Korrigiert am 8. November 2026. Der Beitrag hat den Bevollmächtigten in der EU als Pflicht für Schweizer Hersteller dargestellt und dafür Art. 26 genannt. Richtig ist Art. 18 Abs. 1 EU CRA: Ein Hersteller kann einen Bevollmächtigten benennen, er muss es nicht. Liefert ein Schweizer Hersteller über ein Unternehmen in der EU, trägt dieses als Einführer eigene Pflichten nach Art. 19. Die Abschnitte zu Einführer, Bevollmächtigtem und CE-Kennzeichnung sind entsprechend angepasst. Ausserdem klargestellt: Für die Einstufung als Klasse I zählt die Kernfunktionalität des Produkts (Art. 7 Abs. 1), nicht ein verbautes Sicherheitsbauteil.
Aktualisiert am 2. Juni 2026. Ergänzungen seit Erstveröffentlichung: Stand der Schweizer Gesetzgebung (Motion 24.3810, BACS-Vernehmlassung Herbst 2026), Meilenstein 11. Juni 2026 für notifizierte Konformitätsbewertungsstellen sowie vertiefende Verweise auf die Übersichtsseite zum CRA in der Schweiz.
Die Schweiz ist kein EU-Mitglied – der Cyber Resilience Act (CRA) wirkt auf Schweizer Hersteller dennoch unmittelbar, sobald Produkte in der EU bereitgestellt werden. Parallel arbeitet der Bundesrat über die Motion 24.3810 an einer eigenen Schweizer Regelung für die Cybersicherheit digitaler Produkte. Aus Sicht der MEM-Industrie und der digitalen Zulieferer ist die Lage nüchtern zu betrachten: Wer in die EU liefert, setzt heute den EU CRA um – und ist damit für die spätere Schweizer Regelung im Wesentlichen vorbereitet. Eine kompakte Zusammenstellung inklusive Plattform-Antwort finden Sie auf unserer Schweizer CRA-Übersichtsseite.
Doppelte Regulierung: EU CRA und Motion 24.3810
Schweizer Hersteller müssen zwei parallele Stränge im Blick behalten. Beide zielen auf das Sicherheitsniveau digitaler Produkte, sind aber unterschiedlich weit fortgeschritten.
EU Cyber Resilience Act. In Kraft seit 10. Dezember 2024. Meldepflichten ab 11. September 2026, volle Anwendung ab 11. Dezember 2027. Ab 11. Juni 2026 dürfen notifizierte Konformitätsbewertungsstellen Produkte gegen die CRA-Anforderungen prüfen – Schweizer Hersteller können also frühzeitig formale Konformität nachweisen lassen, bevor die Hauptpflichten greifen.
Motion 24.3810 – die Schweizer Antwort. Die Sicherheitspolitische Kommission des Ständerats hat den Bundesrat beauftragt, eine eigene Cybersicherheits-Regulierung für digitale Produkte vorzulegen. Federführend erarbeitet das Bundesamt für Cybersicherheit (BACS) gemeinsam mit BAKOM und SECO bis Herbst 2026 eine Vernehmlassungsvorlage. Im Sinne des autonomen Nachvollzugs wird sich die Schweizer Regelung am EU CRA orientieren, eigenständige Marktüberwachungsregeln definieren und die Grundlage für ein Importverbot unsicherer Geräte schaffen.
Pragmatische Schlussfolgerung. Eine Doppel-Compliance ist nicht zu erwarten. Der Bundesrat hat erkennen lassen, dass die Schweizer Regelung so ausgestaltet wird, dass EU-CRA-konforme Produkte das inländische Niveau weitgehend erfüllen. Wer den EU CRA jetzt sauber umsetzt, deckt damit die voraussichtlichen Schweizer Pflichten zum grossen Teil ab – und kann sich später aktiv in die Vernehmlassung einbringen. Eine kompakte Übersicht zu beiden Regelungen liegt unter CRA-Compliance für die Schweiz bereit.
Marktortprinzip statt Bilaterale
Bei vielen EU-Regulierungen regeln die Bilateralen Verträge eine gegenseitige Anerkennung – beim CRA nicht. Es gibt kein Mutual Recognition Agreement (MRA) wie bei der Maschinenrichtlinie. Massgeblich ist das Marktortprinzip (Art. 2 Abs. 1 CRA): Jedes Produkt, das auf dem EU-Binnenmarkt bereitgestellt wird, muss konform sein – unabhängig vom Sitz des Herstellers.
Für eine exportorientierte Volkswirtschaft ist das relevant: Über die Hälfte aller Schweizer Warenexporte geht in die EU; in der MEM-Industrie, der Embedded- und IoT-Zuliefererbranche sowie der Medizintechnik liegt die EU-Quote spürbar darüber. Für Schweizer Hersteller gelten dieselben Herstellerpflichten wie für Hersteller in der EU. Hinzu kommt in der Lieferkette meist ein Unternehmen in der EU, das als Einführer eigene Prüfpflichten hat.
Einführer und Bevollmächtigter: wer in der EU welche Rolle hat
Schweizer Unternehmen, die Produkte mit digitalen Elementen in der EU vertreiben, haben es mit zwei Rollen auf EU-Seite zu tun. Bringt ein EU-Unternehmen das Produkt in Verkehr, ist es Einführer mit eigenen Pflichten. Einen Bevollmächtigten kann der Hersteller benennen, muss es aber nicht.
Einführer in der EU (Art. 19 EU CRA). Bringt ein Unternehmen mit Sitz in der EU das Produkt unter dem Namen oder der Marke des Schweizer Herstellers in der EU in Verkehr, ist es Einführer (Art. 3 Nr. 16 EU CRA). Vertreibt es das Produkt unter eigenem Namen, gilt es selbst als Hersteller (Art. 21). Vor dem Inverkehrbringen stellt der Einführer sicher, dass der Hersteller die Konformitätsbewertung nach Art. 32 durchgeführt und die technische Dokumentation erstellt hat und dass CE-Kennzeichnung, EU-Konformitätserklärung und Nutzerinformationen nach Anhang II vorliegen (Art. 19 Abs. 2). Der Einführer gibt seinen Namen und seine Kontaktdaten auf dem Produkt, der Verpackung oder den Begleitunterlagen an (Art. 19 Abs. 4) und hält die EU-Konformitätserklärung mindestens zehn Jahre oder für den Unterstützungszeitraum bereit, je nachdem, welcher Zeitraum länger ist (Art. 19 Abs. 6). In Beschaffungsgesprächen mit EU-Einführern ist daher mit konkreten Nachweisforderungen zu rechnen, etwa zu SBOM, Konformitätserklärung und Update-Politik.
Bevollmächtigter in der EU (Art. 18 EU CRA). Nach Art. 18 Abs. 1 EU CRA kann ein Hersteller einen Bevollmächtigten schriftlich beauftragen. Der Auftrag muss dann mindestens drei Aufgaben abdecken: EU-Konformitätserklärung und technische Dokumentation für die Marktüberwachung bereithalten, ihr auf begründetes Verlangen alle Nachweise übermitteln und bei Massnahmen gegen Risiken mit ihr zusammenarbeiten (Art. 18 Abs. 3). Nicht Teil des Auftrags sein dürfen die Pflichten aus Art. 13 Abs. 1 bis 11 (darunter Risikobewertung und Erfüllung von Anhang I), Art. 13 Abs. 12 Unterabs. 1 (technische Dokumentation) und Art. 13 Abs. 14 (Art. 18 Abs. 2). Ein Bevollmächtigter kann sinnvoll sein, wenn ein Schweizer Hersteller direkt an Kunden in der EU liefert und den Behörden einen festen Ansprechpartner in der EU geben will, etwa eine EU-Tochter oder einen Vertriebspartner mit vertraglich klaren Zuständigkeiten.
CE-Kennzeichnung. Wie alle Hersteller bringen Schweizer Unternehmen die CE-Kennzeichnung an, bevor das Produkt auf den EU-Markt kommt. Der Bewertungsprozess ist identisch mit dem für EU-Hersteller. Die EU-Konformitätserklärung nennt Name und Anschrift des Herstellers oder seines Bevollmächtigten (Anhang V Nr. 2 EU CRA).
Was jetzt auf der Geschäftsleitungs-Agenda steht
Der Weg zur CRA-Compliance lässt sich in fünf parallel zu bearbeitende Handlungsfelder gliedern. Die Reihenfolge folgt der operativen Logik, nicht der formaljuristischen.
1. Produktportfolio analysieren. Welche Produkte fallen in den CRA-Anwendungsbereich? Jedes Produkt mit digitalen Elementen, das eine direkte oder indirekte Datenverbindung zu einem Netzwerk herstellen kann. Klären Sie die Klassifizierung (Standard, wichtig Klasse I/II nach Annex III, kritisch nach Annex IV) – davon hängt das anwendbare Bewertungsverfahren ab. Massgeblich ist die Kernfunktionalität des Produkts (Art. 7 Abs. 1 EU CRA): Ein Sicherheits-Mikrocontroller in einer Maschinensteuerung macht die Steuerung nicht zur Klasse I.
2. Weg in den EU-Markt klären. Über welches Unternehmen kommt jedes Produkt in die EU? Läuft der Vertrieb über einen EU-Einführer, braucht dieser vom Hersteller EU-Konformitätserklärung, Nutzerinformationen und den Nachweis der Konformitätsbewertung, um seine Pflichten aus Art. 19 Abs. 2 EU CRA zu erfüllen. Bei Direktlieferungen an Kunden in der EU lohnt die Frage, ob ein Bevollmächtigter nach Art. 18 als Ansprechpartner für die Marktüberwachung sinnvoll ist. Unabhängig vom EU CRA kann anderes EU-Recht einen Wirtschaftsakteur mit Sitz in der EU verlangen, etwa Art. 4 der Verordnung (EU) 2019/1020 für Produkte nach Maschinen-, Niederspannungs-, EMV- oder Funkanlagenrecht. Das gehört in dieselbe Prüfung.
3. Technische Anforderungen umsetzen. Die Sicherheitsanforderungen aus Annex I gelten identisch: Security by Design, keine Standardpasswörter, verschlüsselte Kommunikation, sichere Update-Mechanismen, SBOM-Erstellung und Schwachstellenmanagement. Systematische Gap-Analyse statt Ad-hoc-Massnahmen – das senkt den Aufwand und liefert eine dokumentierte Entscheidungsgrundlage.
4. Meldeprozesse einrichten. Ab 11. September 2026 müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die ENISA gemeldet werden (dreistufig: 24h Early Warning, 72h Full Notification, 14d Final Report). Das gilt auch für Schweizer Hersteller, deren Produkte auf dem EU-Markt sind. Eine vertiefte Erklärung der Meldepflichten ist in einem separaten Beitrag verfügbar.
5. Dokumentation vorbereiten. Technische Dokumentation, EU-Konformitätserklärung und SBOM müssen den Marktüberwachungsbehörden auf Anfrage vorgelegt werden können – in einer Amtssprache des betreffenden EU-Mitgliedstaats. Für Schweizer Hersteller in der Praxis meist Deutsch, Französisch oder Englisch; die Mehrsprachigkeit liegt einem in der Regel ohnehin im Geschäft. Die Erleichterungen für KMU (Art. 33 Abs. 5) erlauben eine vereinfachte Form, ohne die Sicherheitsanforderungen selbst zu reduzieren – relevant für viele Familien- und Mittelstandsbetriebe.
Fristen für Schweizer Hersteller
Die CRA-Fristen gelten für alle Hersteller gleich. Für die Planung in der Schweiz hilft die Synopse mit dem Schweizer Gesetzgebungspfad:
| Datum | Ereignis |
|---|---|
| 10. Dezember 2024 | EU CRA in Kraft |
| 11. Juni 2026 | Notifizierte Konformitätsbewertungsstellen aktiv |
| 11. September 2026 | 24-Stunden-Meldepflicht an ENISA startet |
| Herbst 2026 | BACS-Vernehmlassung zum Schweizer Cybersicherheitsgesetz erwartet |
| 11. Dezember 2027 | Vollständige CRA-Anwendung – alle neu in Verkehr gebrachten Produkte müssen konform sein |
Typische Entwicklungszyklen in der Schweizer Industrie – 12 bis 24 Monate plus Lagerhaltung – machen die verbleibende Zeit knapp. Produkte, die Ende 2027 in der EU starten sollen, brauchen die CRA-Anforderungen bereits jetzt im Lastenheft. Für bestehende Produkte gilt das Einzelstück-Prinzip: Solange kein wesentliches Update erfolgt, besteht kein Nachholbedarf. Jedes Major-Update an der Sicherheitsarchitektur löst hingegen eine Neubewertung aus.
Verbandsarbeit und Normen: was im Hintergrund läuft
Wer bereits nach IEC 62443, ISO 27001 oder ETSI EN 303 645 arbeitet, hat einen operativen Vorsprung. Diese Standards bilden voraussichtlich die Basis der harmonisierten CRA-Normen. Eine vollständige Deckungsgleichheit existiert nicht – CRA-spezifische Anforderungen wie die SBOM-Pflicht (Annex I §2), die 24h-Meldepflicht (Art. 14) und die EU-Konformitätserklärung nach Annex V kommen zusätzlich hinzu.
Im Schweizer Verbandsumfeld verfolgen Swissmem, Swico, asut und die Schweizerische Normen-Vereinigung (SNV) die Entwicklung aktiv über die europäischen Normungsorganisationen mit. Wer im Verband aktiv ist, hat hier kurze Wege zu Vernehmlassungspositionen und kann eigene Erfahrungen aus der Praxis einbringen. Sobald das BACS die Vernehmlassung zur Schweizer Regelung eröffnet, ist eine eigene Stellungnahme – allein oder über den Verband – das einfachste Mittel, branchenspezifische Realitäten in die Gesetzgebung zu tragen.
Konformität als Voraussetzung, nicht als Marketing-Versprechen
Der CRA legt ein einheitliches Sicherheitsniveau für den EU-Markt fest. Für Schweizer Hersteller ist Konformität primär eine Voraussetzung für den Marktzugang, kein Unterscheidungsmerkmal. Wer den Nachweis früh und sauber dokumentiert erbringt, reduziert Reibung im Vertrieb: weniger Rückfragen von EU-Einführern, kürzere Audits, weniger Risiko von Marktrücknahmen – und in der Folge bessere Lieferfähigkeit, die in vielen Industrieaufträgen wichtiger ist als jede Werbeaussage.
Operativ entscheidend sind drei Punkte: ein festgelegter Weg in den EU-Markt mit klaren Rollen für Einführer und gegebenenfalls Bevollmächtigten; eine pflegbare SBOM- und Schwachstellen-Pipeline; eine Dokumentation, die einer Marktüberwachungsprüfung standhält. Alles andere – Klassifizierung, harmonisierte Normen, KMU-Erleichterungen – sind Detailfragen, die sich entlang dieser drei Achsen klären lassen. Das ist die ehrliche Antwort: kein Quantensprung, sondern saubere Hausaufgaben mit klarem Nutzen.
Wie Kunnus unterstützt
Kunnus begleitet Schweizer Hersteller systematisch beim Aufbau der CRA-Compliance – von der Gap-Analyse über SBOM- und Vulnerability-Management bis zur audit-fertigen Dokumentation. Die Plattform ist EU-gehostet und wird die kommende Schweizer Regulierung mit derselben Datenbasis adressieren, sobald die Vernehmlassung ihre Konturen kennt. Wir arbeiten mit Familienbetrieben, börsennotierten MEM-Konzernen und KMU mit klar fokussiertem Portfolio – die Logik bleibt dieselbe, der Umfang nicht.
Konkrete nächste Schritte:
- Übersicht über Plattform, Branchen und Fristen: CRA-Compliance für Schweizer Hersteller
- Eigenen Reifegrad in wenigen Minuten ermitteln: kostenlose CRA-Reifegradanalyse
- Vertiefung zu spezifischen Pflichten: CE-Kennzeichnung, Meldepflichten ab September 2026, KMU-Erleichterungen.