24.04.2026
Verordnung (EU) 2024/2847 · Cyber Resilience Act
crAIready — Ihr Weg durch den EU Cyber Resilience Act.
Von Jurist:innen & IT-Expert:innen entwickelt — für Ihre CRA-Compliance.
Unverbindliche Ersteinschätzung, keine Rechtsberatung i. S. d. RDG.
Hosting in Thayngen, Schweiz.
Die Kernplattform und die von codAIx selbst betriebenen Systeme laufen auf eigener Infrastruktur in Thayngen, Schweiz.
Klar bezeichnete externe Dienste werden nur für die in der Datenschutzerklärung beschriebenen Funktionen eingesetzt.
Betrieb in Thayngen (CH)
SaaS ohne Quellcode-Upload möglich
Lokal gehostete KI
11.09.2026
Ab diesem Datum gelten die Meldepflichten nach Art. 14 CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis, zunächst als Frühwarnung melden.
11.12.2027
Für Produkte mit digitalen Elementen, die ab dem 11. Dezember 2027 neu in Verkehr gebracht werden, gelten grundsätzlich die CRA-Anforderungen einschliesslich der CE-Kennzeichnung. Für bereits zuvor in Verkehr gebrachte Produkte gelten die Übergangsregeln des Art. 69 CRA.
15 Mio. EUR
Bussgeldrahmen nach Art. 64 Abs. 2 CRA: ab 11.12.2027 — bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die diesbezüglichen Meldepflichten nach Art. 14 CRA gelten ab 11.09.2026.
bis 30.000 €
Förderhöhe, Förderquote und Voraussetzungen unterscheiden sich je Programm. Die Förderübersicht nennt Status, Fristen und Quellen der berücksichtigten Programme.
Betroffenheit
Wer fällt typischerweise unter den CRA?
Der CRA gilt für Produkte mit digitalen Elementen — Software und vernetzte Hardware, die in der EU bereitgestellt werden. Drei grobe Gruppen:
Softwarehersteller
Desktop-, Mobile- oder installierbare Web-Anwendungen, Agents, Plugins sowie APIs und SDKs, die als eigenständiges Produkt oder als Komponente eines Produkts auf dem EU-Markt bereitgestellt werden.
Hardware mit Software
Embedded-/IoT-Geräte, Steuerungen, Sensorik — Hardware, die Software ausführt und Daten- oder Netzwerkverbindungen herstellt.
Weitere Wirtschaftsakteure
Auch Bevollmächtigte, Einführer und Händler haben eigene Pflichten. Für Verwalter quelloffener Software gelten besondere CRA-Regelungen.
Reine Cloud-/Browser-SaaS ohne lokale Komponente fällt meist nicht direkt unter den CRA — bei der Abgrenzung kann der kostenlose Quick-Check helfen.
- Grenzfall 1 — SaaS mit Desktop-/Agent-Komponente
SaaS mit Desktop-/Agent-Komponente: Reine Cloud-SaaS fällt meist nicht unter den CRA — sobald aber eine Desktop-App, ein Agent oder ein Browser-Plugin dazukommt, kann Ihr Backend über die RDPS-Definition erfasst sein.
SaaS & CRA: die RDPS-Abgrenzung - Grenzfall 2 — Rolling Release / Continuous Deployment
Rolling Release / Continuous Deployment: Nicht jeder Commit löst CRA-Pflichten aus — entscheidend ist die ‚wesentliche Änderung' (Art. 3 Nr. 30); reine Sicherheitsupdates zählen nicht dazu.
Rolling Release & CRA: wesentliche Änderung - Grenzfall 3 — Bundle & Open Source
Bundle & Open Source:
Wer ein Bundle unter eigenem Namen oder eigener Marke in Verkehr bringt, trägt die CRA-Verantwortung für das Gesamtprodukt einschliesslich der integrierten Komponenten. Für eingebundene Drittanbieter- und nicht kommerziell bereitgestellte Open-Source-Komponenten gilt die risikoabhängige Sorgfaltspflicht nach Art. 13 Abs. 5 CRA.
Bundle & Open Source: Komponenten & Verantwortung
Klingt das vertraut?
Sie kennen die Verordnung. Sie wissen, dass die Uhr läuft. Aber wer setzt das jetzt um?
Genau hier stehen die meisten KMU heute — irgendwo zwischen
„Wir kümmern uns nächstes Quartal" und „Mein Entwicklungsteam hat keine Zeit für Compliance".
- Niemand weiss, ob Sie überhaupt CRA-pflichtig sind. Cloud-only? Mit Desktop-Komponente? Die Abgrenzung über Art. 3 Nr. 2 ist nicht trivial — und „nur SaaS" reicht nicht als Antwort.
- Keine SBOM, keine CE-Kennzeichnung. Eine Software-Stückliste in beispielsweise CycloneDX 1.6 (ECMA-424) oder SPDX 3.0.1 ist Pflicht — und Voraussetzung für nahezu jede weitere Compliance-Anforderung.
- Für Meldungen nach Art. 14 CRA braucht es einen klaren internen Ablauf. Ab 11. September 2026 beginnt die 24-Stunden-Frist, sobald der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit hat. Der Bussgeldrahmen nach Art. 64 CRA gilt ab 11. Dezember 2027.
- Externer Beratungs- und interner Umsetzungsaufwand können erhebliche Ressourcen binden. Umfang und Kosten hängen insbesondere von Produktkomplexität, Reifegrad, Produktklasse und den bereits vorhandenen Sicherheits- und Dokumentationsprozessen ab.
- crAIready führt Angaben und Nachweise zentral, versioniert und nachvollziehbar zusammen – entlang der Dokumentationsanforderungen des CRA.
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle folgen nach Art. 14 CRA getrennten Meldewegen. crAIready unterstützt Vorbereitung, Fristübersicht und Dokumentation.
Was Sie davon haben
Sie behalten den Fokus auf Ihrem Produkt. crAIready strukturiert die zentralen CRA-Arbeitsschritte.
Kostenlose Ersteinschätzung
Der Quick-Check zeigt anhand weniger Fragen, ob und wie der CRA Ihr Produkt betreffen könnte. Unverbindlich und ohne Login.
Maschinenlesbare SBOM
crAIready übernimmt SBOMs per Upload in gängigen CycloneDX- und SPDX-Formaten. Über eine angebundene CI-Pipeline können Stücklisten zudem produkt- und versionsbezogen erzeugt werden; verwaltete SBOMs lassen sich wieder in maschinenlesbaren Formaten exportieren.
Schwachstellen produktbezogen bearbeiten
Schwachstellenhinweise, Bewertungen, Massnahmen und Zuständigkeiten werden dem betroffenen Produkt nachvollziehbar zugeordnet.
Strukturierte Dokumentation
crAIready führt Angaben und Nachweise zentral, versioniert und nachvollziehbar zusammen – entlang der Dokumentationsanforderungen des CRA. Prüfbar aufbereitete Nachweise für interne Freigaben und Behördenanfragen.
Art.-14-Meldungen vorbereiten
crAIready unterstützt Vorbereitung, Fristübersicht und Dokumentation. Prüfung, Freigabe und Einreichung über die offizielle einheitliche Meldeplattform bleiben beim verantwortlichen Unternehmen.
Ohne Quellcode-Upload nutzbar
Die zentralen CRA-Arbeitsschritte können ohne Quellcode-Upload bearbeitet werden. Eine Repository-Analyse ist eine freiwillige Zusatzfunktion.
So funktioniert's
Der Quick-Check ist kostenlos. Produktanlage und weitere Bearbeitung erfolgen nach dem Kauf in der crAIready-Plattform.
1 · Ersteinschätzung erhalten
Der Quick-Check zeigt anhand weniger Fragen, ob der CRA Ihr Produkt betreffen könnte, in welche Risikoklasse Sie fallen, welchen CRA-Readiness-Score Sie haben und was crAIready Ihnen bieten kann. Unverbindlich und ohne Ihre Daten angeben zu müssen.
2 · Produkt strukturiert anlegen
Erfassen Sie im Plattform-Wizard strukturiert das Produkt, für das Sie crAIready erworben haben. KI-Unterstützung können Sie bei Bedarf zuschalten.
3 · Pflichten bearbeiten und Nachweise pflegen
Planen Sie Anforderungen, dokumentieren Sie Entscheidungen, bearbeiten Sie Schwachstellen und bereiten Sie die ab 11. September 2026 erforderlichen Meldungen nach Art. 14 CRA vor.
Technische Unterstützung
Sie benötigen Unterstützung?
Sie benötigen technische Unterstützung? Melden Sie sich bei uns.
Das kann crAIready für Sie tun
crAIready ist für CRA-pflichtige Rollen, insbesondere Hersteller, Händler und Einführer gemacht — vom SaaS-Anbieter mit Desktop-Komponente über Embedded-/IoT-Hersteller bis zum Komponenten-Geschäft. Drei typische Wege durch den CRA:
Für CRA-pflichtige Unternehmen gemacht
crAIready unterstützt Unternehmen dabei, die Anforderungen des Cyber Resilience Act zu erfüllen.
Vom kostenlosen Quick-Check bis zu prüfbar aufbereiteten Nachweisen für interne Freigaben und Behördenanfragen. Auch für vernetzte Geräte und eingebettete Software unterstützt crAIready die zentralen CRA-Arbeitsschritte – von der Erfassung der Produktarchitektur und Firmwarekomponenten über die konsolidierte SBOM bis zur Schwachstellenbearbeitung und technischen Dokumentation.
Selbst machen vs. mit crAIready
Was kostet Sie eigentlich der Status quo?
crAIready bündelt Produktdaten, SBOM, Schwachstellenbearbeitung, technische Unterlagen und die Vorbereitung von Art.-14-Meldungen in einem nachvollziehbaren Arbeitsprozess.
Realität
Selbst aufbauen
Mit crAIready
CRA-Klassifizierung Ihres Produkts
Wochenlange Eigenrecherche durch den Paragraphen-Dschungel aus Verordnung, Anhängen und Durchführungsrechtsakten
Geführter Wizard mit produktbezogener Empfehlung
SBOM-Generierung & Pflege
Manuell gepflegte Listen und verteilte Unterlagen
Per Upload oder über eine angebundene CI-Pipeline; produkt- und versionsbezogen verwaltet
Schwachstellen-Monitoring
Manuelle CVE-Sichtung ohne automatisches Matching auf SBOM-Komponenten
OSV + NVD + CISA KEV + EUVD; Triage mit CVSS, EPSS, CWE und KEV-Status
Technische Dokumentation Anhang VII CRA
Word-Vorlage, 80 Seiten, manuell pflegen, schnell veraltet
KI-gestützter Entwurf, artikelreferenziert, zur fachlichen Prüfung und Freigabe
Art.-14-Meldungen vorbereiten
Excel-Template, 24h-Stress, Risiko
Geführte Abläufe, Fristübersicht sowie PDF- und CSAF-kompatible Exporte
Interner Umsetzungsaufwand
70 – 160 PT
5 – 15 PT — Teile davon teilweise förderfähig (programmspezifisch, meist bis 50 %)
Wir machen aus Wochen Tage — und Sie behalten die Kontrolle
Belegquellen zur Größenordnung des CRA-Aufwands: EU-Kommission, Folgenabschätzung zum CRA (SWD(2022) 282, 2022) — Compliance-Kosten der Hersteller in zweistelliger Milliardenhöhe EU-weit; IW Köln / Mittelstand-Digital „Auswirkungen auf KMU" (2025) — erhebliche Belastung für KMU. Die ausgewiesenen Personentage sind eine unverbindliche Schätzung auf Basis eigener Projekterfahrung (Referenz: 1 Produkt, mittlerer Reifegrad, Standard-Selbstbewertung) und stammen nicht aus diesen Studien. Sources:
cep - Cyber Resilience Act PolicyBrief (COM(2022) 454)
IW Köln - Auswirkungen auf KMU
EU-Kommission - Cyber Resilience Act
siehe auch Was kostet Sie eigentlich der Status quo?
Wofür wir stehen
Sie kaufen keine Black Box. Sie kaufen Nachvollziehbarkeit.
Verordnungstreue Substanz
Jede Funktion ist direkt auf Artikel und Anhänge der Verordnung (EU) 2024/2847 zurückführbar.
Keine vagen „Best Practices" — sondern Verordnungstext mit Spalten-Verweis.
KI mit Augenmass
Unsere KI unterstützt bei der Produktklassifizierung, der Einordnung ausgewählter Schwachstellen und der Erstellung von Entwürfen. KI-Ausgaben sind als KI-gestützt gekennzeichnet und bleiben Vorschläge; rechtlich oder technisch erhebliche Entscheidungen erfordern menschliche Prüfung und Freigabe.
Wir leben, was wir predigen
Als Legal-Tech-Unternehmen überprüfen wir die für uns geltenden Sicherheits- und Compliance-Anforderungen fortlaufend.
Förderung
Förderung möglich — oft bis zu 50 % der Investition.
Förderhöhe, Förderquote und Voraussetzungen sind programmspezifisch. Die Förderübersicht wird alle 14 Tage geprüft und bei Bedarf aktualisiert.
Wissen rund um den CRA
Wir nehmen den Verordnungstext ernst — und schreiben darüber.
Hintergrundartikel zu RDPS-Abgrenzung, SBOM-Praxis, AI-Act-Schnittstelle, Meldepflichten und Hochrisiko-KI. Geschrieben für Entscheider, die wissen wollen, was wirklich gilt.
In wenigen Minuten wissen Sie, was der CRA für Ihr Produkt bedeutet.
Kostenlose Ersteinschätzung: Der Quick-Check zeigt Ihnen, ob und wie der CRA Ihr Produkt betreffen könnte.
Unverbindliche Orientierung