Was ist der Cyber Resilience Act?
Der Cyber Resilience Act — offiziell Verordnung (EU) 2024/2847 — ist der erste EU-weite Rechtsakt, der verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Gemeint sind damit nicht nur klassische vernetzte Hardware wie Router, Kameras oder Industriesteuerungen, sondern ausdrücklich auch eigenständige Software, die verkauft oder lizenziert wird.
Der Grundgedanke unterscheidet sich bewusst von reaktiven Regelwerken: Sicherheit soll bereits in der Entwicklung mitgedacht werden — Security by Design und Security by Default — statt nachträglich als Patch aufgesetzt zu werden. Anders als NIS2 richtet sich der CRA nicht an Betreiber kritischer Infrastruktur, sondern an alle, die vernetzte Produkte oder Software in der EU in Verkehr bringen: Hersteller, Importeure und Händler.
Der Zeitplan: Diese Fristen gelten
Der CRA tritt nicht auf einen Schlag in Kraft, sondern in klar gestaffelten Stufen. Das nimmt Unternehmen zwar Zeit zur Vorbereitung — führt aber auch dazu, dass die erste konkrete Pflicht leicht unterschätzt wird, weil sie schon deutlich vor der vollständigen Anwendung greift.
Zeitfenster wird eng: Bis zur Meldepflicht am 11. September 2026 bleiben nur noch wenige Wochen. Ein funktionierender Meldeprozess lässt sich nicht über Nacht aufbauen — insbesondere die Klassifizierung, ob ein Vorfall meldepflichtig ist, braucht vorher festgelegte Kriterien.
Wer ist betroffen?
Der Anwendungsbereich ist bewusst breit gefasst: Erfasst sind Hersteller, Bevollmächtigte, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Darunter fällt Hardware ebenso wie eigenständige Software — auch wenn sie nicht Teil eines physischen Geräts ist.
- Netzwerk-Hardware (Router, Switches, Kameras)
- Industrielle Steuerungen und Sensorik
- Firmware und Geräte-Software
- Eigenständige, verkaufte Unternehmenssoftware
- Apps mit Netzwerkverbindung
- Kleine und mittlere Unternehmen
- Startups mit digitalen Produkten
- Nischenanbieter mit geringer Stückzahl
- B2B-Software mit Netzwerkanbindung
Anders als beim Barrierefreiheitsstärkungsgesetz gibt es hier keine pauschale Schwelle nach Mitarbeiterzahl oder Umsatz. Reine Dienstleistungen sind grundsätzlich anders geregelt, die Abgrenzung zwischen Produkt und Dienstleistung ist im Einzelfall aber nicht immer eindeutig — insbesondere bei Software, die sowohl lizenziert als auch als Service betrieben wird.
Wir haben bereits gezeigt, wie unsichere Standardpasswörter in eingebetteten Geräten zu Botnetzen mit hunderttausenden Geräten führen können. Der CRA setzt genau hier an: Er verpflichtet Hersteller erstmals verbindlich, solche Schwachstellen von Grund auf zu vermeiden.
Die zentralen Pflichten im Überblick
Der CRA bündelt mehrere Anforderungsebenen — von der Produktentwicklung bis zur laufenden Betreuung nach dem Verkauf:
Security by Design & by Default
Produkte müssen bereits bei der Auslieferung frei von bekannten, ausnutzbaren Schwachstellen sein und in einer sicheren Standardkonfiguration bereitgestellt werden — nicht erst durch nachträgliche Härtung durch den Kunden.
Software Bill of Materials (SBOM)
Ein maschinenlesbares Verzeichnis aller Softwarekomponenten und Abhängigkeiten eines Produkts. Ohne SBOM lässt sich im Ernstfall kaum schnell klären, ob eine neu bekannt gewordene Schwachstelle das eigene Produkt betrifft.
Sicherheitsupdates über den Produktlebenszyklus
Hersteller müssen Sicherheitsupdates mindestens fünf Jahre lang bereitstellen — oder über die erwartete Nutzungsdauer des Produkts, wenn diese kürzer ist. Ein Produkt ohne Update-Konzept ist nach CRA nicht marktfähig.
Technische Dokumentation & Konformitätsbewertung
Je nach Risikoklasse des Produkts ist eine Konformitätsbewertung erforderlich, teils durch eine benannte Stelle. Die technische Dokumentation muss die getroffenen Sicherheitsmaßnahmen nachvollziehbar belegen.
Meldepflichten bei Vorfällen
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb enger Fristen an die zuständigen Stellen gemeldet werden — Details dazu im folgenden Abschnitt.
Die Meldepflicht ab September 2026
Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle in ihren Produkten melden — und zwar in einem zweistufigen Verfahren mit engen Fristen.
Gemeldet wird über die europäische Meldeplattform der ENISA, zusätzlich sind die jeweiligen nationalen Stellen einzubinden — für Deutschland das BSI. Wichtig: Diese Pflicht besteht unabhängig davon, ob das Unternehmen selbst unter NIS2 fällt. Es geht um das Produkt, nicht um den Betrieb des Unternehmens.
CRA und NIS2 sind zwei unterschiedliche Regelwerke: NIS2 verpflichtet Betreiber wichtiger Einrichtungen zu einem funktionierenden Risikomanagement für die eigene IT. Der CRA verpflichtet Hersteller, ihre Produkte von Grund auf sicher zu bauen. Ein Unternehmen kann durchaus gleichzeitig unter beide Verordnungen fallen — etwa als NIS2-pflichtiger Betreiber, der zugleich eigene Software entwickelt und vertreibt.
Was Sie jetzt konkret tun sollten
Bis zur Meldepflicht im September bleibt wenig Zeit für einen vollständigen CRA-Fahrplan — aber genug, um die wichtigsten Grundlagen zu schaffen:
Betroffenheit klären, bevor die Frist läuft
Ob und in welchem Umfang der CRA auf Ihr Unternehmen zutrifft, lässt sich am besten im Rahmen einer strukturierten Bestandsaufnahme klären — bevor am 11. September 2026 die erste Frist läuft.
Betroffenheit prüfen lassenHäufige Fragen zum Cyber Resilience Act
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 und schreibt erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen vor — also für vernetzte Hardware ebenso wie für eigenständige Software. Ziel ist, dass Sicherheit von der Entwicklung an mitgedacht wird, statt nachträglich aufgesetzt zu werden.
Ab wann gilt der CRA?
Der CRA ist bereits seit dem 10. Dezember 2024 in Kraft. Die erste konkrete Pflicht wird am 11. September 2026 scharf: die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Die vollständigen Anforderungen inklusive Konformitätsbewertung und CE-Kennzeichnung gelten ab dem 11. Dezember 2027.
Wer ist vom Cyber Resilience Act betroffen?
Betroffen sind Hersteller, Bevollmächtigte, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Das umfasst klassische vernetzte Hardware wie Router, Kameras oder Steuerungen ebenso wie eigenständige Softwareprodukte. Reine Dienstleistungen sind grundsätzlich anders geregelt, die Abgrenzung im Einzelfall ist jedoch nicht immer eindeutig.
Gibt es eine Ausnahme für kleine und mittlere Unternehmen?
Nein. Anders als bei manchen anderen EU-Regelwerken sieht der Cyber Resilience Act keine pauschale Ausnahme nach Unternehmensgröße oder Umsatz vor. Auch kleinere Hersteller und Software-Anbieter müssen die Anforderungen erfüllen, sofern ihr Produkt in den Anwendungsbereich fällt.
Was muss ich bis September 2026 konkret vorbereitet haben?
Wichtig ist vor allem ein funktionierender Meldeprozess: Wer erkennt einen Sicherheitsvorfall, wer entscheidet über die Meldepflicht, und wer meldet innerhalb von 24 Stunden an die zuständigen Stellen? Parallel lohnt sich der Aufbau einer Software Bill of Materials (SBOM), um im Ernstfall schnell zu wissen, welche Komponenten betroffen sind.
Wie unterscheidet sich der CRA von der NIS2-Richtlinie?
NIS2 verpflichtet Betreiber wichtiger und wesentlicher Einrichtungen zu einem funktionierenden Risikomanagement für ihre eigene IT. Der Cyber Resilience Act verpflichtet dagegen Hersteller, ihre Produkte von Grund auf sicher zu entwickeln und über den gesamten Lebenszyklus abzusichern. Ein Unternehmen kann durchaus gleichzeitig unter beide Verordnungen fallen — etwa als NIS2-pflichtiger Betreiber, der zugleich eigene Software entwickelt und vertreibt.
Weiterlesen
