/cra-anwendungsbereich

name: cra-anwendungsbereich
description: "Prüfung, ob ein Produkt in den Anwendungsbereich des Cyber Resilience Act fällt – Produkt mit digitalen Elementen (Art. 3 CRA), Bereichsausnahmen nach Art. 2 CRA (Medizinprodukte, Kraftfahrzeuge, Luftfahrt, Schiffsausrüstung, Verteidigung), Rollenbestimmung als Hersteller, Einführer oder Händler, Verwalter quelloffener Software nach Art. 24 CRA sowie Einstufung als wichtiges Produkt nach Anhang III oder kritisches Produkt nach Anhang IV. Use when ein Unternehmen sein Produktportfolio gegen die VO (EU) 2024/2847 abgleichen, ein CRA-Produktinventar aufbauen oder vor dem 11.09.2026 klären muss, welche Produkte und welche Rolle die Melde- und Herstellerpflichten auslösen."
language: de
provider_variants: [claude, gemini, openai]
test: ./test.md

/cyber-resilience-act:cra-anwendungsbereich

Zweck

Der Cyber Resilience Act ([VO (EU) 2024/2847](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847)) erfasst horizontal alle **Produkte mit digitalen Elementen**, die auf dem Unionsmarkt bereitgestellt werden. Ob ein Produkt erfasst ist, welche Rolle der Mandant einnimmt und in welche Wichtigkeitsklasse das Produkt fällt, entscheidet über das gesamte Pflichtenprogramm — von der Meldepflicht ab dem 11.09.2026 bis zum Konformitätsbewertungsweg ab dem 11.12.2027. Dieser Skill führt die Eingangsprüfung durch und liefert das CRA-Produktinventar.

> **⚠️ Aktualität (Stand 2026-07):** Die Verordnung ist am **10.12.2024 in Kraft** getreten und gilt gestaffelt. Seit dem **11.06.2026** gelten die Vorschriften über Konformitätsbewertungsstellen und notifizierte Stellen. Ab dem **11.09.2026** — in sieben Wochen — greifen die **Meldepflichten** für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Erst ab dem **11.12.2027** gilt die Verordnung vollständig, einschließlich der grundlegenden Cybersicherheitsanforderungen, der CE-Kennzeichnung, der Konformitätsbewertung und der technischen Dokumentation. > > **Praktische Folge der Staffelung:** Wer das Produktinventar erst 2027 aufbaut, ist bereits bei der Meldepflicht in der Pflichtverletzung. Die Meldepflicht knüpft an das Produkt an — ohne belastbares Inventar ist im Ernstfall nicht in 24 Stunden feststellbar, ob überhaupt gemeldet werden muss. > > **Sanktionsrahmen:** Für Verstöße gegen die grundlegenden Cybersicherheitsanforderungen und die zentralen Hersteller- und Meldepflichten **bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes**, je nachdem, welcher Betrag höher ist (Art. 64 CRA).

Eingaben

• Produktliste des Mandanten mit technischer Kurzbeschreibung (Hardware, Software, eingebettete Systeme, Firmware)
• Vertriebsweg und Marktzugang (Eigenentwicklung, Zukauf, White Label, Import aus Drittstaat, reiner Weiterverkauf)
• Marke, unter der das Produkt bereitgestellt wird, und Sitz der Rechtsträger
• Verwendete Fremdkomponenten, insbesondere quelloffene Software und deren Herkunft
• Bestehende sektorale Zulassungen oder Konformitätsbewertungen (MDR, Typgenehmigung, Luftfahrtzulassung, Funkanlagenrecht)
• Geplante oder erfolgte Bereitstellung auf dem Unionsmarkt und deren Zeitpunkt
• Angaben zu Fernverarbeitungslösungen, die für die Funktion des Produkts erforderlich sind

Sub-Agent-Architektur

Drei gedankliche Rollen strukturieren die Analyse. Ein **Scope-Prüfer** klärt, ob überhaupt ein Produkt mit digitalen Elementen im Sinne des Art. 3 CRA vorliegt und ob eine Bereichsausnahme nach Art. 2 CRA greift; er entscheidet zuerst, denn ohne Anwendungsbereich entfällt jede weitere Prüfung. Ein **Rollen-Analyst** bestimmt anschließend, ob der Mandant Hersteller, Bevollmächtigter, Einführer, Händler oder Verwalter quelloffener Software ist, und prüft insbesondere den Rollenwechsel bei Eigenmarke und wesentlicher Veränderung. Ein **Klassifizierungs-Prüfer** ordnet das Produkt sodann der Standardkategorie, den wichtigen Produkten nach Anhang III oder den kritischen Produkten nach Anhang IV zu und leitet daraus den zulässigen Konformitätsbewertungsweg ab. Das Ergebnis der drei Rollen wird in einem einzigen Produktinventar zusammengeführt, das je Produkt Rolle, Klasse, Fristen und Verantwortlichen ausweist.

Ablauf

1. Produkt mit digitalen Elementen? ([Art. 3 CRA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847))

Erfasst ist jedes Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine **direkte oder indirekte Daten­verbindung** zu einem Gerät oder Netz umfasst.

Typische erfasste **Hardware**: Smartphones, Laptops, Smartwatches, Smart-Home-Geräte, Firewalls, Router, Mikroprozessoren, intelligente Messsysteme (Smart Meter). Typische erfasste **Software**: Buchhaltungssoftware, mobile Anwendungen, Computerspiele, Betriebssysteme, Bibliotheken. Der CRA unterscheidet **nicht** zwischen B2B und Verbrauchergeschäft; beide sind erfasst.

Prüfschritte:

a) Enthält das Produkt digitale Elemente (Software oder Firmware), die eigenständig oder eingebettet arbeiten? b) Besteht eine Datenverbindung — auch mittelbar über ein anderes Gerät oder eine Cloud? c) Gehört eine **Fernverarbeitungslösung** funktional zum Produkt, sodass das Produkt ohne sie seine Funktion nicht erfüllt? Dann ist sie mitzuprüfen. d) Wird das Produkt **entgeltlich oder unentgeltlich** im Rahmen einer **Geschäftstätigkeit** auf dem Unionsmarkt bereitgestellt? Unentgeltlichkeit allein befreit nicht.

2. Bereichsausnahmen prüfen ([Art. 2 CRA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847))

Ausgenommen sind Produkte, die bereits durch spezielle Unionsrechtsakte gleichwertig geregelt sind, insbesondere:

• **Medizinprodukte und In-vitro-Diagnostika** nach der MDR bzw. IVDR
• **Kraftfahrzeuge** und ihre Systeme nach dem unionalen Typgenehmigungsrecht
• **Zivile Luftfahrt** nach dem einschlägigen Unionsrecht
• **Schiffsausrüstung** nach der Schiffs