In diesem Beitrag nennen wir die wichtigsten Sofortmaßnahmen und geben Ihnen anschließend einen Überblick über die wesentlichen Punkte des neuen Rechts.
I. Wichtigste Sofortmaßnahmen für Unternehmen
- Prüfung, ob eigene Produkte, eingebettete Softwarekomponenten oder zugekaufte Drittkomponenten in den Anwendungsbereich des Cyber Resilience Act1 („CRA“) fallen.
- Verankerung von Security-by-Design- und Security-by-Default-Prinzipien in der Produktentwicklung sowie Identifikation der daraus resultierenden CRA-Pflichten (Frist: 11. Dezember 2027).
- Aufbau interner Prozesse und Strukturen für ein systematisches Schwachstellenmanagement sowie Vorbereitung auf die Erfüllung der Meldepflichten gegenüber den zuständigen Behörden (Frist: 11. September 2026).
- Vorbereitung der erforderlichen Konformitätsbewertung – deren Verfahren sich nach der jeweiligen Produktkategorie richtet –, Erstellung der technischen Dokumentation einschließlich SBOM (Software Bill of Materials) sowie Sicherstellung der CE-Kennzeichnung (Frist: 11. Dezember 2027).
II. Ab wann gilt der CRA?
Für Produktexemplare mit digitalen Elementen, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, gelten alle CRA-Anforderungen, einschließlich der Einhaltung der grundlegenden Cybersicherheitsanforderungen, der Behandlung von Schwachstellen während des gesamten Lebenszyklus und der Transparenz gegenüber den Nutzern verbindlich. Produktexemplare mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen dann, wenn sie nach diesem Zeitpunkt einer wesentlichen Änderung unterliegen.
Bereits ab dem 11. September 2026 unterliegen Hersteller von vernetzten Produkten der Meldepflicht für ausgenutzte Schwachstellen und Sicherheitslücken.
III. Wer und was ist betroffen?
Wer muss den CRA beachten?
Der Cyber Resilience Act gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Für KMU, Kleinstunternehmen und Start-Ups sieht der CRA Unterstützung durch Leitlinien und Helpdesks vor.
Welche Produkte fallen unter den CRA?
Der CRA gilt für „Produkte mit digitalen Elementen“, die auf dem EU-Markt bereitgestellt werden – d.h. alle Hardware- oder Softwareprodukte, die mit einem Gerät oder Netzwerk verbunden werden können. Erfasst ist damit praktisch die gesamte Bandbreite smarter bzw. IT-basierter Produkte: von vernetzten Verbrauchergeräten (Smartphones, Smarthome, Wearables) über IT-Hardware (Server, Router, Mikroprozessoren, industrielle Steuerungssysteme) bis zu reiner Software (Betriebssysteme, Büroanwendungen, Apps, Computerspiele).
Wichtig: Der CRA adressiert alle Wirtschaftsakteure in der Lieferkette – primär Hersteller, aber auch Importeure, Händler sowie gegebenenfalls Bevollmächtigte, die an der Bereitstellung digitaler Produkte beteiligt sind.
Was ist ausgenommen?
Bestimmte Produktkategorien sind vom Anwendungsbereich des CRA ausgenommen, sofern für sie bereits sektorielle Cybersicherheitsvorgaben bestehen – etwa Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Luftfahrtgeräte und Marine-Funkausrüstung. Darüber hinaus klammert der CRA freie Open-Source-Software aus, sofern sie nicht im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird.
Risikobasierte Produktkategorien
Der CRA führt eine risikobasierte Kategorisierung für Produktgruppen ein. Wichtige und kritische Produkte (etwa Passwortmanager, Firewalls, Smartcards oder Smart-Meter-Gateways) müssen sich strengeren Konformitätsbewertungsverfahren unterziehen als Standardprodukte, die der Hersteller selbst bewerten kann. Die meisten Produkte werden allerdings als Standardprodukte zu qualifizieren sein.
IV. Pflichten für Hersteller
Security by Design & by Default
Bereits während der Produktentwicklung müssen die Anforderungen des CRA berücksichtigt werden. Nach dem Grundsatz „Secure by Design“ müssen vernetzte Produkte im Hinblick auf Cybersicherheit konzipiert werden, z.B. durch Verschlüsselung gespeicherter oder übertragener Daten. Nach dem Grundsatz „Secure by Default“ müssen die Standardeinstellungen zur Erhöhung der Sicherheit beitragen – vergleichbar den aus dem Datenschutzrecht bekannten Grundsätzen Privacy by Design & by Default.
Sicherheits-Updates und Supportpflicht
Hersteller müssen jedes Produkt für einen angemessenen Zeitraum unterstützen. Während dieses Zeitraums müssen bekanntwerdende Schwachstellen effektiv behoben werden. Sicherheitsaktualisierungen müssen unverzüglich und kostenlos bereitgestellt werden.
Software Bill of Materials (SBOM)
Eine Software Bill of Materials (SBOM, auch Software-Stückliste) dokumentiert die in einem Produkt verwendeten Komponenten. Der CRA verpflichtet Hersteller zur Erstellung einer SBOM, damit diese im Schwachstellenhandling genutzt werden kann.
Konformitätsbewertung und CE-Kennzeichnung
Für den CRA gibt es keine neue gesonderte Kennzeichnung – zukünftig beinhaltet das CE-Kennzeichen auch die Cybersicherheitsanforderungen. Eine Konformitätserklärung erfolgt zum Nachweis, dass das Produkt alle Anforderungen des CRA erfüllt. Welches Konformitätsbewertungsverfahren in Frage kommt, hängt von der Produktkategorie ab. Bei den meisten Produkten ist dies eine Selbstbewertung des Herstellers, bei wenigen eine Bewertung durch eine notifizierte Drittstelle.
V. Die Meldepflichten im Detail (ab 11. September 2026)
Ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle
Hersteller sind bereits ab dem 11. September 2026 verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine Meldeplattform an das für den jeweiligen Mitgliedstaat benannte CSIRT (Computer Security Incident Response Team) und die ENISA (European Union Agency for Cybersecurity) mehrstufig zu melden:
- Innerhalb von 24 Stunden nach Kenntnis ist eine Frühwarnung zu übermitteln.
- Binnen 72 Stunden ist eine detailliertere Meldung nachzureichen, die u.a. Angaben zur Art der Schwachstelle, zu betroffenen Produkten, zu ergriffenen Gegenmaßnahmen und zu Handlungsempfehlungen enthält.
- Nach 14 Tagen (bei aktiv ausgenutzten Schwachstellen) bzw. einem Monat (bei schwerwiegenden Sicherheitsvorfällen) ist ein Abschlussbericht vorzulegen.
Wichtig: Zusätzlich müssen Hersteller betroffene Nutzer unverzüglich über ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle informieren und – falls verfügbar – Gegenmaßnahmen mitteilen.
VI. Was droht bei Verstößen?
Erfüllt ein Produkt die Cybersicherheitsanforderungen nicht, kann die nationale Marktüberwachungsbehörde (das Bundesamt für Sicherheit in der Informationstechnik – BSI) den Hersteller anweisen, Abhilfemaßnahmen zu ergreifen, den Verkauf des Produkts untersagen oder den Rückruf bzw. die Rücknahme des Produkts vom Markt anordnen.
Daneben drohen empfindliche Bußgelder: Bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen (z.B. Nicht-Erfüllung essenzieller Sicherheitsanforderungen), bis zu 10 Mio. EUR oder 2 % bei sonstigen Pflichtverstößen und bis zu 5 Mio. EUR oder 1 % bei formalen Verstößen (z.B. falsche Angaben gegenüber Behörden).
Besonders relevant: Qualifizierte Einrichtungen (Verbraucherschutzverbände) können gegen Hersteller klagen, die kollektive Verbraucherinteressen durch Verstöße gegen die Cybersicherheitsanforderungen des CRA verletzen, und Unterlassungs- oder Abhilfeentscheidungen (einschließlich Schadensersatz) erwirken.
VII. Fazit: Handlungsbedarf jetzt
Bis spätestens Ende 2027 muss die Umsetzung der gesetzlichen Anforderungen erfolgen – teilweise sogar bis September 2026. Mit Blick auf Produktentwicklungszyklen und notwendige Vorlauffristen in der Produktion sollte das Thema CRA bei Unternehmen schon heute auf der Agenda sein. Wer die Herausforderung proaktiv angeht, kann den CRA strategisch als Wettbewerbsvorteil nutzen – sowohl als Qualitätsversprechen gegenüber Kunden als auch als Grundvoraussetzung für den ungehinderten Marktzugang in der EU.
Benötigen Sie Unterstützung bei der CRA-Umsetzung in Ihrem Unternehmen? Kontaktieren Sie uns gerne.
- Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ↩
