24.04.2026
Verordnung (EU) 2024/2847 · Cyber Resilience Act
crAIready — Ihr Weg durch den EU Cyber Resilience Act.
Von Jurist:innen & IT-Expert:innen entwickelt — für Ihre CRA-Compliance.
Unverbindliche Ersteinschätzung, keine Rechtsberatung i. S. d. RDG.
Ihre Daten bleiben in der Schweiz. Punkt.
Hosting in Thayngen (CH)
Single-Tenant je Kunde
KI im Standard lokal
kein Cloudflare / US-CDN
11.09.2026
Ab diesem Datum gilt die 24-h-Meldepflicht für aktiv ausgenutzte Schwachstellen (Art. 14 CRA).
11.12.2027
Ab diesem Datum darf kein Produkt mit digitalen Elementen ohne CE-Kennzeichnung in Verkehr gebracht werden (Art. 6, 30 CRA).
€15 Mio
Bussgelder: für Verstösse gegen die Meldepflichten ab 11.09.2026, im Übrigen ab 11.12.2027 — bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes (Art. 64 Abs. 2 CRA).
bis 30.000 €
Maximaler Zuschuss pro KMU über EU-, Bundes- und Länderprogramme zur CRA-Compliance.
Betroffenheit
Wer fällt typischerweise unter den CRA?
Der CRA gilt für Produkte mit digitalen Elementen — Software und vernetzte Hardware, die in der EU bereitgestellt werden. Drei grobe Gruppen:
Software-Hersteller
Desktop-, Web- oder Mobile-Anwendungen, Agents, Plugins, APIs/SDKs, die in EU-Produkte einfließen.
Hardware mit Software
Embedded-/IoT-Geräte, Steuerungen, Sensorik — Hardware, die Software ausführt und Daten- oder Netzwerkverbindungen herstellt.
Importeure, Händler & OSS-Verwalter
Wer CRA-Produkte in der EU in Verkehr bringt oder bereitstellt (Art. 18–21), sowie Verwalter quelloffener Software mit kommerziellem Bezug (Art. 3 Nr. 14).
Reine Cloud-/Browser-SaaS ohne lokale Komponente fällt meist nicht direkt unter den CRA — die Abgrenzung klärt der kostenlose Quick-Check. Keine Rechtsberatung i. S. d. RDG.
- Grenzfall 1 — SaaS mit Desktop-/Agent-Komponente
SaaS mit Desktop-/Agent-Komponente: Reine Cloud-SaaS fällt meist nicht unter den CRA — sobald aber eine Desktop-App, ein Agent oder ein Browser-Plugin dazukommt, kann Ihr Backend über die RDPS-Definition erfasst sein. SaaS & CRA: die RDPS-Abgrenzung
- Grenzfall 2 — Rolling Release / Continuous Deployment
Rolling Release / Continuous Deployment: Nicht jeder Commit löst CRA-Pflichten aus — entscheidend ist die ‚wesentliche Änderung' (Art. 3 Nr. 30); reine Sicherheitsupdates zählen nicht dazu. Rolling Release & CRA: wesentliche Änderung
- Grenzfall 3 — Bundle & Open Source
Bundle & Open Source: Wer ein Bundle unter eigenem Namen in Verkehr bringt, haftet für das Gesamtprodukt inkl. Komponenten — die Sorgfaltspflicht ist aber abgestuft (Art. 13 Abs. 5–8). Bundle & Open Source: Komponenten & Verantwortung
Klingt das vertraut?
Sie kennen die Verordnung. Sie wissen, dass die Uhr läuft. Aber wer setzt das jetzt um?
Genau hier stehen die meisten KMU heute — irgendwo zwischen „Wir kümmern uns nächstes Quartal" und „Mein Entwicklungsteam hat keine Zeit für Compliance".
- Keine SBOM, keine CE-Kennzeichnung. Eine Software-Stückliste in CycloneDX 1.6 (ECMA-424) oder SPDX 3.0.1 ist Pflicht — und Voraussetzung für nahezu jede weitere Compliance-Anforderung.
- Niemand weiss, ob Sie überhaupt CRA-pflichtig sind. Cloud-only? Mit Desktop-Komponente? Die Abgrenzung über Art. 3 Nr. 2 ist nicht trivial — und „nur SaaS" reicht nicht als Antwort.
- Sie haben keinen Vulnerability-Disclosure-Prozess. Ab 11. September 2026 läuft die 24-Stunden-Meldepflicht ab dem Moment, in dem ein Mitarbeiter Kenntnis hat. Bussgelder greifen für Verstösse gegen diese Meldepflichten ab 11.09.2026, im Übrigen ab 11.12.2027 (Art. 64 CRA). Kleinst- und Kleinunternehmen sind für die 24-h-Frühwarnung nach Art. 64 Abs. 10 lit. a CRA von Bussgeldern ausgenommen — die Pflicht selbst gilt für alle.
- Externer Beratungsaufwand bindet Budget. Die IW-Köln-Studie zu CRA, NIS-2 und KI-Verordnung schätzt für mittelständische Hersteller Erstimplementierungskosten zwischen 50.000 und 200.000 €. In vergleichbaren Projekten sehen wir typische Bandbreiten von 30 bis 80 k € für Gap-Analyse plus externes Audit, 90 bis 180 PT für die operative Umsetzung — abhängig von Produktkomplexität und Reifegrad (unverbindliche Orientierung).
- Die Dokumentation ist nicht auditfertig. Anhang VII CRA verlangt eine technische Dokumentation, die direkt auf Artikel und Anhänge der Verordnung referenziert. Word-Dokumente reichen nicht.
- Niemand weiss, was bei einem Vorfall passieren muss. 24h Frühwarnung → 72h Detailmeldung → 14 Tage Abschlussbericht. Drei Formulare, zwei Behörden, eine Lieferkette zum Informieren.
Was Sie davon haben
Sie behalten Ihren Fokus auf Ihrem Produkt. Wir liefern alles, was die EU zum CRA verlangt.
Klare Klassifizierung statt wochenlanger Unsicherheit
Ein KI-gestützter Onboarding-Wizard sagt Ihnen heute, ob Ihr Produkt CRA-pflichtig ist, in welche Klasse es gehört und welches Konformitätsverfahren passt — entlang Anhang III/IV CRA und DVO (EU) 2025/2392.
Auditfertige SBOM aus Ihrem Code
CycloneDX 1.6 (ECMA-424) und SPDX (3.0.1 in Vorbereitung) automatisch bei jeder neuen Produktversion aus Ihren Repositories — orientiert an BSI TR-03183 Teil 2 (v2.0.0, 09/2024), SBOM-Historie während der Vertragslaufzeit; Export für Ihre 10-jährige Aufbewahrungspflicht (Art. 13 Abs. 13 CRA).
Schwachstellen früh im Blick
Täglicher Abgleich gegen NVD, OSV, GitHub Advisory, CISA KEV. KI-priorisierte Alerts mit CVSS + EPSS — bevor die 24-h-Uhr beginnt.
EU-Konformitätserklärung als Entwurf
Anhang VII CRA, Anhang V CRA, CE-Vorbereitung — die Plattform schreibt die Entwürfe automatisiert aus Ihren Daten. Vom Hersteller zu prüfen und zu unterzeichnen (Art. 28 CRA).
Geführter 24h-Meldeworkflow
3-Stufen-Workflow, der eine vorbereitete CSAF-Meldung zur Einreichung erstellt — die Übermittlung an BSI (DE), CERT.at (AT) oder CERT-CH (CH) nehmen Sie selbst über das offizielle CSIRT-Portal vor. Fristtracking, Audit-Log, automatische Eskalation.
Ihr Code verlässt nie Ihre Infrastruktur
On-Premise-Modus für Codeanalyse und SBOM-Generierung. Keine Uploads, keine Drittanbieter-Cloud. Source ist Ihr wertvollstes Gut — bei uns bleibt das so.
So funktioniert's
In drei Schritten von der Frage zur CRA-Konformität.
1 · Kostenlos klassifizieren
Der Quick-Check sagt Ihnen in wenigen Minuten, ob und wie der CRA Ihr Produkt betrifft. Unverbindlich, ohne Anmeldung.
2 · Alles sehen
Nach der Registrierung starten Sie mit dem CRA-Quick-Check und erhalten sofort Klassifizierung und Pflichtenprofil für Ihr Produkt. Sobald Ihre Testphase/Ihr Abo aktiv ist und Sie Ihren Quellcode (Git/ZIP) verknüpfen, sehen Sie die ganze Plattform inkl. SBOM und Schwachstellen-Tracking.
3 · Freischalten, was Sie brauchen
Sie wählen den Plan, der zu Ihrem Produkt-Portfolio passt — und schalten genau die Nachweis-Erzeugung und den Betrieb frei, die Sie benötigen.
Ihr Einstieg
CRA Quick Assessment — Festpreis, kein Beratungsverhältnis.
In 5–7 Werktagen erhalten Sie einen belastbaren Bericht: wo Sie heute stehen, welche Lücken kritisch sind, welche Top-10-Massnahmen Sie zuerst angehen sollten — gegen Ihre konkreten Produkte und Ihre konkrete Lieferkette.
In drei Schritten
- Kick-off-Gespräch (60 Min.) — wir lernen Ihr Produkt-Portfolio kennen.
- Strukturierte Analyse über die Plattform — Klassifizierung, SBOM-Stichprobe, Pflichten-Mapping.
- Bericht (max. 20 Seiten) inkl. priorisiertem Massnahmen-Backlog.
Was Sie bekommen
- Klassifizierung Ihrer Produkte (Anhang III/IV CRA)
- Konkretes Konformitätsbewertungsverfahren
- Top-10-Massnahmen mit Aufwandsschätzung
- 30-Min-Abschlussgespräch mit Q&A
Quick Assessment buchen — 4.500 € →
Festpreis netto · zzgl. MwSt. · i. d. R. online; ein Vor-Ort-Termin ist nur nach Verfügbarkeit und gegen Aufpreis möglich. Förderfähig u. a. über Digitalbonus Bayern Plus, BAFA.
So sieht das bei Ihnen aus
crAIready ist für CRA-pflichtige KMU gemacht — vom SaaS-Anbieter mit Desktop-Komponente über Embedded-/IoT-Hersteller bis zum Komponenten-Geschäft. Drei typische Wege durch den CRA:
Für CRA-pflichtige KMU gemacht
crAIready unterstützt insbesondere kleine und mittlere Unternehmen dabei, die Anforderungen des Cyber Resilience Act sicher und nachvollziehbar zu erfüllen — vom ersten Klassifizierungs-Check bis zu auditfähigen Nachweisen. Für IoT- und Embedded-Produkte entwickeln wir derzeit eine passgenaue Erweiterung. Sind Sie in diesem Bereich tätig? Schreiben Sie uns über unser Kontaktformular — wir begleiten Sie schon heute und richten die Lösung an Ihrem Bedarf aus.
Selbst machen vs. mit crAIready
Was kostet Sie eigentlich der Status quo?
Realität
Selbst aufbauen
Mit crAIready
CRA-Klassifizierung Ihres Produkts
Wochenlange Eigenrecherche durch den Paragraphen-Dschungel aus Verordnung, Anhängen und Durchführungsrechtsakten
Geführter Wizard, in wenigen Minuten
SBOM-Generierung & Pflege
Manuell, Excel, ständig veraltet
Automatisch aus Ihrem Code, täglich
Schwachstellen-Monitoring
Manuelle CVE-Sichtung ohne automatisches Matching auf SBOM-Komponenten
NVD + OSV + GitHub Advisory + CISA KEV, KI-priorisiert
Technische Dokumentation Anhang VII CRA
Word-Vorlage, 80 Seiten, manuell pflegen, schnell veraltet
KI-generiert, Artikel-referenziert, auditfertig
Vorfallmeldung an ENISA / BSI
Excel-Template, 24h-Stress, Risiko
3-Stufen-Workflow, vorbereitete CSAF-Meldung (Einreichung durch Sie)
Personentage bis Audit-Reife (typ. KMU, unverbindliche Orientierung)
70 – 160 PT
5 – 15 PT — Teile davon oft förderfähig (programmspezifisch, meist bis 50 %)
Wir machen aus Wochen Tage — und Sie behalten die Kontrolle
Belegquellen zur Größenordnung des CRA-Aufwands: EU-Kommission, Folgenabschätzung zum CRA (SWD(2022) 282, 2022) — Compliance-Kosten der Hersteller in zweistelliger Milliardenhöhe EU-weit; IW Köln / Mittelstand-Digital „Auswirkungen auf KMU" (2025) — erhebliche Belastung für KMU. Die ausgewiesenen Personentage sind eine unverbindliche Schätzung auf Basis eigener Projekterfahrung (Referenz: 1 Produkt, mittlerer Reifegrad, Standard-Selbstbewertung) und stammen nicht aus diesen Studien. Sources: cep - Cyber Resilience Act PolicyBrief (COM(2022) 454) IW Köln - Auswirkungen auf KMU EU-Kommission - Cyber Resilience Act siehe auch Was kostet Sie eigentlich der Status quo?
Wofür wir stehen
Sie kaufen keine Black Box. Sie kaufen Nachvollziehbarkeit.
Verordnungstreue Substanz
Jede Funktion ist direkt auf Artikel und Anhänge der Verordnung (EU) 2024/2847 zurückführbar. Keine vagen „Best Practices" — sondern Verordnungstext mit Spalten-Verweis.
KI mit Augenmass
Unsere KI generiert Entwürfe, klassifiziert Produkte und priorisiert Schwachstellen. Aber kritische Entscheidungen treffen Sie. Wir streben ISO/IEC 42001 an und entwickeln die Plattform selbst AI-Act-konform (Art. 9–11, 14, 15 AI Act).
Wir leben, was wir predigen
Als Cybersecurity-Unternehmen leben wir die Standards, die wir empfehlen. Für ISO/IEC 27001 (Informationssicherheit) und ISO/IEC 27701 (Datenschutz-Managementsystem) befinden wir uns im Zertifizierungsverfahren; die Zertifizierung ist für Q4 2026 geplant. ISO/IEC 42001 (KI-Managementsystem) bereiten wir vor. Unsere eigene Einordnung unter die NIS-2-Richtlinie (Anhang I Nr. 8 — Anbieter verwalteter Sicherheitsdienste) prüfen wir laufend.
Förderung
Förderung möglich — oft bis zu 50 % der Investition.
Förderquoten sind programmspezifisch und liegen meist bei bis zu 50 %. Direkt CRA-bezogen ist v. a. das EU-Programm SECURE4SME (50 % Kofinanzierung, nächster Call angekündigt); daneben kommen je nach Region weitere Digitalisierungsprogramme in Frage (z. B. Digitalbonus der Länder). Ohne Gewähr — aktueller Stand und Details unter Förderprogramme.
Wissen rund um den CRA
Wir nehmen den Verordnungstext ernst — und schreiben darüber.
Hintergrundartikel zu RDPS-Abgrenzung, SBOM-Praxis, AI-Act-Schnittstelle, Meldepflichten und Hochrisiko-KI. Geschrieben für Entscheider, die wissen wollen, was wirklich gilt.
In wenigen Minuten wissen Sie, was der CRA für Ihr Produkt bedeutet.
Kostenlose Ersteinschätzung: Der Quick-Check zeigt Ihnen, ob und wie der CRA Ihr Produkt betreffen könnte.
Unverbindliche Orientierung, keine Rechtsberatung im Sinne des RDG.