11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14). Gilt bereits.
11. Dezember 2027: alles Übrige, also grundlegende Anforderungen, SBOM, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Supportzeitraum (Art. 71 Abs. 2).
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den vollen Anforderungen nicht, sofern sie nach diesem Datum nicht wesentlich verändert werden. Die Ausnahme ist Artikel 14: Art. 69 Abs. 3 erstreckt die Meldepflicht auf Produkte, die vor dem Geltungsbeginn in Verkehr gebracht wurden. Ein Bestandsprodukt ist also von den Unterlagen befreit, nicht aber von der Meldung.
„“ ist der Begriff, auf den es ankommt. Eine Hauptversion, die den Verwendungszweck des Produkts ändert oder die Einhaltung der grundlegenden Anforderungen berührt, kann ein altes Produkt in das volle Regime ziehen.
Ab Dezember 2027 braucht jedes Produkt einen festgelegten Supportzeitraum, in dem Schwachstellen wirksam behandelt werden. Er muss mindestens fünf Jahre betragen oder der erwarteten Nutzungsdauer entsprechen, wenn diese kürzer ist (Art. 13 Abs. 8); die Begründung gehört in die technische Dokumentation (Anhang VII Nr. 4).
Technische Dokumentation und EU-Konformitätserklärung müssen den Behörden mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Supportzeitraums zur Verfügung stehen, je nachdem, welcher Zeitraum länger ist (Art. 13 Abs. 13).
Drei Stufen nach Art. 64: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes für die grundlegenden Anforderungen und die Pflichten aus den Artikeln 13 und 14; bis zu 10 Millionen Euro oder 2 Prozent für sonstige Pflichten; bis zu 5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Die konkreten Sanktionen legen die Mitgliedstaaten fest und setzen sie durch, unter Berücksichtigung der Größe von Kleinstunternehmen, KMU und Start-ups.
Zum Zeitpunkt dieses Textes hat keine Änderung eines der beiden Daten verschoben. Die Vereinfachungsinitiativen der EU haben über Straffungen diskutiert, den Zeitplan des CRA aber nicht geändert. Planen Sie mit den Daten, wie sie stehen.
Zwei kostenlose Werkzeuge, die das auf Ihren Fall anwenden: die Anwendbarkeitsprüfung in zwei Minuten (gilt der CRA für Sie, mit den Fundstellen) und der SBOM-Generator (CycloneDX + SPDX aus Ihrer Manifestdatei, signiert; englischsprachig). Für keines brauchen Sie ein Konto.
Quellen, ausschließlich Primärquellen: Verordnung (EU) 2024/2847 (EUR-Lex) · Europäische Kommission, CRA-Überblick · Europäische Kommission, CRA-Meldepflichten · ENISA, Single Reporting Platform. Keine Rechtsberatung; maßgeblich ist der Verordnungstext.