleichterungen für kleine Betriebe

- Kleinst- und Kleinunternehmen zahlen keine Geldbuße, wenn sie die Frühwarnung nach 24 Stunden verpassen. Die Meldepflicht selbst gilt (Art. 64 Abs. 10 Buchst. a CRA).
- Für die technische Dokumentation sieht der CRA ein vereinfachtes Formular für Kleinst- und Kleinunternehmen vor, das die Kommission festlegt (Art. 33 Abs. 5 CRA). Wer es nutzt, muss trotzdem alle Inhalte aus Anhang VII liefern.
- Die Mitgliedstaaten sollen kleine Unternehmen mit Information, Schulung und Anlaufstellen unterstützen (Art. 33 Abs. 1 CRA).
## Häufige Fehler

- „Der CRA gilt erst 2027“: Die Meldepflicht gilt seit 11.09.2026, auch für Geräte, die schon beim Kunden stehen.
- App und Cloud-Portal vergessen: Was das Gerät fernsteuert oder Daten verarbeitet, gehört zur Bewertung.
- Der Partner liefert, also ist er zuständig: Die Pflichten bleiben beim Hersteller. Verträge und Meldewege müssen das abdecken.
- Kein Unterstützungszeitraum festgelegt oder nicht veröffentlicht.
- Zwei getrennte Konformitätserklärungen statt einer gemeinsamen.
- Erklärung ohne den Satz zu Anhang I (Art. 28 Abs. 1 CRA) oder mit CRA-Bezug auch für Geräte, die vor dem 11.12.2027 in Verkehr kamen.
- Ein festes Supportende für alle Geräte: Wer spät kauft, bekommt weniger als fünf Jahre. Besser ein Zeitraum ab Übergabe jeder Einheit.
- Nicht jeden Punkt aus Anhang I Teil I einzeln bewertet: Art. 13 Abs. 3 verlangt zu a bis m, ob er gilt und wie er umgesetzt ist.
- Sicherheitsfunktionen hängen an der Software oder am Netzwerk. Im Muster wirken Temperaturbegrenzer und Ablaufsicherung ohne beides.
## Alles zum Herunterladen

- Verfahren als PDF: alle neun Schritte mit Links (/muster/cra-hackschnitzelheizung/verfahren/Verfahren_CRA_MVO_Hackschnitzelheizung.pdf)
- Alle leeren Vorlagen mit Ausfüllhilfe (ZIP) (/muster/cra-hackschnitzelheizung/downloads/vorlagen-leer.zip)
- Alle ausgefüllten Beispiele (ZIP) (/muster/cra-hackschnitzelheizung/downloads/muster-ausgefuellt.zip)
## Vor der Erklärung noch prüfen

- Verkündung des deutschen CRA-Durchführungsgesetzes und die zuständige Marktüberwachungsbehörde
- Gelistete harmonisierte Normen zum CRA und zu MVO Anhang III Nr. 1.1.9 (bis dahin Spezifikationen wie IEC 62443 begründet nutzen)
- Ziffernfolgen in MVO Anhang IV und V gegen das Amtsblatt
## Quellen

- Cyber Resilience Act, Verordnung (EU) 2024/2847 (https://eur-lex.europa.eu/eli/reg/2024/2847/oj)
- Maschinenverordnung, Verordnung (EU) 2023/1230 (https://eur-lex.europa.eu/eli/reg/2023/1230/oj)
- EU-Kommission: Cyber Resilience Act (https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act)
- EU-Kommission: CRA für Kleinst-, kleine und mittlere Unternehmen (https://digital-strategy.ec.europa.eu/en/policies/cra-msmes)
- BSI: Cyber Resilience Act (https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html)Kostenfreies Muster von OT-Cyber.de, keine Rechtsberatung. Alle Firmen, Personen und Daten im Beispiel sind fiktiv. Stand 06.11.2026. Hilfe bei der Umsetzung: CRA as a Service (/leistungen/cra-as-a-service/).
Zuletzt aktualisiert: 06.11.2026
Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164)
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F&text=CRA%20How-To%20f%C3%BCr%20Kleinbetriebe%3A%20Prozesse%2C%20Produkt%2C%20Dokumente)WhatsApp (https://wa.me/?text=CRA%20How-To%20f%C3%BCr%20Kleinbetriebe%3A%20Prozesse%2C%20Produkt%2C%20Dokumente%20https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F)E-Mail (mailto:?subject=CRA%20How-To%20f%C3%BCr%20Kleinbetriebe%3A%20Prozesse%2C%20Produkt%2C%20Dokumente&body=https%3A%2F%2Fot-cyber.de%2Fcra-how-to%2F)