CRA-Checkliste für Hersteller & App-Anbieter: 20 Punkte als PDF
Alle Pflichten aus dem Cyber Resilience Act entlang des Produktlebenszyklus – zum Ausdrucken, Abhaken und Weiterreichen im nächsten Produkt-Meeting.
Keine 40 Seiten Verordnungstext: Die CRA-Checkliste stellt 20 Prüffragen in klarer Sprache – von Design über Entwicklung und Release bis Betrieb und Meldewesen. Zu jedem Punkt steht das „bis wann" (09/2026 oder 12/2027) und wer ihn typischerweise löst: ihr intern, eure Rechtsberatung oder euer Entwicklungspartner. Kostenlos, gegen eine E-Mail-Adresse.
Was in der CRA-Checkliste steckt
20 Punkte in fünf Blöcken, sortiert wie euer Produktalltag – von der ersten Designentscheidung bis zum laufenden Betrieb, statt nach Artikelnummern der Verordnung:
CRA-Checkliste.pdf · Inhalt
1.0
Design & Konzeption
4 PunkteRisikobewertung, Produktklassifizierung, sichere Voreinstellungen, Supportzeitraum festlegen.
2.0
Entwicklung
5 PunkteSBOM in der CI, Verschlüsselung auf allen Strecken, Angriffsflächen-Review, Umgang mit Vendor-SDKs.
3.0
Release & Dokumentation
4 PunkteTechnische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Nutzerinformationen.
4.0
Betrieb
4 PunkteCVE-Monitoring, Patch-Prozess mit SLA, Feld-Telemetrie, Zugriff auf Code, Keys und Store-Konten gesichert.
5.0
Meldewesen
3 PunkteEingangskanal für Schwachstellenmeldungen, 24-h-Prozess mit Vertretung, Kanal zur Nutzerbenachrichtigung.
Vorgeschmack: 5 der 20 Prüffragen
Eine Frage aus jedem der fünf Blöcke. Jedes „Nein“ oder „Weiß nicht“ ist ein Punkt für euer Maßnahmen-Backlog:
01
Habt ihr für jedes Produkt einen Supportzeitraum festgelegt und dokumentiert – und ist die Wartung eurer App über diese gesamte Zeit vertraglich gesichert?
02
Erzeugt jeder App-Release automatisch eine SBOM, die auch native Ebenen und Vendor-SDKs umfasst?
03
Könntet ihr eure technische Dokumentation nach CRA morgen einer Marktüberwachungsbehörde vorlegen – oder müsste sie erst geschrieben werden?
04
Habt ihr faktischen Zugriff auf Quellcode, Signing-Keys und beide Store-Konten – unabhängig von jeder einzelnen Person oder Agentur?
05
Erreicht eine Schwachstellenmeldung, die Freitagabend eingeht, bis Samstagmittag eine entscheidungsbefugte Person?
Die restlichen 15 Fragen – inklusive Fristen-Zuordnung und Zuständigkeits-Markierung – stehen im PDF: Jetzt anfordern →
CRA-Checkliste anfordern
Trag dich ein – du bekommst das PDF innerhalb eines Werktags per E-Mail. Kein Spam, keine Weitergabe der Adresse, und wir melden uns nur dann persönlich, wenn du es möchtest.
So sieht ein Punkt im PDF aus:
Auszug · Block 5: Meldewesen
18
Erreicht eine Schwachstellenmeldung, die Freitagabend eingeht, bis Samstagmittag eine entscheidungsbefugte Person?
Alle 20 Punkte tragen Frist und Zuständigkeit – so wird aus dem Abhaken direkt eine Aufgabenliste.
Von der Checkliste zum Maßnahmenplan
Die Checkliste sagt euch, wo es hakt. Für den nächsten Schritt gibt es zwei Wege – je nachdem, ob ihr selbst tiefer einsteigen oder direkt Klarheit haben wollt:
Selbst einordnen
Verstehen, was hinter den Punkten steckt
CRA-Leitfaden →
Alle Pflichten und Fristen im Zusammenhang – das große Bild hinter den 20 Punkten.
CRA-Anforderungen an Apps →
Die technische Umsetzung – von sicheren Voreinstellungen bis zur SBOM.
Kostenlos, im eigenen Tempo, ohne Gespräch.
Prüfen lassen
Zu viele offene Häkchen?
Der CRA-Readiness-Check macht aus der Checkliste einen priorisierten Maßnahmenkatalog an eurer echten App – in 2–3 Tagen, zum Festpreis.
Häufige Fragen zur CRA-Checkliste
Kurze Antworten zu Inhalt, Nutzung und Aktualität – für den Einzelfall gilt wie immer: keine Rechtsberatung.
Ihr ahnt schon, dass mehr als ein Häkchen fehlt?
Sprich direkt mit James & Joanna – ohne Vertrieb, ohne Umwege.
25+
Jahre Erfahrung
40+
Anwendungen
10+
Top-DACH-Firmen vertrauen
MVP
~6 Wochen
Buche eine 15-minütige Erstberatung – kostenlos & unverbindlich.
Lieber direkt klären statt abhaken – CRA-Ersteinschätzung anfragen
Du willst nicht erst abhaken, sondern direkt sprechen? Schilder uns kurz euer Produkt und eure App – zwei, drei Sätze reichen. Du bekommst werktags innerhalb von 24 Stunden eine ehrliche Ersteinschätzung, welche der 20 Punkte bei euch vermutlich offen sind. Unverbindlich und ohne Verkaufsdruck.
Deine Daten werden ausschließlich zur Kontaktaufnahme verwendet. Keine Weitergabe an Dritte.
