CRA Compliance Checklist for SMEs: 10 Steps to Get Ready Before 2027

The EU Cyber Resilience Act (CRA) becomes fully enforceable in December 2027. If you manufacture products with digital elements and sell them in the EU, you need to comply. But the CRA is a dense regulation, and most SMEs don’t have a dedicated compliance team to work through it.

This checklist breaks CRA compliance down into 10 concrete steps you can start working on today. It’s based on the CRA’s Essential Requirements (Annex I), the ENISA Security by Design and Default Playbook (March 2026), and practical experience with product security processes.

Step 1: Determine if the CRA applies to your product

The CRA applies to all “products with digital elements” placed on the EU market. This includes hardware with embedded software (IoT devices, controllers, sensors), standalone software (desktop apps, mobile apps), connected products (anything with a network interface), and SaaS with on-premise components.

If your product falls into any of these categories and you sell it in the EU, the CRA applies, regardless of where your company is based.

Key question: Does your product contain or consist of software, and is it made available on the EU market?

Step 2: Classify your product

The CRA distinguishes between default products (about 90% of all products, self-assessment is sufficient), important products Class I (identity management, VPNs, routers, etc., third-party assessment or standard required), important products Class II (firewalls, intrusion detection, secure elements, third-party assessment required), and critical products (smart meters, smart cards for advanced security, EU certification required).

Most SME products fall into the default category. Check CRA Annex III and IV for the full classification lists.

Step 3: Conduct a cybersecurity risk assessment

The CRA requires a documented risk assessment for every product (Article 13). The CRA does not mandate a specific methodology, but ENISA recommends threat modeling as the central approach. At minimum, you need to document your product context (what it does, who uses it, what data it processes), identify the most critical assets and threat scenarios, assess the likelihood and impact of each threat, and define mitigations and their verification.

This is where a tool like CompliPeak helps: it guides you through this entire process step by step.

Step 4: Implement security by design and by default

CRA Annex I Part 1 lists the Essential Requirements your product must meet. The key ones are: secure by default configuration (no default passwords, minimal services enabled), protection from unauthorized access (authentication, access control), data confidentiality and integrity (encryption at rest and in transit), attack surface minimization (disable unused interfaces, remove unnecessary code), defense in depth (multiple layers of protection), and logging and monitoring (record security-relevant events).

ENISA’s Playbook defines 22 specific security principles with practical checklists for each.

Step 5: Create and maintain an SBOM

The CRA explicitly requires a Software Bill of Materials (SBOM) in a machine-readable format covering at least the top-level dependencies (Annex I, Part 2, Point 1). Use CycloneDX or SPDX format. Generate the SBOM as part of your build process. Update it with every release. Monitor listed components for known vulnerabilities.

Step 6: Set up vulnerability management

You need a documented process to identify, track, and fix vulnerabilities in your product (Annex I, Part 2, Points 2-8). This includes establishing a public vulnerability disclosure channel (e.g., security@yourcompany.com), defining triage and prioritization criteria, setting response time targets (especially for critical vulnerabilities), and delivering security updates through a secure mechanism.

Starting September 2026, you must also report actively exploited vulnerabilities to ENISA within 24 hours.

Step 7: Prepare your technical documentation

The CRA requires comprehensive technical documentation (Article 31) that you can present during a conformity assessment. This includes a product description and intended use, the cybersecurity risk assessment, a description of how Essential Requirements are met, the SBOM, the EU Declaration of Conformity, and information about your vulnerability handling process.

Step 8: Set up security update capabilities

Your product must support security updates throughout its support period (Annex I, Part 1, Point 2c). Where applicable, automatic security updates should be enabled by default (with an opt-out option). Security updates should be deliverable separately from feature updates. Updates must be cryptographically verified before installation.

Step 9: Define your product’s support period

You must declare and communicate for how long you will provide security updates (minimum 5 years or expected product lifetime, whichever is shorter). Plan your end-of-support and end-of-life process. Include guidance for customers on what happens when support ends.

Step 10: Prepare for the conformity assessment

Before placing your product on the EU market after December 2027, you must complete the appropriate conformity assessment procedure. For most products (default category), a self-assessment based on the Essential Requirements is sufficient. For Class I/II products, you may need to apply harmonized standards or involve a notified body.

Upon successful assessment, you affix the CE marking and issue an EU Declaration of Conformity.

What to do next

The September 2026 vulnerability reporting deadline is only months away. The full compliance deadline in December 2027 is closer than it feels when you factor in development cycles, testing, and documentation.

Start with Step 1 and Step 3. If you can determine your product classification and conduct a basic risk assessment, you’re ahead of most SMEs.

CompliPeak automates Steps 3 through 7: guided risk assessment, threat modeling with CRA requirement mapping, and automated documentation export. Join the waitlist to get early access.

CRA Compliance Checkliste für KMUs: 10 Schritte zur Vorbereitung vor 2027

Der EU Cyber Resilience Act (CRA) wird ab Dezember 2027 vollständig durchgesetzt. Wenn Sie Produkte mit digitalen Elementen herstellen und in der EU verkaufen, müssen Sie konform sein. Aber der CRA ist eine komplexe Verordnung, und die meisten KMUs haben kein dediziertes Compliance-Team.

Diese Checkliste zerlegt die CRA-Compliance in 10 konkrete Schritte, die Sie heute beginnen können. Sie basiert auf den Essential Requirements des CRA (Annex I), dem ENISA Security by Design and Default Playbook (März 2026) und praktischer Erfahrung mit Product-Security-Prozessen.

Schritt 1: Prüfen Sie, ob der CRA auf Ihr Produkt zutrifft

Der CRA gilt für alle “Produkte mit digitalen Elementen”, die auf dem EU-Markt bereitgestellt werden. Das umfasst Hardware mit eingebetteter Software (IoT-Geräte, Controller, Sensoren), eigenständige Software (Desktop-Apps, Mobile Apps), vernetzte Produkte (alles mit Netzwerkschnittstelle) und SaaS mit On-Premise-Komponenten.

Wenn Ihr Produkt in eine dieser Kategorien fällt und Sie es in der EU verkaufen, gilt der CRA, unabhängig vom Firmensitz.

Kernfrage: Enthält oder besteht Ihr Produkt aus Software, und wird es auf dem EU-Markt bereitgestellt?

Schritt 2: Klassifizieren Sie Ihr Produkt

Der CRA unterscheidet zwischen Standardprodukten (ca. 90% aller Produkte, Selbstbewertung genügt), wichtigen Produkten Klasse I (Identitätsmanagement, VPNs, Router etc., Drittprüfung oder Standard nötig), wichtigen Produkten Klasse II (Firewalls, Intrusion Detection, Secure Elements, Drittprüfung nötig) und kritischen Produkten (Smart Meters, Smartcards für fortgeschrittene Sicherheit, EU-Zertifizierung nötig).

Die meisten KMU-Produkte fallen in die Standardkategorie. Prüfen Sie CRA Annex III und IV für die vollständigen Klassifikationslisten.

Schritt 3: Führen Sie eine Cybersecurity-Risikobewertung durch

Der CRA verlangt eine dokumentierte Risikobewertung für jedes Produkt (Artikel 13). Der CRA schreibt keine bestimmte Methodik vor, aber ENISA empfiehlt Threat Modeling als zentralen Ansatz. Mindestens müssen Sie den Produktkontext dokumentieren (was es tut, wer es nutzt, welche Daten es verarbeitet), die kritischsten Assets und Bedrohungsszenarien identifizieren, Wahrscheinlichkeit und Auswirkung jeder Bedrohung bewerten und Massnahmen sowie deren Verifikation definieren.

Genau hier hilft CompliPeak: Es führt Sie Schritt für Schritt durch diesen gesamten Prozess.

Schritt 4: Implementieren Sie Security by Design und by Default

CRA Annex I Teil 1 listet die Essential Requirements, die Ihr Produkt erfüllen muss. Die wichtigsten sind: Secure-by-Default-Konfiguration (keine Standard-Passwörter, minimale Services aktiviert), Schutz vor unbefugtem Zugriff (Authentifizierung, Zugriffskontrolle), Vertraulichkeit und Integrität der Daten (Verschlüsselung im Ruhezustand und bei der Übertragung), Minimierung der Angriffsfläche (ungenutzte Interfaces deaktivieren, unnötigen Code entfernen), Defence in Depth (mehrere Schutzebenen) und Logging und Monitoring (sicherheitsrelevante Ereignisse aufzeichnen).

Das ENISA-Playbook definiert 22 konkrete Security-Prinzipien mit praktischen Checklisten für jedes Prinzip.

Schritt 5: Erstellen und pflegen Sie ein SBOM

Der CRA verlangt explizit ein Software Bill of Materials (SBOM) in einem maschinenlesbaren Format, das mindestens die Top-Level-Abhängigkeiten abdeckt (Annex I, Teil 2, Punkt 1). Verwenden Sie das CycloneDX- oder SPDX-Format. Generieren Sie das SBOM als Teil Ihres Build-Prozesses. Aktualisieren Sie es mit jedem Release. Überwachen Sie die gelisteten Komponenten auf bekannte Schwachstellen.

Schritt 6: Richten Sie Vulnerability Management ein

Sie brauchen einen dokumentierten Prozess, um Schwachstellen in Ihrem Produkt zu identifizieren, zu verfolgen und zu beheben (Annex I, Teil 2, Punkte 2-8). Das umfasst die Einrichtung eines öffentlichen Vulnerability-Disclosure-Kanals (z.B. security@ihreFirma.ch), die Definition von Triage- und Priorisierungskriterien, die Festlegung von Reaktionszeiten (insbesondere für kritische Schwachstellen) und die Bereitstellung von Sicherheitsupdates über einen sicheren Mechanismus.

Ab September 2026 müssen Sie aktiv ausgenutzte Schwachstellen zusätzlich innerhalb von 24 Stunden an ENISA melden.

Schritt 7: Bereiten Sie die technische Dokumentation vor

Der CRA verlangt umfassende technische Dokumentation (Artikel 31), die bei einer Konformitätsbewertung vorgelegt werden kann. Diese umfasst eine Produktbeschreibung und den bestimmungsgemässen Gebrauch, die Cybersecurity-Risikobewertung, eine Beschreibung, wie die Essential Requirements erfüllt werden, das SBOM, die EU-Konformitätserklärung und Informationen zum Vulnerability-Handling-Prozess.

Schritt 8: Stellen Sie Security-Update-Fähigkeiten sicher

Ihr Produkt muss Sicherheitsupdates während der gesamten Supportdauer unterstützen (Annex I, Teil 1, Punkt 2c). Wo möglich, sollten automatische Sicherheitsupdates standardmässig aktiviert sein (mit Opt-out-Option). Sicherheitsupdates sollten getrennt von Feature-Updates auslieferbar sein. Updates müssen vor der Installation kryptografisch verifiziert werden.

Schritt 9: Definieren Sie die Supportdauer Ihres Produkts

Sie müssen deklarieren und kommunizieren, wie lange Sie Sicherheitsupdates bereitstellen (mindestens 5 Jahre oder die erwartete Produktlebensdauer, je nachdem was kürzer ist). Planen Sie Ihren End-of-Support- und End-of-Life-Prozess. Geben Sie Kunden Hinweise, was passiert wenn der Support endet.

Schritt 10: Bereiten Sie die Konformitätsbewertung vor

Bevor Sie Ihr Produkt nach Dezember 2027 auf dem EU-Markt platzieren, müssen Sie das entsprechende Konformitätsbewertungsverfahren abschliessen. Für die meisten Produkte (Standardkategorie) genügt eine Selbstbewertung anhand der Essential Requirements. Für Klasse I/II Produkte müssen Sie möglicherweise harmonisierte Standards anwenden oder eine benannte Stelle einbeziehen.

Nach erfolgreicher Bewertung bringen Sie das CE-Marking an und stellen eine EU-Konformitätserklärung aus.

Wie weiter?

Die Meldepflicht ab September 2026 ist nur noch Monate entfernt. Die volle Compliance-Deadline im Dezember 2027 ist näher als man denkt, wenn man Entwicklungszyklen, Tests und Dokumentation einrechnet.

Beginnen Sie mit Schritt 1 und Schritt 3. Wenn Sie Ihre Produktklassifikation bestimmen und eine grundlegende Risikobewertung durchführen können, sind Sie den meisten KMUs voraus.

CompliPeak automatisiert die Schritte 3 bis 7: geführte Risikobewertung, Threat Modeling mit CRA-Anforderungs-Mapping und automatisierter Dokumentationsexport. Tragen Sie sich auf die Warteliste ein und erhalten Sie Early Access.