---
title: "CRA-Konformitäts-Selbstbewertung: Kostenlose Vorlage (Excel)"
description: "Produkt klassifizieren, die zulässige Route nach Artikel 32 wählen und jede Anhang-I-Anforderung vor den CRA-Fristen prüfen. Kostenloses XLSX, ohne E-Mail."
canonical: https://www.orbiqhq.com/de/vorlagen/cra-konformitaets-selbstbewertung-vorlage
html: https://www.orbiqhq.com/de/vorlagen/cra-konformitaets-selbstbewertung-vorlage
publisher: Orbiq GmbH
language: en
---
# CRA-Konformitäts-Selbstbewertung: Kostenlose Vorlage (Excel)

Produkt klassifizieren, die zulässige Route nach Artikel 32 wählen und jede Anhang-I-Anforderung vor den CRA-Fristen prüfen. Kostenloses XLSX, ohne E-Mail.


**Diese kostenlose CRA-Konformitäts-Selbstbewertung ist ein herunterladbares Excel-Arbeitsbuch (plus PDF-Feldleitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar), das Hersteller durch die vier Fragen führt, die die [Verordnung (EU) 2024/2847](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) entscheidend macht: Ist das Produkt im Anwendungsbereich? Welcher Klasse gehört es an (Standard, wichtig Klasse I oder II, oder kritisch)? Welche Konformitätsbewertungsroute nach Artikel 32 ist für diese Klasse zulässig — und erfüllt es jede Anforderung aus Anhang I Teil I (die 14 Produkteigenschaften) und Teil II (die 8 Prozesse der Schwachstellenbehandlung)? Status-Dropdowns, Nachweisspalten und ein Readiness-Blatt für Dokumentation und Meldepflichten inklusive. Ohne Registrierung.**

Das Timing wiegt schwerer, als die meisten Hersteller wahrhaben wollen. Die Meldepflichten des Artikels 14 gelten ab dem **11. September 2026** — auch für Produkte, die bereits auf dem Markt sind — und das vollständige Regime der grundlegenden Anforderungen greift am **11. Dezember 2027**. Notifizierte Stellen können erst ab dem 11. Juni 2026 benannt werden, sodass Bewertungskapazität genau dann knapp sein wird, wenn Hersteller der Klassen I und II sie brauchen. Die Selbstbewertung existiert, um früh und auf dem Papier zu beantworten: *Welche Route brauchen wir, und wie groß ist die Lücke?*

## Die wichtigsten Erkenntnisse

1. **Die Klassifizierung kommt zuerst — und sie folgt der Kernfunktionalität.** Die [Durchführungsverordnung (EU) 2025/2392](https://eur-lex.europa.eu/eli/reg_impl/2025/2392/oj), erlassen am 28. November 2025, liefert verbindliche technische Beschreibungen für alle 26 wichtigen und kritischen Kategorien — und klassifiziert Produkte danach, was sie *im Kern sind*, nicht danach, was sie enthalten. Ein Router mit eingebauter Firewall ist ein Router; eine eigenständige Firewall ist Klasse II. Das erste Blatt des Arbeitsbuchs geht alle 19 + 4 + 3 Kategorien mit genau diesem Test durch.
2. **Die Selbstbewertung ist die Standardroute — aber eine bedingte.** Die interne Fertigungskontrolle nach Modul A steht jedem Standardprodukt offen. Für wichtige Produkte der Klasse I ist sie *nur* verfügbar, wo harmonisierte Normen, gemeinsame Spezifikationen oder EUCC-Zertifikate vollständig angewendet werden — und da sich die harmonisierten CRA-Normen Mitte 2026 noch in Entwicklung befinden (Normungsauftrag M/606: 41 Normen, angenommen von CEN, CENELEC und ETSI am 3. April 2025), ist diese Bedingung heute kaum zu erfüllen. Stand Ende Juli 2026 ist keine einzige harmonisierte CRA-Norm im Amtsblatt der EU zitiert und keine notifizierte Stelle in NANDO gelistet — planen Sie Klasse I daher vorerst als Route mit notifizierter Stelle, bis Normen im Amtsblatt zitiert sind.
3. **Anhang I ist prüfbar — also prüfen Sie ihn.** Teil I Nummer 2 gilt „soweit anwendbar" *auf der Grundlage der Cybersicherheits-Risikobewertung* (Artikel 13 Abs. 2) — jedes „nicht anwendbar" braucht also eine dokumentierte Begründung, kein Achselzucken. Die Checklisten-Blätter erzwingen genau das.
4. **Die Meldebereitschaft ist ein Problem für 2026, nicht für 2027.** Ab dem 11. September 2026 lösen aktiv ausgenutzte Schwachstellen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen 14 Tagen über die [zentrale Meldeplattform der ENISA](https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp) aus — schwerwiegende Vorfälle laufen mit 24 h / 72 h / 1 Monat. Das Readiness-Blatt verfolgt den Prozess, den Plattformzugang und die Nutzerinformationspflicht nach Artikel 14 Abs. 8.
5. **Die Bußgelder haben DORA-Format.** Verstöße gegen Anhang I oder die Artikel 13/14 erreichen **15 Mio. EUR oder 2,5 % des weltweiten Umsatzes** (Artikel 64) — und nicht konforme Produkte können obendrein vom Markt genommen werden.

## Was im Arbeitsbuch steckt

| Blatt | Was es enthält | Warum es wichtig ist |
|---|---|---|
| **1. Anwendungsbereich & Klassifizierung** | Produktfakten, der Scope-Test nach Artikel 2 (einschließlich der sektoralen Ausnahmen und der SaaS-Grenze) und die vollständigen Kategorien-Checklisten der Anhänge III und IV mit der Kernfunktionalitätsregel | Alles Nachgelagerte — Route, notifizierte Stelle, Kosten — hängt an dieser Antwort |
| **2. Konformitätsroute** | Die Entscheidungslogik des Artikels 32: zulässige Module je Klasse, die Bedingung der harmonisierten Normen für Klasse I, die FOSS-Ausnahme, das Kennzeichen für die notifizierte Stelle, das Markteintritts-Timing gegenüber dem 11.12.2027 | Eine unzulässige Route bedeutet, die Bewertung unter Zeitdruck zu wiederholen |
| **3. Anhang I Teil I** | Die 14 Anforderungen an die Produkteigenschaften — Nummer 1 plus Nummer 2 Buchstaben a–m — jeweils mit Status, Nachweisreferenz, Verantwortlichem und Notizen | Die Substanz der CRA-Konformität |
| **4. Anhang I Teil II** | Die 8 Anforderungen an die Schwachstellenbehandlung: SBOM, Behebung, Tests, Offenlegung, CVD-Richtlinie, Kontakt, sichere Updates, kostenlose Verbreitung | Prozesspflichten, die über den gesamten Unterstützungszeitraum laufen |
| **5. Doku & Meldepflichten** | Die Elemente der technischen Dokumentation nach Anhang VII, der Unterstützungszeitraum nach Artikel 13 Abs. 8 (mindestens 5 Jahre, sofern keine kürzere Nutzung erwartet wird), Artikel-14-Readiness, CE-Kennzeichnung, Bußgeldexposition | Die Akte, nach der eine notifizierte Stelle oder Marktüberwachungsbehörde fragt |

Die Statuswerte lauten durchgängig *Konform / Teilweise / Lücke / Nicht anwendbar (begründet)*, mit Dropdown-Validierungen, und ein durchgerechnetes Beispiel zeigt anhand eines fiktiven Endpoint-Monitoring-Agenten eine abgeschlossene Klassifizierungsentscheidung. Die [maschinenlesbare Markdown-Variante](/downloads/templates/de/cra-conformity-self-assessment.md) trägt die vollständigen Felddefinitionen, die Klassifizierungs-Enums und die Routenableitung als Pseudocode — ein KI-Agent kann allein aus der Datei ein Produkt klassifizieren, die zulässigen Routen ableiten und einen Gap-Report erstellen.

## So nutzen Sie die Vorlage

1. **Führen Sie den Scope-Test ehrlich durch.** Software oder Hardware mit einer direkten oder indirekten Datenverbindung, die kommerziell auf dem EU-Markt bereitgestellt wird, ist drin — es sei denn, ein sektorales Regime (Medizinprodukte, Luftfahrt, Fahrzeuge, Schiffsausrüstung) deckt sie bereits ab. Reines SaaS ist außerhalb des Anwendungsbereichs, sofern es nicht die Datenfernverarbeitungslösung eines Produkts ist.
2. **Klassifizieren Sie nach Kernfunktionalität.** Gehen Sie die 19 Kategorien der Klasse I, die 4 der Klasse II und die 3 kritischen Kategorien durch und prüfen Sie jeden Treffer gegen die technischen Beschreibungen der CIR (EU) 2025/2392. Halten Sie die Begründung fest — Marktüberwachungsbehörden können danach fragen, und eine falsche Klasse macht die gewählte Route ungültig.
3. **Leiten Sie die Route ab und prüfen Sie die Normenbedingung nach.** Wenn Sie Klasse I sind und auf die Selbstbewertung setzen, verifizieren Sie, dass harmonisierte Normen, die die einschlägigen Anforderungen abdecken, tatsächlich im Amtsblatt der EU zitiert sind — nicht bloß im Entwurf existieren —, bevor Sie sich auf Modul A verlassen.
4. **Arbeiten Sie die beiden Anhang-I-Checklisten ab.** Verankern Sie jeden Status in Nachweisen (Architekturdokumente, Testberichte, Richtliniendokumente) und begründen Sie jedes N/A aus der Risikobewertung. Teil II ist Prozess, nicht Produkt: Eine einmal generierte SBOM ist ein *Teilweise*, kein *Konform*.
5. **Schließen Sie die Lücken bei Dokumentation und Meldepflichten.** Die Dokumentation nach Anhang VII muss vor dem Inverkehrbringen existieren; der Unterstützungszeitraum muss bestimmt und angegeben sein (mindestens 5 Jahre, sofern nicht ernsthaft eine kürzere Nutzung erwartet wird); der Artikel-14-Prozess muss am 11. September 2026 stehen.

## Rechtsgrundlage

- **[Verordnung (EU) 2024/2847](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) (Cyber Resilience Act), Artikel 32 und Anhang VIII** — die Konformitätsbewertungsverfahren: interne Fertigungskontrolle (Modul A), EU-Baumusterprüfung plus Konformität mit dem Baumuster (Module B und C), umfassende Qualitätssicherung (Modul H) sowie europäische Cybersicherheits-Zertifizierungsschemata; mit den oben beschriebenen klassenabhängigen Beschränkungen und der Ausnahme der öffentlichen Dokumentation für freie und quelloffene Software.
- **Anhang III und Anhang IV, präzisiert durch die [Durchführungsverordnung (EU) 2025/2392 der Kommission](https://eur-lex.europa.eu/eli/reg_impl/2025/2392/oj)** — die wichtigen (Klasse I und II) und kritischen Produktkategorien mit verbindlichen technischen Beschreibungen und dem Klassifizierungsprinzip der Kernfunktionalität.
- **Anhang I** — Teil I: Anforderungen an die Produkteigenschaften (Nummer 1 und Nummer 2 Buchstaben a–m); Teil II: Anforderungen an die Schwachstellenbehandlung (Nummern 1–8); anwendbar über Artikel 6 und Artikel 13.
- **Artikel 13** — das Pflichtenpaket des Herstellers: die Cybersicherheits-Risikobewertung (Abs. 2–3), die die Anwendbarkeit des Anhangs I steuert, der Unterstützungszeitraum von mindestens 5 Jahren (Abs. 8) und die Dokumentationspflichten.
- **Artikel 14** — Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle ab dem 11. September 2026 über die zentrale Meldeplattform (Artikel 16), mit den Fristenleitern 24 h / 72 h / 14 Tage und 24 h / 72 h / 1 Monat.
- **Artikel 64** — Sanktionen: bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen Anhang I oder die Artikel 13/14.

Das vollständige regulatorische Bild zeichnen unsere Leitfäden zum [Cyber Resilience Act](/de/eu-vorschriften/cyber-resilience-act) und zu den [CRA-Artikeln 13 und 14](/de/eu-vorschriften/cyber-resilience-act-article-13-14).

### Marktüberwachung in Deutschland: das BSI

Für deutsche Hersteller steht die Behördenlandschaft bereits fest: Die Bundesregierung hat das **BSI** sowohl als Marktüberwachungsbehörde als auch als notifizierende Behörde für den CRA benannt (angekündigt im Oktober 2025 und der Europäischen Kommission notifiziert). Das deutsche CRA-Durchführungsgesetz — der Regierungsentwurf (BT-Drs. 21/6134) ändert das BSIG und verankert die Marktüberwachungsrolle des BSI in § 65 BSIG-E — wurde am **29. April 2026** vom Bundeskabinett beschlossen und liegt im Juli 2026 noch im Bundestag. Auf europäischer Ebene führt das BSI seit März 2026 den Vorsitz der EU-weiten Gruppe der CRA-Marktüberwachungsbehörden und arbeitet an einer Technischen Richtlinie zur CRA-Konformität (Teil 1: allgemeine Anforderungen, Teil 2: SBOM) — ein deutlicher Hinweis darauf, wie die deutsche Aufsicht Nachweise künftig lesen wird.

## Vereinigtes Königreich und Norwegen/EWR

**UK:** Es gibt noch kein britisches CRA-Äquivalent. Das [PSTI-Regime](https://www.legislation.gov.uk/ukpga/2022/46/contents), in Kraft seit dem 29. April 2024, erfasst vernetzte Verbraucherprodukte mit einem deutlich schmaleren Katalog (Passwortregeln, Vulnerability-Disclosure-Richtlinie, Transparenz über den Update-Zeitraum) — ein PSTI-konformes Produkt ist von CRA-Konformität weit entfernt, weshalb britische Hersteller, die in die EU verkaufen, direkt gegen den CRA bewerten sollten. **Norwegen/EWR:** Der CRA ist als EWR-relevant gekennzeichnet und dürfte in das EWR-Abkommen übernommen werden; Hersteller aus Norwegen, Island und Liechtenstein, die Produkte auf dem EU-Binnenmarkt bereitstellen, sind unabhängig vom Übernahmezeitplan praktisch im Anwendungsbereich.

## Von der Selbstbewertung zum käufersichtbaren Nachweis

Das Arbeitsbuch sagt Ihnen, wo Sie stehen. Zunehmend stellen Ihre *Käufer* dieselben Fragen — Einkaufsabteilungen prüfen Hardware- und Softwareanbieter schon deutlich vor 2027 auf CRA-Readiness. [Orbiq](/de/plattform/trust-updates) veröffentlicht die Nachweise, die diese Bewertung produziert — Security Advisories, SBOM- und Update-Richtlinien, Angaben zum Unterstützungszeitraum — in einem gesteuerten [Trust Center](/de/trust-center/was-ist-ein-trust-center), sodass dieselbe Arbeit Regulierer und Kunden in einem Zug beantwortet. Für die Offenlegungspflicht nach Anhang I Teil II kombinieren Sie dieses Arbeitsbuch mit unserer [CRA-Schwachstellen-Advisory-Vorlage](/de/vorlagen/cra-schwachstellen-advisory-vorlage).

## Quellen & Referenzen

1. [Verordnung (EU) 2024/2847 (Cyber Resilience Act) — Volltext](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) — Artikel 13, 14, 32, 64; Anhänge I, III, IV, VII, VIII.
2. [Durchführungsverordnung (EU) 2025/2392 der Kommission](https://eur-lex.europa.eu/eli/reg_impl/2025/2392/oj) — technische Beschreibungen der wichtigen und kritischen Produktkategorien; erlassen am 28. November 2025.
3. [Europäische Kommission — CRA-Zusammenfassung des Gesetzestexts](https://digital-strategy.ec.europa.eu/en/policies/cra-summary) — Anwendungsdaten, Klassifizierung, Konformitätsverfahren.
4. [Europäische Kommission — CRA-Normung](https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation) — Normungsauftrag M/606 mit 41 Normen.
5. [CEN/CENELEC — CRA standardization request officially accepted](https://www.cencenelec.eu/news-events/news/2025/newsletter/ots-62-cra/) — angenommen am 3. April 2025.
6. [ENISA — Single Reporting Platform (SRP)](https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp) — betriebsbereit zum 11. September 2026 für Meldungen nach Artikel 14.
7. [Europäische Kommission — CRA-Meldepflichten](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) — die Fristen des Artikels 14 und die Plattform.
8. [UK Product Security and Telecommunications Infrastructure Act 2022](https://www.legislation.gov.uk/ukpga/2022/46/contents) — das britische Produktsicherheitsregime.
9. [heise online — Cyber Resilience Act: BSI wird Marktüberwachungsbehörde](https://www.heise.de/en/news/Cyber-Resilience-Act-BSI-becomes-market-supervisory-authority-10733692.html) — Benennung des BSI als Marktüberwachungs- und notifizierende Behörde.
10. [Europäische Kommission — CRA market surveillance group](https://digital-strategy.ec.europa.eu/en/news/cyber-resilience-act-eu-market-surveillance-group-elects-new-chair-and-vice-chair) — das BSI im Vorsitz der EU-weiten Gruppe der CRA-Marktüberwachungsbehörden.

## Weiterführende Artikel

- [Cyber Resilience Act: Anforderungen, Anwendungsbereich & Fristen](/de/eu-vorschriften/cyber-resilience-act)
- [CRA-Artikel 13 & 14: Herstellerpflichten und Meldepflichten](/de/eu-vorschriften/cyber-resilience-act-article-13-14)
- [Kostenlose Vorlage: CRA Schwachstellen-Advisory (DOCX + ausgefülltes Beispiel)](/de/vorlagen/cra-schwachstellen-advisory-vorlage) — das Offenlegungs-Pendant zu Anhang I Teil II