Welche Fristen und Termine gelten für den Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) gilt in vier Stufen. Die Verordnung trat am 10. Dezember 2024 in Kraft, die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026 und die vollständige Verordnung ab dem 11. Dezember 2027.
Wichtigste Punkte
- Alle vier Termine stehen in Artikel 71 der Verordnung (EU) 2024/2847.
- Die Vorschriften zu benannten Stellen gelten seit dem 11. Juni 2026, also vor den Meldepflichten.
- Der 11. September 2026 löst die Meldefristen von 24 Stunden, 72 Stunden und 14 Tagen aus.
- Die CE-Kennzeichnung wird erst mit der vollständigen Anwendung am 11. Dezember 2027 verlangt.
Die vier Termine im Überblick
| Meilenstein | Datum | Rechtsgrundlage |
|---|---|---|
| Verordnung in Kraft getreten | 10. Dezember 2024 | Artikel 71(1) |
| Vorschriften zu benannten Stellen gelten (Kapitel IV) | 11. Juni 2026 | Artikel 71(2) |
| Meldung von Schwachstellen und Vorfällen nach Artikel 14 gilt | 11. September 2026 | Artikel 71(2) |
| Vollständige Verordnung gilt, einschließlich CE-Kennzeichnung | 11. Dezember 2027 | Artikel 71(2) |
Der öffentliche Datensatz
CVD Portal führt einen öffentlichen Datensatz zu regulatorischen Ereignissen rund um den Cyber Resilience Act. Der Datensatz erfasst Durchsetzungstermine, Leitlinien, Meilensteine der zentralen Meldeplattform von ENISA und die Benennung nationaler Behörden.
Die Einträge selbst sind auf Englisch verfasst, weil sie amtliche Titel und Quellenangaben wortgleich wiedergeben. Die vollständige Tabelle mit Filtern nach Land, Kategorie und Jahr steht auf der englischen Seite.
Methodik
Jeder Eintrag nennt eine amtliche Quelle. Aufgenommen wird ein Ereignis erst, wenn es aus einer Veröffentlichung der Europäischen Union, einer nationalen Behörde oder einer europäischen Normungsorganisation hervorgeht.
Titel und Quellenangaben werden wortgleich übernommen. Artikelnummern, Anhangnummern, CELEX-Kennungen und EUR-Lex-Adressen werden nicht übersetzt und nicht umformatiert, weil eine übersetzte Fundstelle nicht mehr prüfbar ist.
Der Datensatz steht unter der Lizenz CC BY 4.0. Wer ihn weiterverwendet, nennt CVD Portal als Quelle.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex CELEX:32024R2847
- Was ist der Cyber Resilience Act (CRA)?
- Was bis zum 11. September 2026 nachzuweisen ist
- This page in English
Zuletzt aktualisiert am 26. August 2026
Fristen im Blick behalten
CVD Portal verfolgt die Meldefristen nach Artikel 14 mit festen Zeitgebern und deckt den Weg von der Produktklassifizierung über Anhang I und die EU-Konformitätserklärung bis zur Meldung ab.
Kostenlos starten