Was am 11. September 2026 und am 11. Dezember 2027 wirklich beginnt

Zwei Termine beherrschen jedes Gespräch über den Cyber Resilience Act: 11. September 2026 und 11. Dezember 2027. Es ist nicht dieselbe Pflicht. Keiner von beiden fällt am Morgen der Frist vom Himmel. Die Verordnung (EU) 2024/2847 gilt bereits. Die Daten unten öffnen konkrete Pflichten für den Hersteller, der ein Produkt mit digitalen Elementen auf den Unionsmarkt bringt.

Wer beide Daten als „dann beginnt der CRA“ behandelt, verpasst die erste operative Uhr und kommt mit leerer technischer Akte zur CE-Kennzeichnung.

Der Kalender hat vier Daten, nicht zwei

Datum	Was wirklich beginnt
10. Dezember 2024	Die Verordnung ist in Kraft. Der Rechtstext gilt. Die volle Anwendung der grundlegenden Anforderungen kommt später.
11. Juni 2026	Vorschriften über die Notifizierung von Konformitätsbewertungsstellen. Zählt, wenn Ihre Produktklasse eine notifizierte Stelle braucht.
11. September 2026	Artikel 14: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Frühwarnung 24 Stunden, Meldung 72 Stunden, dann Abschlussbericht.
11. Dezember 2027	Grundlegende Anforderungen nach Anhang I, Konformitätsbewertung, EU-Erklärung und CE-Kennzeichnung beim Inverkehrbringen.

Die meisten Folien lassen Juni 2026 weg und drücken September 2026 auf „irgendetwas mit Vorfällen“. So planen Teams ein CE-Projekt für 2027 und merken im August 2026, dass sie in vierundzwanzig Stunden weder Produkt noch Eigentümer noch CSIRT benennen können.

Was diese Morgen nicht starten

Nichts in der Verordnung erzeugt am Stichtag eine fertige SBOM, eine Risikobewertung oder die technische Akte. Die Marktüberwachung kann die Akte nach dem 11. Dezember 2027 verlangen. Artikel 14 kann am 12. September 2026 um 2:00 auslösen. Das System, das beide Fragen beantwortet, muss früher existieren.

Die Daten starten auch kein „Privacy-Programm“ im Stil der DSGVO. Der CRA ist eine Produktsicherheitsregel. Adressat ist der Hersteller eines konkreten Produkts, nicht „die Firma“ einmal. Eine wesentliche Änderung ist ein neues Inverkehrbringen.

Sie starten kein Scanner-Abo. Der CRA ist kein Scanner. Scannen ist ein Eingang in Anhang I Teil II und in die Warteschlange nach Artikel 14.

11. September 2026 - Artikel 14 ist eine Operationsuhr

Das ist der erste Termin, der die Arbeit eines Herstellers an einem Freitagabend ändert. Ab 11. September 2026 melden Sie aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle am Produkt.

Die Uhren im Text sind absichtlich kurz:

• Frühwarnung innerhalb von 24 Stunden, sobald Sie wissen,
• vollständige Meldung innerhalb von 72 Stunden,
• Abschlussbericht: 14 Tage nach dem Fix bei einer Schwachstelle oder ein Monat nach der 72-Stunden-Meldung bei einem Vorfall.

Ein Kanal: einheitliche Plattform, an das CSIRT der Hauptniederlassung und an ENISA. Kein Nebenpostfach. Kein Warten auf das Montags-Standup.

Was „Sie wissen“ heißt

Die 24-Stunden-Uhr startet, wenn der Hersteller Kenntnis hat, nicht wenn das Ticket sauber ist. Liegt die Kenntnis in einer Researcher-Mail, einem Kundenticket und einem Slack-Thread, sind Stunden weg, bevor die Warteschlange existiert. Die operative Frage: wer darf sagen „wir wissen es“, und an welche Produktversion hängt das?

Ohne Produktkatalog beantworten Sie nicht, welche SKU, welche Version, welcher Markt, welches Supportende. Ohne eine SBOM zur ausgelieferten Version sagen Sie nicht, welche Komponente brennt. Ohne benannten Eigentümer ist das 24-Stunden-Fenster eine Kalendererinnerung, kein Prozess.

Was Sie melden - und was nicht

Artikel 14 ist nicht „jedes CVE im Backlog“. Es sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Sie brauchen trotzdem eine Warteschlange, die das unterscheidet: eine CVSS-Zahl im Scanner ist nicht dasselbe wie aktive Ausnutzung, ein Laptop-Ausfall im Büro ist kein Produktvorfall.

Die Meldung muss auf ein in Verkehr gebrachtes Produkt zeigen. Läuft dieselbe Firmware unter drei Marken, muss die Akte das wissen. Deckt ein Komponentenlieferant zuerst auf, bleibt die Sorgfalt zu dieser Komponente bei Ihnen.

Was im August 2026 schon laufen muss

1. PDE-Katalog mit Name, Version, Typ, Märkten und Supportende (Monat und Jahr).
2. SBOM aus der Pipeline, an die wirklich ausgelieferte Version gebunden.
3. Schwachstellenwarteschlange mit 24h-/72h-Uhr und benanntem Eigentümer am Produkt.
4. Geschriebener Weg zur einheitlichen Plattform und zum CSIRT der Hauptniederlassung.
5. Technische Akte, die Sie öffnen, ohne Daten aus dem Netz zu tragen.

Ist eines davon „stellen wir im September auf“, wird die erste ausgenutzte Schwachstelle E-Mail-Archäologie.

11. Dezember 2027 - grundlegende Anforderungen und CE

Ab diesem Tag muss ein auf den Unionsmarkt gebrachtes Produkt Anhang I erfüllen, die Konformitätsbewertung durchlaufen, eine EU-Erklärung und die CE-Kennzeichnung tragen. Sie müssen außerdem die Risikobewertung, die Dokumentation, die SBOM und den beim Kauf angegebenen Supportzeitraum mit Monat und Jahr halten.

Das ist nicht „CE im Dezember 2027 einschalten“. Die Akte muss existieren, bevor das Produkt das Lager verlässt. Eine Behörde kann sie später verlangen. Eine fehlende SBOM oder eine Risikozelle ohne Verweis auf Anhang I ist kein Formatproblem. Der Konformitätspfad ist nicht geschlossen.

Modul A ist trotzdem Nachweis

Die meisten Produkte der Standardklasse bleiben bei Modul A (interne Fertigungskontrolle). Das ist kein Freifahrtschein. Sie brauchen weiter Risikobewertung, Nachweise zu Anhang I, SBOM, Supportzeitraum, Anleitungen, Erklärung und Kennzeichnung. Eine notifizierte Stelle ist eine andere Produktklasse, kein Ersatz für die Akte.

Der 11. Juni 2026 zählt hier: die Vorschriften über die Notifizierung von Stellen gelten. Braucht Ihr Produkt eine notifizierte Stelle, ist das Entdecken dieser Schlange Ende 2027 ein zweites verpasstes Datum.

Das Inverkehrbringen ist der Auslöser

Der CRA greift, wenn Sie das Produkt unter eigenem Namen oder Zeichen auf den Unionsmarkt bringen. Bereits vor dem 11. Dezember 2027 bereitgestellte Produkte sind kein Freibrief. Eine wesentliche Änderung gilt als neues Inverkehrbringen. Eine neue Hauptversion, eine neue digitale Funktion, die das Risiko ändert, ein Rebrand, nach dem Sie der Hersteller in den Unterlagen sind: das sind Akte-Ereignisse, keine Marketing-Ereignisse.

Der beim Kauf angegebene Supportzeitraum (Monat und Jahr) gehört zur Produktidentität. Er ist kein Slogan auf der Website. Er muss zu Katalog, SBOM-Pflegefenster und der Schwachstellenpflicht in Anhang I Teil II passen.

Was in der Akte 2027 wirklich liegt

Kein Schwachstellen-PDF. Es ist Produktidentität, Risikobewertung nach Artikel 13 über den Lebenszyklus, Nachweise zu Anhang I Teil I (Produkteigenschaften) und Teil II (Schwachstellenbehandlung), SBOM, Supportzeitraum, Anleitungen, EU-Erklärung und CE-Kennzeichnung. Fehlt eines, ist der Pfad nicht geschlossen.

Typische Fehllektüre der Daten

„Wir haben bis 2027 Zeit.“ Artikel 14 ist vierzehn Monate früher. Die 24-Stunden-Uhr liest Ihren CE-Projektplan nicht.

„September 2026 sind nur Vorfälle.“ Es sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Das Erste braucht SBOM und Produktkarte genauso wie das Zweite.

„Wir kaufen 2026 einen Scanner.“ Ein Scanner liefert keine Herstelleridentität, keine Supportdaten, keine Lücken in Anhang I und keine Erklärung. Er speist eine Warteschlange. Er ersetzt sie nicht.

„Software kommt später.“ Eigenständige Software auf dem Unionsmarkt ist ein Produkt mit digitalen Elementen. Die Daten sind dieselben.

„CE ist Sache der notifizierten Stelle.“ Für die meisten Produkte ist es Ihre Sache. Die Stelle, falls nötig, bewertet. Die Nachweise halten Sie.

Was vor dem ersten Termin laufen muss

Sie rechnen rückwärts vom 11. September 2026, nicht vorwärts von einer Folie 2027.

1. Jedes PDE katalogisieren: Version, Markt, Datum des Inverkehrbringens, Supportende mit Monat und Jahr.
2. Risikobewertung nach Artikel 13 an Anhang I hängen. Eine Lücke in einem Extra-Excel ist keine Bewertung.
3. SBOM aus der Pipeline, an die ausgelieferte Version gesperrt.
4. 24h-/72h-Warteschlange mit benanntem Eigentümer und Weg zu CSIRT und ENISA.
5. Technische Akte on-premise, exportierbar ohne die SBOM aus dem Netz zu tragen.

Crado AI ist das On-Premise-System für diese Schleife: Katalog, Risiko, SBOM, Artikel 14, technische Akte und CE. Die Termine verschieben sich nicht. Die Akte erscheint nicht am Morgen des 11. September.