Von Redaktion codAIx | 3. August 2026

Als wir zu Beginn unserer CRA-Recherchen zusammensassen, lag ein kleines POS-Gerät aus einem anderen Projekt auf dem Schreibtisch. Auf der Rückseite war ein CE-Zeichen eingeprägt. Wir stellten uns die Frage: Kommt nun noch ein zweites CE-Zeichen für den CRA dazu?

Wer ein physisches Produkt mit eingebetteter Software baut — eine Maschine, ein Funkgerät oder ein vernetztes Haushaltsgerät —, stellt zu Recht die Frage: Braucht das Produkt zusätzlich zum bestehenden CE-Zeichen ein eigenes „CRA-CE“? Die Antwort ist ein klares Nein. Der Cyber Resilience Act führt keine separate Kennzeichnung ein. Es bleibt bei einem einzigen CE-Zeichen und einer EU-Konformitätserklärung. Ob daneben zwingend eine einzige technische Dokumentation zu erstellen ist, richtet sich nach Art. 31 Abs. 3 CRA und den jeweils weiteren anwendbaren Unionsrechtsakten.

Kein zweites Siegel: Die CE-Kennzeichnung bleibt singulär

Der CRA schafft keine neue, eigene Kennzeichnung neben dem bekannten CE-Zeichen. Erwägungsgrund 89 CRA hält fest: „Die CE-Kennzeichnung sollte die einzige Kennzeichnung sein, die die Übereinstimmung der Produkte mit digitalen Elementen mit den in dieser Verordnung festgelegten Anforderungen garantiert“[1]. Schon die Legaldefinition macht deutlich, dass dieses eine Zeichen mehrere Rechtsakte trägt: Nach Art. 3 Nr. 31 CRA erklärt der Hersteller mit der CE-Kennzeichnung, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I „und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen“[1].

Die tragende Norm ist Art. 30 Abs. 5 CRA: „Falls das Produkt mit digitalen Elementen auch unter andere Harmonisierungsrechtsvorschriften der Union als diese Verordnung fällt, in denen die CE-Kennzeichnung ebenfalls vorgesehen ist, bedeutet die CE-Kennzeichnung, dass das Produkt auch die Anforderungen dieser anderen Harmonisierungsrechtsvorschriften der Union erfüllt“[1]. Der Kommentar zum CRA bestätigt den Grundsatz einer einzigen CE-Kennzeichnung auch dann, wenn das Produkt in den Anwendungsbereich mehrerer CE-Rechtsakte fällt (Wiebe, § 5 Rn. 93)[2].

Vorab ist stets zu prüfen, ob der CRA überhaupt gilt: Medizinprodukte und In-vitro-Diagnostika, nach der Verordnung (EU) 2019/2144 typgenehmigte Fahrzeugsysteme, nach der Verordnung (EU) 2018/1139 zertifizierte Luftfahrtprodukte und Schiffsausrüstung nach der Richtlinie 2014/90/EU sind nach Art. 2 Abs. 2 bis 4 CRA ausgenommen. Die Delegierte Verordnung (EU) 2025/1535 nimmt zudem Fahrzeuge der Klassen L nach der Verordnung (EU) Nr. 168/2013 aus; ausgenommen von dieser Bereichsausnahme sind Fahrzeuge der Klasse L1e im Sinne von Art. 3 Nr. 94 lit. b der Verordnung (EU) Nr. 168/2013, die für Pedalantrieb ausgelegt sind. Grundlage ist Art. 2 Abs. 5 UAbs. 2 CRA. Die Delegierte Verordnung (EU) 2025/1455 macht die UN-Regelung Nr. 155 für Fahrzeuge der Klasse L verbindlich (neue Fahrzeugtypen ab 11. Dezember 2027, bestehende ab 11. Juni 2029), nimmt die für Pedalantrieb ausgelegten L1e-Fahrzeuge aber aus. Deshalb bleiben diese im CRA (ErwGr 3–4 DelVO (EU) 2025/1535)[5]. Für Produkte, die nicht in den Anwendungsbereich des CRA fallen, erstrecken sich weder die CE-Kennzeichnung noch die EU-Konformitätserklärung auf den CRA[1][5].

Gebündelt statt dupliziert: eine Erklärung, technische Nachweise nach anwendbarem Recht

Auch die Nachweise können zusammengeführt werden. Unterliegt ein Produkt mehreren Unionsrechtsakten, „so wird eine einzige EU-Konformitätserklärung für sämtliche Unionsrechtsvorschriften ausgestellt“ (Art. 28 Abs. 3 CRA)[1]. Art. 31 Abs. 3 CRA ordnet eine einzige technische Dokumentation ausdrücklich für Produkte nach Art. 12 CRA und — ab dem 26. März 2027 — für Produkte nach Art. 32 Abs. 5a CRA, also bestimmte EHR-Systeme nach der EHDS-Verordnung, an, wenn sie zugleich anderen Unionsrechtsakten mit Dokumentationspflicht unterliegen. Für andere Mehrfachregulierungen ergibt sich aus dem CRA allein keine allgemeine Pflicht zu genau einer technischen Dokumentation; eine Bündelung kann sich aus dem jeweils weiteren anwendbaren Recht oder der Praxis des New Legislative Framework ergeben. Der Kommentar bestätigt das Prinzip der einzigen Konformitätserklärung (Wiebe, § 5 Rn. 91)[2].

Für den Hersteller eines Geräts mit eingebetteter Software heisst das praktisch: Die CRA-Cybersicherheitsanforderungen werden in die bestehenden Konformitätsprozesse des Produkts integriert. Es bleibt bei einer EU-Konformitätserklärung und einem CE-Zeichen; die technische Dokumentation kann gebündelt werden und muss in den Fällen des Art. 31 Abs. 3 CRA gebündelt werden. Welche Konformitätsbewertungsverfahren und Dokumentationsanforderungen daneben gelten, richtet sich nach sämtlichen einschlägigen Rechtsakten. Die Modulwahl nach dem CRA haben wir in der CRA-Konformitätsbewertung dargestellt.

Verhältnis zur Maschinenverordnung: Synergie, kein Ersatz

Fällt ein Produkt zugleich unter die Maschinenverordnung (EU) 2023/1230, besteht kein Verdrängungs-, sondern ein Synergieverhältnis. Die Maschinenverordnung gilt ab dem 20. Januar 2027; bis dahin gilt die Maschinenrichtlinie 2006/42/EG. Erwägungsgrund 53 CRA verlangt, dass die Hersteller solcher Maschinen „sowohl die grundlegenden Cybersicherheitsanforderungen der vorliegenden Verordnung als auch die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen gemäss der Verordnung (EU) 2023/1230 erfüllen“[1]. Die Einhaltung der CRA-Anforderungen kann dabei die Erfüllung der maschinenrechtlichen Cybersicherheitsaspekte — etwa Schutz gegen Korrumpierung und Sicherheit der Steuerungen — erleichtern, doch diese Deckungsgleichheit ist aktiv nachzuweisen. Eine automatische „gilt als erfüllt“-Vermutung ordnet der CRA hier nicht an. Die FAQ der Kommissionsdienststellen bestätigen, dass die Konformitätsbewertungsverfahren beider Rechtsakte durchzuführen sind (FAQ Nr. 2.4.2 und 2.4.3)[5].

Verhältnis zur Funkanlagenrichtlinie: klare zeitliche Trennung

Bei Funkanlagen ist die Lage erklärungsbedürftig, weil die Funkanlagenrichtlinie 2014/53/EU über die Delegierte Verordnung (EU) 2022/30 bereits eigene Cybersicherheitsanforderungen kennt (Netzschutz, Schutz personenbezogener Daten und Privatsphäre, Betrugsschutz). Erwägungsgrund 30 CRA nimmt darauf ausdrücklich Bezug[1]. Mit der Delegierten Verordnung (EU) 2026/339 wird die Delegierte Verordnung (EU) 2022/30 mit Wirkung vom 11. Dezember 2027 aufgehoben — dem Tag, ab dem die CRA-Hauptpflichten gelten. Nach Erwägungsgrund 3 der Aufhebungsverordnung decken die CRA-Anforderungen die Elemente der funkrechtlichen Cybersicherheitsanforderungen ab[6].

Daraus folgt für die produktbezogenen Anforderungen eine Stichtagsregel: Betroffene Funkanlagen, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht werden, müssen die Cybersicherheitsanforderungen der Funkanlagenrichtlinie erfüllen und bleiben insoweit der Marktüberwachung unterworfen. Ab dem 11. Dezember 2027 in Verkehr gebrachte Funkanlagen unterliegen hinsichtlich der Cybersicherheit den grundlegenden Anforderungen des CRA, soweit sie in dessen Anwendungsbereich fallen (FAQ Nr. 2.6.1)[3][5][6]; die übrigen Anforderungen der Funkanlagenrichtlinie gelten unverändert fort. Ein paralleler Doppelnachweis für dieselben Cybersicherheitsanforderungen ist nicht vorgesehen. Vorhandene Prüfunterlagen nach der Normenreihe EN 18031 können als technische Grundlage wiederverwendet werden, soweit sie relevante CRA-Anforderungen abdecken; eine CRA-Konformitätsvermutung folgt daraus nicht. Unabhängig davon gelten die Meldepflichten aus Art. 14 CRA seit dem 11. September 2026 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also auch für Funkanlagen, deren Cybersicherheit noch nach der Funkanlagenrichtlinie nachgewiesen wurde (Art. 69 Abs. 3, Art. 71 Abs. 2 CRA)[1].

EU-Baumusterprüfbescheinigungen und Zulassungen, die nach anderen Harmonisierungsrechtsvorschriften für Cybersicherheitsanforderungen erteilt wurden, bleiben nach Art. 69 Abs. 1 CRA bis zum 11. Juni 2028 gültig, sofern sie nicht früher ablaufen[1]. Für den CRA decken sie nur die Risiken ab, auf die sie sich beziehen, und gelten längstens bis zu diesem Datum. Weitere Risiken aus der CRA-Risikobewertung sind zusätzlich zu behandeln (Guidance Rn. 247–257)[4].

Das Ergebnis für die Praxis

Für ein physisches Produkt mit eingebetteter Software ändert sich an der Zahl der CE-Zeichen nichts: Es bleibt bei einem. Was sich ändert, ist der Inhalt, den dieses eine Zeichen abdeckt — die Cybersicherheitsanforderungen des CRA kommen zu den bisherigen Anforderungen hinzu und werden in den jeweils einschlägigen Konformitätsbewertungsverfahren nachgewiesen. Die Arbeit liegt also nicht in einem zweiten Siegel, sondern in der Erweiterung der technischen Dokumentation und der Risikobewertung um die CRA-Dimension.

Praxisfall: Software auf zugekaufter, bereits CE-gekennzeichneter Hardware

Ein besonders häufiger Fall in der Softwarebranche: Ein Hersteller kauft Hardware ein, die bereits CE-gekennzeichnet ist — etwa nach Funkanlagen-, EMV- oder Niederspannungsrecht —, und bringt darauf seine CRA-relevante Software auf. Wer trägt dann welche Pflicht? Die Antwort hängt an einer einzigen Weiche: Was wird in den Verkehr gebracht?

Variante A — nur die Software. Verkaufen Sie allein die Software (der Kunde besitzt oder beschafft die Hardware selbst), ist Ihre Software für sich genommen ein Produkt mit digitalen Elementen: Art. 3 Nr. 1 CRA erfasst ausdrücklich auch „Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“[1]. Sie sind Hersteller dieser Software (Art. 3 Nr. 13) und tragen dafür die vollen CRA-Pflichten — Risikobewertung, Software-Stückliste (englisch software bill of materials, SBOM), Schwachstellenbehandlung, Unterstützungszeitraum, Konformitätsbewertung, EU-Konformitätserklärung und CE für das Softwareprodukt (bei Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung nach Art. 28 oder auf der das Softwareprodukt begleitenden Website angebracht — Art. 30 Abs. 1 S. 3 CRA; der Website-Bereich muss für Verbraucher leicht und direkt zugänglich sein). Die CE-Kennzeichnung der Hardware und die Pflichten des Hardwareherstellers bleiben hiervon unberührt.

Variante B — das fertige Gerät mit Ihrer Software, unter Ihrem Namen. Bringen Sie das kombinierte Produkt in Verkehr, sind Sie Hersteller des Gesamtprodukts (Art. 3 Nr. 13), und die Pflichten zum Umgang mit Schwachstellen gelten „für Produkte mit digitalen Elementen in ihrer Gesamtheit, einschliesslich aller integrierten Komponenten“ (Erwägungsgrund 34)[1]. Die zugekaufte Hardware ist dann eine integrierte Komponente (Art. 3 Nr. 6), und es greift die Sorgfaltspflicht aus Art. 13 Abs. 5 CRA: Sie müssen sich vergewissern, dass die Hardware samt ihrer Firmware die Cybersicherheit des Gesamtprodukts nicht beeinträchtigt[1]. Wurde die Hardware ab dem 11. Dezember 2027 in Verkehr gebracht und weist ihre EU-Konformitätserklärung die CRA-Konformität aus, unterstützt das Ihren Sorgfaltsnachweis (Erwägungsgrund 34)[1]. Ein CE-Zeichen, das nur andere Rechtsakte wie EMV- oder Niederspannungsrecht abdeckt, belegt dagegen keine CRA-Konformität. Für Hardware, die vor dem 11. Dezember 2027 in Verkehr gebracht wurde und deshalb noch kein CE nach dem CRA tragen kann, ist die Sorgfalt mit anderen Mitteln nachzuweisen, etwa durch Sicherheitsdokumentation, Update-Zusagen und eigene Tests (Erwägungsgrund 35; FAQ Nr. 7.3)[1][5].

Vorhandene Nachweise des Hardwareherstellers können als Evidenz genutzt werden, soweit sie für das konkrete Endprodukt aussagekräftig und durch die eigene Integration nicht überholt sind. Ob zusätzliche Prüfungen erforderlich sind, richtet sich nach Risikobewertung und Änderungen; die Verantwortung für die Konformitätserklärung des Endprodukts bleibt beim Endprodukthersteller (Art. 28 Abs. 3 und 4 CRA; ein Dossier aus Einzelerklärungen ist nach FAQ Nr. 6.8 zulässig)[1][5].

Die Kommissions-Guidance stellt klar: Wer zugekaufte Komponenten zu einem eigenen Produkt verbindet, ist Hersteller dieses Gesamtprodukts und kann die Konformitätsarbeiten der Komponentenhersteller heranziehen, um die eigene Konformität zu erleichtern (Rn. 120, Beispiel 51; Due Diligence Rn. 167–173)[4]. Im Detail offen bleibt, in welchem Umfang Nachweise aus anderen CE-Rechtsakten der Hardware im CRA-Verfahren wiederverwendet werden können.

Zwei Punkte sind dabei praxisentscheidend. Erstens hat die zugekaufte Hardware fast immer selbst Firmware und damit digitale Elemente: Exemplare, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, sind für sich genommen CRA-Produkte mit eigenen Pflichten ihres Herstellers. Unabhängig davon muss Ihr ab diesem Datum in Verkehr gebrachtes Gesamtprodukt insgesamt CRA-konform sein. Ob Sie Ihre Sorgfaltspflicht erfüllen können, hängt wesentlich davon ab, ob der Hardwarehersteller CRA-konforme Firmware und Sicherheitsupdates liefert; das sollte vertraglich abgesichert werden (CRA-Konformität, Update-Zusagen, SBOM, Gleichlauf der Unterstützungszeiträume — dieselbe Logik wie im Beitrag zu Bundles und Komponenten). Zweitens: Laden Sie die Software nicht auf neue Ware, sondern auf ein bereits in Verkehr gebrachtes Gerät und verändern dessen Zweck oder Cybersicherheit, kann das eine wesentliche Änderung nach Art. 22 CRA sein — dann rücken Sie selbst in die Herstellerrolle des geänderten Produkts (dazu der Beitrag zur wesentlichen Änderung).

Echte Graubereiche

Zwei Punkte bleiben in der praktischen Nachweisführung offen. Erstens: Wie weit lassen sich vorhandene EN-18031-Nachweise im CRA-Verfahren wiederverwenden? Zweitens die Maschinen-Synergie: Da der CRA keine automatische Erfüllungsvermutung anordnet, muss der Hersteller die behauptete Deckungsgleichheit zwischen CRA- und maschinenrechtlichen Anforderungen aktiv belegen.

Das Wichtigste für Hersteller

  • Der CRA führt kein eigenes Zeichen ein: Auch bei mehreren CE-Rechtsakten bleibt es bei einer CE-Kennzeichnung und einer EU-Konformitätserklärung (Art. 28 Abs. 3, Art. 30 Abs. 5 CRA).
  • Eine einzige technische Dokumentation ist nach Art. 31 Abs. 3 CRA nur für Produkte nach Art. 12 CRA und — ab dem 26. März 2027 — nach Art. 32 Abs. 5a CRA zwingend, wenn sie zugleich anderen Unionsrechtsakten mit Dokumentationspflicht unterliegen; im Übrigen kann die Dokumentation gebündelt werden.
  • Bei Maschinen sind die Konformitätsbewertungsverfahren beider Rechtsakte durchzuführen; eine automatische Erfüllungsvermutung gibt es nicht.
  • Betroffene Funkanlagen, die bis zum 10. Dezember 2027 in Verkehr gebracht werden, müssen die Cybersicherheitsanforderungen der Funkanlagenrichtlinie erfüllen; ab dem 11. Dezember 2027 gilt insoweit der CRA. Die Meldepflichten nach Art. 14 CRA gelten bereits seit dem 11. September 2026, auch für vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte.
  • Wer Software auf zugekaufte Hardware aufspielt und das Gerät unter eigenem Namen in Verkehr bringt, ist Hersteller des Gesamtprodukts und muss die Sorgfalt nach Art. 13 Abs. 5 CRA auch für die Hardware samt Firmware nachweisen.

So unterstützt crAIready

Hinweis der Herausgeberin: crAIready ist die CRA-Compliance-Plattform der codAIx GmbH.

  • Onboarding-Wizard und CRA-Wegweiser: erfassen Produkte und Rolle, unterstützen die Einordnung in die Produktklassen und führen je Produkt Schritt für Schritt durch die Pflichten – mit Kennzeichnung, welche bereits gelten und welche erst ab dem 11. Dezember 2027 verbindlich werden.
  • SBOM & Lieferkette: erstellt die Software-Stückliste auf Wunsch automatisch aus Ihrem Code (Git-Repository, Quellcode-Archiv oder CI-Pipeline) oder übernimmt vorhandene SBOMs per Upload; Bestandteile ohne eigenen Quellcode, etwa zugekaufte Firmware, werden manuell erfasst. Für eingebundene Drittkomponenten unterstützt die Plattform die Sorgfaltspflicht nach Art. 13 Abs. 5 CRA.
  • Dokumentation & Konformität: erstellt Entwürfe der technischen Dokumentation nach Anhang VII und der EU-Konformitätserklärung zur fachlichen Prüfung und Freigabe.

Für eine erste Einordnung steht der kostenlose CRA-Quick-Check bereit: Er bietet eine unverbindliche Ersteinschätzung zur CRA-Anwendbarkeit, Produktklasse, CRA-Bereitschaft und möglichen Abdeckung durch crAIready. Die abschliessende Einordnung bleibt beim Hersteller.

Methodik dieser Recherche

Die rechtlichen Aussagen dieses Beitrags wurden gegen die Verordnung (EU) 2024/2847 (Cyber Resilience Act) geprüft und mit Artikel- und Erwägungsgrundnummern belegt. Ergänzend herangezogen wurden der Kommentar von Wiebe (Hrsg.), Das neue Recht der Cyberresilienz (Nomos, Stand Juni 2025), die Kommissions-Guidance C(2026) 5252 vom 27.07.2026 (unverbindlich), die FAQ der Kommissionsdienststellen v1.4 vom 04.09.2026 (insbesondere Nr. 1.9, 2.4, 2.6, 6.8 und 7.3) sowie die Delegierten Verordnungen (EU) 2025/1455, (EU) 2025/1535 und (EU) 2026/339. An einer Stelle (Wiebe, § 5 Rn. 93) referenziert der Kommentar die Single-CE-Regel als „Art. 29 Abs. 5 S. 2“; massgeblich ist der Verordnungstext, der die Regel in Art. 30 Abs. 5 S. 2 CRA verortet.

Quellen

[1] Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 (Cyber Resilience Act) – EUR-Lex — insbesondere Art. 2 Abs. 2–5, Art. 3 Nr. 1, Nr. 6, Nr. 13 und Nr. 31, Art. 13 Abs. 5, Art. 22, Art. 28 Abs. 3 und 4, Art. 30 Abs. 1 und 5, Art. 31 Abs. 3, Art. 69 Abs. 1–3, Art. 71 Abs. 2, Erwägungsgründe 30, 34, 35, 53, 89; berücksichtigt ist die ab 26.03.2027 geltende Änderung von Art. 31 Abs. 3 durch die Verordnung (EU) 2025/327.

[2] Wiebe, G. (Hrsg.) — Das neue Recht der Cyberresilienz: Kommentar zur CRA, Verlag Nomos, Stand Juni 2025 — Wiebe, § 5 Rn. 91 (S. 88; einzige EU-Konformitätserklärung), § 5 Rn. 93 (S. 90; singuläre CE-Kennzeichnung).

[3] Verordnung (EU) 2023/1230 des Europäischen Parlaments und des Rates vom 14. Juni 2023 über Maschinen – EUR-Lex sowie Richtlinie 2014/53/EU über die Bereitstellung von Funkanlagen auf dem Markt (RED) – EUR-Lex und Delegierte Verordnung (EU) 2022/30 – EUR-Lex (cybersicherheitsbezogene Anforderungen der RED, anwendbar seit 1. August 2025; aufgehoben mit Wirkung vom 11. Dezember 2027 durch die Delegierte Verordnung (EU) 2026/339, siehe [6]).

[4] Europäische Kommission, Communication C(2026) 5252 final mit Annex, „Commission guidance on the application of Regulation (EU) 2024/2847 (Cyber Resilience Act)“ — unverbindliche Guidance vom 27.07.2026, insbesondere Rn. 120 und 167–173 sowie Kapitel 9.3.2, Rn. 247–257 (Annex-Download: ec.europa.eu).

[5] Europäische Kommission (Dienststellen), „FAQs on the Cyber Resilience Act“, Version 1.4 vom 04.09.2026 — nach eigener Angabe keine offizielle Position der Kommission und nicht verbindlich; insbesondere Nr. 1.9, 2.4.2–2.4.3, 2.6.1, 6.8 und 7.3. Siehe ergänzend die Delegierte Verordnung (EU) 2025/1535 zu Fahrzeugen der Klassen L (insbesondere Art. 1 und Erwägungsgründe 3–4) sowie die Delegierte Verordnung (EU) 2025/1455 zur UN-Regelung Nr. 155 für Fahrzeuge der Klasse L.

[6] Delegierte Verordnung (EU) 2026/339 der Kommission vom 16. Februar 2026 zur Aufhebung der Delegierten Verordnung (EU) 2022/30 – EUR-Lex — ABl. L vom 29.04.2026; insbesondere Art. 1 und Erwägungsgründe 3–5.

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Keine Rechtsberatung im Sinne des RDG. Herausgeberin: codAIx GmbH, Thayngen (Schweiz). Veröffentlicht am 03.08.2026, zuletzt geändert am 18.10.2026.

Im nächsten Artikel dieser Serie: Was kostet CRA-Compliance? Aufwand nach Aufgabe und Rolle — welcher Aufwand tatsächlich anfällt, welche Rollen ihn tragen und warum sich der grösste Teil davon nicht als Einmalprojekt planen lässt.