GRC Automation Blueprint

CRA -Wegweiser - Assistent zur Konformitätserklärung

Falls Sie beim Arbeiten mit dem Assistenten begleitet werden wollen, nehmen Sie bitte Kontakt mit uns auf

CRA-Wegweiser für Schweizer Exporteure

Worum geht es?

Der Cyber Resilience Act (CRA, VO (EU) 2024/2847) stellt erstmals horizontale Cybersicherheitsanforderungen an "Produkte mit digitalen Elementen" — von einfacher IoT-Hardware bis zu komplexer Software. Für Schweizer Hersteller, die solche Produkte in der EU in Verkehr bringen, ergeben sich neue Pflichten: die Einstufung in eine Risikoklasse (Standard, Wichtig Klasse I/II, Kritisch), die Führung einer maschinenlesbaren Software Bill of Materials (SBOM), ein aktiver Schwachstellenmeldeprozess mit sehr engen Fristen — und bei fehlender EU-Niederlassung die Pflicht zur Bestellung eines Bevollmächtigten.

Besonders wichtig: Ein Teil der Verordnung — die Meldepflichten nach Art. 14 — gilt bereits deutlich vor der vollen Anwendbarkeit der übrigen Vorschriften. Dieses Werkzeug führt Sie durch Einstufung, EU-Person-Klärung, die konkrete Fristenkaskade im Ernstfall, eine SBOM-Grundcheckliste und die massgeblichen Stichtage.

11.9.26

Meldepflichten ab

11.12.27

Volle Anwendbarkeit

24h

Frühwarnung

Risikoklassen

Wichtig: Der Bevollmächtigte nach CRA wird in Art. 18 geregelt (nicht Art. 22, wie gelegentlich fälschlich zitiert — Art. 22 betrifft andere Fälle, in denen Herstellerpflichten greifen). Für Hersteller ohne EU-Niederlassung ist ein Bevollmächtigter in der Praxis erforderlich, da bestimmte CRA-Pflichten (u. a. Melde- und Kontaktstelle) einen in der EU erreichbaren Ansprechpartner voraussetzen. Die Kernpflichten aus Art. 13 (Konformitätsbewertung, technische Dokumentation) verbleiben davon unabhängig stets beim Hersteller.

Risikoklassen-Einstufung & Modul-Bestimmung

Die Einstufung entscheidet über das anwendbare Konformitätsbewertungsverfahren. Erfassen Sie hier Ihre Produkte.

Produktbezeichnung / Modell

In Anhang IV gelistet (Kritisch)?

In Anhang III Klasse II gelistet?

In Anhang III Klasse I gelistet?

Harmonisierte Normen vollständig anwendbar?

Erfasste Produkte

Bezeichnung	Risikoklasse	Dritt-Prüfung zwingend?	Empfohlenes Modul

EU-Person-Check: Wer nimmt Meldungen entgegen und trägt EU-Pflichten?

1. Haben Sie eine eigene Niederlassung in der EU?

EU-Person-Tracker

Ein Eintrag pro Produkt/Produktlinie bzw. pro vertraglicher Vereinbarung.

Rolle

Status

Name / Organisation

Mandats-/Vertragsdatum

Notizen

Rolle	Status	Name / Organisation	Datum	Notizen

Meldefristen-Simulator (Art. 14)

Geben Sie den Zeitpunkt der Kenntnisnahme ein, um die konkreten Meldefristen zu berechnen. Gilt für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle — anwendbar seit 11. September 2026.

Ereignistyp

Datum der Kenntnisnahme

Uhrzeit der Kenntnisnahme

SBOM-Checkliste (Art. 13)

Grundlegende Bausteine einer CRA-konformen Software Bill of Materials und des Schwachstellenmanagements.

Fristen-Tracker

Die wichtigsten bereits geltenden bzw. bekannten künftigen Termine im Überblick (Rechtsstand siehe Fusszeile).

11. September 2026

Meldepflichten anwendbar (Art. 14)

Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle an ENISA und die zuständige CSIRT-Koordinierungsstelle gilt bereits ab diesem Datum — deutlich vor der vollen Anwendbarkeit der übrigen Verordnung.

11. Dezember 2027

Volle Anwendbarkeit der Verordnung

Ab diesem Datum gelten die übrigen Vorschriften vollständig, einschliesslich Konformitätsbewertung, CE-Kennzeichnung und Bussgeldregelungen. Produkte, die bereits vor diesem Datum in Verkehr gebracht wurden, unterliegen grundsätzlich weiterhin ohne rückwirkende Nachzertifizierungspflicht, sofern keine wesentliche Änderung erfolgt.

Glossar

Produkt mit digitalen Elementen

Jedes Software- oder Hardwareprodukt mit direkter oder indirekter logischer oder physischer Datenverbindung zu einem Gerät oder Netzwerk — der zentrale Anwendungsbereich des CRA.

Bevollmächtigter (Authorised Representative)

Jede in der EU niedergelassene natürliche oder juristische Person, die von einem Hersteller schriftlich mandatiert wurde, bestimmte Aufgaben in dessen Namen wahrzunehmen (Art. 18). Die Kernpflichten aus Art. 13 (Konformitätsbewertung, technische Dokumentation) verbleiben beim Hersteller.

Risikoklassen (Standard / Wichtig I / Wichtig II / Kritisch)

Vierstufige Einteilung nach Anhang III (Wichtig Klasse I/II) und Anhang IV (Kritisch). Je höher die Klasse, desto eher ist eine Beteiligung einer notifizierten Stelle an der Konformitätsbewertung zwingend.

Software Bill of Materials (SBOM)

Maschinenlesbares Verzeichnis der in einem Produkt enthaltenen Softwarekomponenten und ihrer Abhängigkeiten (Art. 13), Grundlage für systematisches Schwachstellenmanagement.

Aktiv ausgenutzte Schwachstelle

Eine Schwachstelle, für die belastbare Hinweise auf tatsächliche Ausnutzung vorliegen (nicht nur eine theoretische Sicherheitslücke) — löst die 24h/72h/14-Tage-Meldekaskade nach Art. 14 aus.

Schwerwiegender Sicherheitsvorfall

Ein Ereignis mit tatsächlicher negativer Auswirkung auf die Sicherheit eines Produkts (z. B. Kompromittierung der Update-Verteilkette) — löst dieselbe 24h/72h-Meldekaskade aus, mit einem Abschlussbericht innerhalb eines Monats nach der 72h-Meldung statt der 14-Tage-Frist für Schwachstellen.

Single Reporting Platform (SRP)

Die von ENISA bereitgestellte zentrale Meldeplattform, über die die Meldungen nach Art. 14 gleichzeitig an ENISA und die zuständige CSIRT-Koordinierungsstelle übermittelt werden.

Dashboard

Report als PDF

Fassen Sie Ihre erfassten Daten (Einstufungen, EU-Person-Status, SBOM-Checkliste) in einem PDF zusammen — kostenlos, nach kurzer Kontaktangabe.

Rechtlicher Hinweis

Dieses Werkzeug dient ausschliesslich der unverbindlichen, strukturierten Orientierung für Schweizer Unternehmen im Zusammenhang mit dem Cyber Resilience Act (VO (EU) 2024/2847). Es begründet kein Beratungsverhältnis und stellt keine Rechtsberatung dar.

Für die Vollständigkeit, Aktualität oder Richtigkeit der dargestellten Einstufungs-, Fristen- und Verfahrensangaben wird keine Gewähr übernommen. Die verbindliche Einstufung eines konkreten Produkts in Anhang III/IV erfordert stets eine Einzelfallprüfung anhand des vollständigen Verordnungstexts; der Meldefristen-Simulator ersetzt keine rechtliche Prüfung im konkreten Vorfall.

Die Haftung von Dr. Helmut Steigele und der Pasi & Partners AG ist, soweit gesetzlich zulässig, auf Vorsatz und grobe Fahrlässigkeit beschränkt (Art. 100 OR). Es gilt schweizerisches Recht; Gerichtsstand ist Zürich.

Für eine verbindliche Einschätzung Ihrer konkreten Situation empfehlen wir die Konsultation einer auf EU-Produktrecht und Cybersicherheit spezialisierten Fachperson oder direkten Kontakt über das Formular im Dashboard.