Artikelübersicht zum CRA

Artikel 1 beschreibt, welche Regelungsbereiche der CRA umfasst: Produkte mit digitalen Elementen, Cybersicherheitsanforderungen, Verfahren zur Schwachstellenbehandlung und Marktüberwachung.

Artikel 2 knüpft an Produkte mit digitalen Elementen mit direkter oder indirekter Datenverbindung an und enthält mehrere sektorale Ausnahmen.

Artikel 3 liefert die Begriffe, die der CRA-Check verwendet. Wichtig sind Produkt mit digitalen Elementen, Datenfernverarbeitung, Rollen und wesentliche Änderung.

Artikel 6 verbindet die Bereitstellung von Produkten mit digitalen Elementen mit den grundlegenden Anforderungen aus Anhang I Teil I und den Herstellerverfahren aus Anhang I Teil II.

Artikel 7 verknüpft wichtige Produkte mit den Kernfunktionen der Kategorien aus Anhang III. Die bloße Integration einer solchen Komponente reicht für sich genommen nicht aus.

Artikel 8 betrifft Produkte mit Kernfunktionen aus Anhang IV. Eine Zertifikatspflicht kann über delegierte Rechtsakte festgelegt werden.

Artikel 13 ist der zentrale Herstellerartikel. Er verbindet Produktgestaltung, Risikobewertung und weitere Herstellerpflichten mit Anhang I.

Artikel 14 gilt ab 11.09.2026. Belegt sind 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussberichte über die einheitliche Meldeplattform.

Artikel 19 betrifft Einführer. Belegt sind unter anderem das Inverkehrbringen nur konformer Produkte, Prüfpflichten und Mitwirkung bei Risiken.

Artikel 20 betrifft Händler. Sie müssen mit gebührender Sorgfalt handeln und bestimmte Prüfungen vor der Bereitstellung vornehmen.

Artikel 24 betrifft Verwalter quelloffener Software. Belegt sind eine dokumentierte Cybersicherheitsstrategie, Kooperation mit Marktüberwachung und eingeschränkte Art.-14-Bezüge.

Artikel 32 beschreibt, wie Konformität mit Anhang I nachgewiesen wird. Für wichtige Produkte hängen die Wege von Klasse I oder Klasse II und den angewandten Standards/Zertifikaten ab.

Anhang I ist die zentrale Anforderungsliste. Teil I betrifft Produkteigenschaften, Teil II die Behandlung von Schwachstellen einschließlich SBOM.

Anhang III enthält die wichtigen Produkte. Die geprüften Daten enthalten 19 Klasse-I-Kategorien und 4 Klasse-II-Kategorien.

Anhang IV enthält kritische Produkte. Die geprüften Daten enthalten drei Kategorien: Sicherheitsboxen, Smart-Meter-Gateways/fortgeschrittene Sicherheitsgeräte und Chipkarten/ähnliche Geräte einschließlich Sicherheitselemente.