CRA-Konformitäts-Selbstbewertung: Kostenlose Vorlage (Excel)

Kostenlose CRA-Konformitäts-Selbstbewertung (Anhang I, Excel)

Diese kostenlose CRA-Konformitäts-Selbstbewertung ist ein herunterladbares Excel-Arbeitsbuch (plus PDF-Feldleitfaden und maschinenlesbares Markdown; die herunterladbaren Dateien sind auf Deutsch verfügbar), das Hersteller durch die vier Fragen führt, die die Verordnung (EU) 2024/2847 entscheidend macht: Ist das Produkt im Anwendungsbereich? Welcher Klasse gehört es an (Standard, wichtig Klasse I oder II, oder kritisch)? Welche Konformitätsbewertungsroute nach Artikel 32 ist für diese Klasse zulässig — und erfüllt es jede Anforderung aus Anhang I Teil I (die 14 Produkteigenschaften) und Teil II (die 8 Prozesse der Schwachstellenbehandlung)? Status-Dropdowns, Nachweisspalten und ein Readiness-Blatt für Dokumentation und Meldepflichten inklusive. Ohne Registrierung.

Das Timing wiegt schwerer, als die meisten Hersteller wahrhaben wollen. Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026 — auch für Produkte, die bereits auf dem Markt sind — und das vollständige Regime der grundlegenden Anforderungen greift am 11. Dezember 2027. Notifizierte Stellen können erst ab dem 11. Juni 2026 benannt werden, sodass Bewertungskapazität genau dann knapp sein wird, wenn Hersteller der Klassen I und II sie brauchen. Die Selbstbewertung existiert, um früh und auf dem Papier zu beantworten: Welche Route brauchen wir, und wie groß ist die Lücke?

Die wichtigsten Erkenntnisse

1. Die Klassifizierung kommt zuerst — und sie folgt der Kernfunktionalität. Die Durchführungsverordnung (EU) 2025/2392, erlassen am 28. November 2025, liefert verbindliche technische Beschreibungen für alle 26 wichtigen und kritischen Kategorien — und klassifiziert Produkte danach, was sie im Kern sind, nicht danach, was sie enthalten. Ein Router mit eingebauter Firewall ist ein Router; eine eigenständige Firewall ist Klasse II. Das erste Blatt des Arbeitsbuchs geht alle 19 + 4 + 3 Kategorien mit genau diesem Test durch.
2. Die Selbstbewertung ist die Standardroute — aber eine bedingte. Die interne Fertigungskontrolle nach Modul A steht jedem Standardprodukt offen. Für wichtige Produkte der Klasse I ist sie nur verfügbar, wo harmonisierte Normen, gemeinsame Spezifikationen oder EUCC-Zertifikate vollständig angewendet werden — und da sich die harmonisierten CRA-Normen Mitte 2026 noch in Entwicklung befinden (Normungsauftrag M/606: 41 Normen, angenommen von CEN, CENELEC und ETSI am 3. April 2025), ist diese Bedingung heute kaum zu erfüllen. Stand Ende Juli 2026 ist keine einzige harmonisierte CRA-Norm im Amtsblatt der EU zitiert und keine notifizierte Stelle in NANDO gelistet — planen Sie Klasse I daher vorerst als Route mit notifizierter Stelle, bis Normen im Amtsblatt zitiert sind.
3. Anhang I ist prüfbar — also prüfen Sie ihn. Teil I Nummer 2 gilt „soweit anwendbar" auf der Grundlage der Cybersicherheits-Risikobewertung (Artikel 13 Abs. 2) — jedes „nicht anwendbar" braucht also eine dokumentierte Begründung, kein Achselzucken. Die Checklisten-Blätter erzwingen genau das.
4. Die Meldebereitschaft ist ein Problem für 2026, nicht für 2027. Ab dem 11. September 2026 lösen aktiv ausgenutzte Schwachstellen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen 14 Tagen über die zentrale Meldeplattform der ENISA aus — schwerwiegende Vorfälle laufen mit 24 h / 72 h / 1 Monat. Das Readiness-Blatt verfolgt den Prozess, den Plattformzugang und die Nutzerinformationspflicht nach Artikel 14 Abs. 8.
5. Die Bußgelder haben DORA-Format. Verstöße gegen Anhang I oder die Artikel 13/14 erreichen 15 Mio. EUR oder 2,5 % des weltweiten Umsatzes (Artikel 64) — und nicht konforme Produkte können obendrein vom Markt genommen werden.

Was im Arbeitsbuch steckt

Blatt	Was es enthält	Warum es wichtig ist
1. Anwendungsbereich & Klassifizierung	Produktfakten, der Scope-Test nach Artikel 2 (einschließlich der sektoralen Ausnahmen und der SaaS-Grenze) und die vollständigen Kategorien-Checklisten der Anhänge III und IV mit der Kernfunktionalitätsregel	Alles Nachgelagerte — Route, notifizierte Stelle, Kosten — hängt an dieser Antwort
2. Konformitätsroute	Die Entscheidungslogik des Artikels 32: zulässige Module je Klasse, die Bedingung der harmonisierten Normen für Klasse I, die FOSS-Ausnahme, das Kennzeichen für die notifizierte Stelle, das Markteintritts-Timing gegenüber dem 11.12.2027	Eine unzulässige Route bedeutet, die Bewertung unter Zeitdruck zu wiederholen
3. Anhang I Teil I	Die 14 Anforderungen an die Produkteigenschaften — Nummer 1 plus Nummer 2 Buchstaben a–m — jeweils mit Status, Nachweisreferenz, Verantwortlichem und Notizen	Die Substanz der CRA-Konformität
4. Anhang I Teil II	Die 8 Anforderungen an die Schwachstellenbehandlung: SBOM, Behebung, Tests, Offenlegung, CVD-Richtlinie, Kontakt, sichere Updates, kostenlose Verbreitung	Prozesspflichten, die über den gesamten Unterstützungszeitraum laufen
5. Doku & Meldepflichten	Die Elemente der technischen Dokumentation nach Anhang VII, der Unterstützungszeitraum nach Artikel 13 Abs. 8 (mindestens 5 Jahre, sofern keine kürzere Nutzung erwartet wird), Artikel-14-Readiness, CE-Kennzeichnung, Bußgeldexposition	Die Akte, nach der eine notifizierte Stelle oder Marktüberwachungsbehörde fragt

Die Statuswerte lauten durchgängig Konform / Teilweise / Lücke / Nicht anwendbar (begründet), mit Dropdown-Validierungen, und ein durchgerechnetes Beispiel zeigt anhand eines fiktiven Endpoint-Monitoring-Agenten eine abgeschlossene Klassifizierungsentscheidung. Die maschinenlesbare Markdown-Variante trägt die vollständigen Felddefinitionen, die Klassifizierungs-Enums und die Routenableitung als Pseudocode — ein KI-Agent kann allein aus der Datei ein Produkt klassifizieren, die zulässigen Routen ableiten und einen Gap-Report erstellen.

So nutzen Sie die Vorlage

1. Führen Sie den Scope-Test ehrlich durch. Software oder Hardware mit einer direkten oder indirekten Datenverbindung, die kommerziell auf dem EU-Markt bereitgestellt wird, ist drin — es sei denn, ein sektorales Regime (Medizinprodukte, Luftfahrt, Fahrzeuge, Schiffsausrüstung) deckt sie bereits ab. Reines SaaS ist außerhalb des Anwendungsbereichs, sofern es nicht die Datenfernverarbeitungslösung eines Produkts ist.
2. Klassifizieren Sie nach Kernfunktionalität. Gehen Sie die 19 Kategorien der Klasse I, die 4 der Klasse II und die 3 kritischen Kategorien durch und prüfen Sie jeden Treffer gegen die technischen Beschreibungen der CIR (EU) 2025/2392. Halten Sie die Begründung fest — Marktüberwachungsbehörden können danach fragen, und eine falsche Klasse macht die gewählte Route ungültig.
3. Leiten Sie die Route ab und prüfen Sie die Normenbedingung nach. Wenn Sie Klasse I sind und auf die Selbstbewertung setzen, verifizieren Sie, dass harmonisierte Normen, die die einschlägigen Anforderungen abdecken, tatsächlich im Amtsblatt der EU zitiert sind — nicht bloß im Entwurf existieren —, bevor Sie sich auf Modul A verlassen.
4. Arbeiten Sie die beiden Anhang-I-Checklisten ab. Verankern Sie jeden Status in Nachweisen (Architekturdokumente, Testberichte, Richtliniendokumente) und begründen Sie jedes N/A aus der Risikobewertung. Teil II ist Prozess, nicht Produkt: Eine einmal generierte SBOM ist ein Teilweise, kein Konform.
5. Schließen Sie die Lücken bei Dokumentation und Meldepflichten. Die Dokumentation nach Anhang VII muss vor dem Inverkehrbringen existieren; der Unterstützungszeitraum muss bestimmt und angegeben sein (mindestens 5 Jahre, sofern nicht ernsthaft eine kürzere Nutzung erwartet wird); der Artikel-14-Prozess muss am 11. September 2026 stehen.

Rechtsgrundlage

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 32 und Anhang VIII — die Konformitätsbewertungsverfahren: interne Fertigungskontrolle (Modul A), EU-Baumusterprüfung plus Konformität mit dem Baumuster (Module B und C), umfassende Qualitätssicherung (Modul H) sowie europäische Cybersicherheits-Zertifizierungsschemata; mit den oben beschriebenen klassenabhängigen Beschränkungen und der Ausnahme der öffentlichen Dokumentation für freie und quelloffene Software.
• Anhang III und Anhang IV, präzisiert durch die Durchführungsverordnung (EU) 2025/2392 der Kommission — die wichtigen (Klasse I und II) und kritischen Produktkategorien mit verbindlichen technischen Beschreibungen und dem Klassifizierungsprinzip der Kernfunktionalität.
• Anhang I — Teil I: Anforderungen an die Produkteigenschaften (Nummer 1 und Nummer 2 Buchstaben a–m); Teil II: Anforderungen an die Schwachstellenbehandlung (Nummern 1–8); anwendbar über Artikel 6 und Artikel 13.
• Artikel 13 — das Pflichtenpaket des Herstellers: die Cybersicherheits-Risikobewertung (Abs. 2–3), die die Anwendbarkeit des Anhangs I steuert, der Unterstützungszeitraum von mindestens 5 Jahren (Abs. 8) und die Dokumentationspflichten.
• Artikel 14 — Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle ab dem 11. September 2026 über die zentrale Meldeplattform (Artikel 16), mit den Fristenleitern 24 h / 72 h / 14 Tage und 24 h / 72 h / 1 Monat.
• Artikel 64 — Sanktionen: bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen Anhang I oder die Artikel 13/14.

Das vollständige regulatorische Bild zeichnen unsere Leitfäden zum Cyber Resilience Act und zu den CRA-Artikeln 13 und 14.

Marktüberwachung in Deutschland: das BSI

Für deutsche Hersteller steht die Behördenlandschaft bereits fest: Die Bundesregierung hat das BSI sowohl als Marktüberwachungsbehörde als auch als notifizierende Behörde für den CRA benannt (angekündigt im Oktober 2025 und der Europäischen Kommission notifiziert). Das deutsche CRA-Durchführungsgesetz — der Regierungsentwurf (BT-Drs. 21/6134) ändert das BSIG und verankert die Marktüberwachungsrolle des BSI in § 65 BSIG-E — wurde am 29. April 2026 vom Bundeskabinett beschlossen und liegt im Juli 2026 noch im Bundestag. Auf europäischer Ebene führt das BSI seit März 2026 den Vorsitz der EU-weiten Gruppe der CRA-Marktüberwachungsbehörden und arbeitet an einer Technischen Richtlinie zur CRA-Konformität (Teil 1: allgemeine Anforderungen, Teil 2: SBOM) — ein deutlicher Hinweis darauf, wie die deutsche Aufsicht Nachweise künftig lesen wird.

Vereinigtes Königreich und Norwegen/EWR

UK: Es gibt noch kein britisches CRA-Äquivalent. Das PSTI-Regime, in Kraft seit dem 29. April 2024, erfasst vernetzte Verbraucherprodukte mit einem deutlich schmaleren Katalog (Passwortregeln, Vulnerability-Disclosure-Richtlinie, Transparenz über den Update-Zeitraum) — ein PSTI-konformes Produkt ist von CRA-Konformität weit entfernt, weshalb britische Hersteller, die in die EU verkaufen, direkt gegen den CRA bewerten sollten. Norwegen/EWR: Der CRA ist als EWR-relevant gekennzeichnet und dürfte in das EWR-Abkommen übernommen werden; Hersteller aus Norwegen, Island und Liechtenstein, die Produkte auf dem EU-Binnenmarkt bereitstellen, sind unabhängig vom Übernahmezeitplan praktisch im Anwendungsbereich.

Von der Selbstbewertung zum käufersichtbaren Nachweis

Das Arbeitsbuch sagt Ihnen, wo Sie stehen. Zunehmend stellen Ihre Käufer dieselben Fragen — Einkaufsabteilungen prüfen Hardware- und Softwareanbieter schon deutlich vor 2027 auf CRA-Readiness. Orbiq veröffentlicht die Nachweise, die diese Bewertung produziert — Security Advisories, SBOM- und Update-Richtlinien, Angaben zum Unterstützungszeitraum — in einem gesteuerten Trust Center, sodass dieselbe Arbeit Regulierer und Kunden in einem Zug beantwortet. Für die Offenlegungspflicht nach Anhang I Teil II kombinieren Sie dieses Arbeitsbuch mit unserer CRA-Schwachstellen-Advisory-Vorlage.

Quellen & Referenzen

1. Verordnung (EU) 2024/2847 (Cyber Resilience Act) — Volltext — Artikel 13, 14, 32, 64; Anhänge I, III, IV, VII, VIII.
2. Durchführungsverordnung (EU) 2025/2392 der Kommission — technische Beschreibungen der wichtigen und kritischen Produktkategorien; erlassen am 28. November 2025.
3. Europäische Kommission — CRA-Zusammenfassung des Gesetzestexts — Anwendungsdaten, Klassifizierung, Konformitätsverfahren.
4. Europäische Kommission — CRA-Normung — Normungsauftrag M/606 mit 41 Normen.
5. CEN/CENELEC — CRA standardization request officially accepted — angenommen am 3. April 2025.
6. ENISA — Single Reporting Platform (SRP) — betriebsbereit zum 11. September 2026 für Meldungen nach Artikel 14.
7. Europäische Kommission — CRA-Meldepflichten — die Fristen des Artikels 14 und die Plattform.
8. UK Product Security and Telecommunications Infrastructure Act 2022 — das britische Produktsicherheitsregime.
9. heise online — Cyber Resilience Act: BSI wird Marktüberwachungsbehörde — Benennung des BSI als Marktüberwachungs- und notifizierende Behörde.
10. Europäische Kommission — CRA market surveillance group — das BSI im Vorsitz der EU-weiten Gruppe der CRA-Marktüberwachungsbehörden.

Weiterführende Artikel

• Cyber Resilience Act: Anforderungen, Anwendungsbereich & Fristen
• CRA-Artikel 13 & 14: Herstellerpflichten und Meldepflichten
• Kostenlose Vorlage: CRA Schwachstellen-Advisory (DOCX + ausgefülltes Beispiel) — das Offenlegungs-Pendant zu Anhang I Teil II