---
adresse: "https://qvestcon.com/dora-update-markus-junge/cyber-resilience-act-produktklassen-meldepflichten_4908131b/"
titel: "Cyber Resilience Act: Produktklassen und…"
beschreibung: "Hersteller müssen seit dem 11. September 2026 nach Artikel 14 des Cyber Resilience Act (CRA) aktiv ausgenutzte…"
sprache: "de-DE"
stand: "2026-10-19"
---

Qvestcon News

# Cyber Resilience Act: Pro­dukt­klas­sen und Mel­de­pflich­ten im IT-Einkauf prüfen

Hersteller müssen seit dem 11. September 2026 nach Artikel 14 des Cyber Resilience Act (CRA) aktiv ausgenutzte Schwach­stel­len und schwer­wie­gende Sicher­heits­vor­fälle melden, die sich auf die Sicherheit ihrer unter den CRA fallenden Produkte auswirken. Das betrifft auch bereits vermarktete Produkte. Für Versicherer und Banken empfiehlt Qvestcon, bei der Beschaffung von Infor­ma­ti­ons­tech­nik die Pro­dukt­ein­ord­nung mit dem Hersteller zu klären. Die Meldepflicht der Hersteller bedeutet nicht, dass jedes beschaffende Unternehmen selbst mel­de­pflich­tig ist. Für die Einordnung lassen sich Stan­dard­pro­dukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte unterscheiden. Entscheidend für die Zuordnung zu den Kategorien der Anhänge III und IV ist die Kernfunktion des Produkts. Als praktische Prüf­rei­hen­folge empfiehlt Qvestcon: Zunächst werden Anwen­dungs­be­reich und Ausnahmen geprüft. Anschließend wird die Kernfunktion mit den Kategorien der Anhänge III und IV abgeglichen. Der Einkauf kann die begründete Einordnung beim Hersteller anfordern und für die interne Prüfung dokumentieren.

[Cyber](https://qvestcon.com/news/cyber/)08.10.2026

Hersteller müssen seit dem 11. September 2026 nach Artikel 14 des Cyber Resilience Act (CRA) aktiv ausgenutzte Schwach­stel­len und schwer­wie­gende Sicher­heits­vor­fälle melden, die sich auf die Sicherheit ihrer unter den CRA fallenden Produkte auswirken. Das betrifft auch bereits vermarktete Produkte. Für Versicherer und Banken empfiehlt Qvestcon, bei der Beschaffung von Infor­ma­ti­ons­tech­nik die Pro­dukt­ein­ord­nung mit dem Hersteller zu klären. Die Meldepflicht der Hersteller bedeutet nicht, dass jedes beschaffende Unternehmen selbst mel­de­pflich­tig ist. Für die Einordnung lassen sich Stan­dard­pro­dukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte unterscheiden. Entscheidend für die Zuordnung zu den Kategorien der Anhänge III und IV ist die Kernfunktion des Produkts. Als praktische Prüf­rei­hen­folge empfiehlt Qvestcon: Zunächst werden Anwen­dungs­be­reich und Ausnahmen geprüft. Anschließend wird die Kernfunktion mit den Kategorien der Anhänge III und IV abgeglichen. Der Einkauf kann die begründete Einordnung beim Hersteller anfordern und für die interne Prüfung dokumentieren.

- [#Cyber­Re­si­li­en­ce­Act](https://qvestcon.com/stichwoerter/c-d/#cyberresilienceact)
- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/n-q/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/n-q/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/k-m/#markusjunge)

[Ori­gi­nal­quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act) →](https://eur-lex.europa.eu/eli/reg/2024/2847/oj)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Cyber%20Resilience%20Act%3A%20Produktklassen%20und%20Meldepflichten%20im%20IT-Einkauf%20pr%C3%BCfen#erstgespraech)

[Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)