Cyber Resilience Act

CRA-Betroffenheits-Check

In wenigen Minuten zu einer schematischen Ersteinschätzung: Fällt Ihr Produkt in den Anwendungsbereich des Cyber Resilience Act, in welche Produktklasse dürfte es fallen und wo liegen Ihre dringlichsten Handlungsfelder? Die Auswertung läuft vollständig in Ihrem Browser.

7 Fragen, die Auswertung läuft in Ihrem Browser. Ihre einzelnen Antworten verlassen den Browser erst, wenn Sie die Auswertung per E-Mail anfordern. Unsere cookielose Statistik (Matomo) erfasst nur, dass der Check gestartet wurde, welche Fragennummern angezeigt wurden und dass die Auswertung erreicht wurde, jeweils mit der Sprache, ob er nach der Frage zur Rolle oder zum Produkt vorzeitig endete und, wenn Sie die Auswertung per E-Mail anfordern, deren Ampelstufe.

Ablauf des CRA-Betroffenheits-Checks: sieben Fragen in drei Stufen, die Auswertung läuft im Browser, Einzelantworten werden nur übermittelt, wenn die Auswertung per E-Mail angefordert wird. Stufe 1 Anwendungsbereich: Rolle als Hersteller, Einführer oder Händler, und ob das Produkt Software oder eine Datenverbindung enthält. Stufe 2 Einordnung: wozu das Produkt hauptsächlich dient, mit den möglichen Einordnungen Standard, wichtig Klasse I, wichtig Klasse II, kritisch oder offen nach Anhang III und IV. Stufe 3 Dringlichkeit: Anteil Fremd- und Open-Source-Code, was es schon gibt (SBOM, Schwachstellenprozess, Updates, Security by Design), Unternehmensgröße und nächster Marktzugang oder größeres Update. Ausstiege nach Stufe 1: Trifft keine der drei Rollen zu, treffen die Herstellerpflichten grundsätzlich nicht unmittelbar; eigene Pflichten können dennoch bestehen, etwa als Bevollmächtigter (Art. 18) oder Verwalter quelloffener Software (Art. 24), und über die Lieferkette ist eine mittelbare Betroffenheit möglich. Ohne Software und ohne Datenverbindung fällt das Produkt schematisch nicht unter den CRA (Art. 2 Abs. 1). Ergebnis: schematische Ersteinschätzung mit typischer Einordnung, Dringlichkeit als Ampel, den drei größten Handlungsfeldern und den Fristen (Meldepflicht seit 11.09.2026, volle Anforderungen ab 11.12.2027). Fußzeile: allgemeine, schematische Einordnung, keine Rechtsberatung im Einzelfall. — So arbeitet der Check: Anwendungsbereich, Einordnung, Dringlichkeit, dann Ihre schematische Ersteinschätzung.

Hinweis: Dieser Check richtet sich ausschließlich an Unternehmerinnen und Unternehmer (§ 14 BGB). Er liefert eine allgemeine, schematische Ersteinschätzung anhand Ihrer Angaben und stellt keine Rechtsberatung im Einzelfall dar (§ 2 RDG).