Kurz erklärt
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) schreibt verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen vor, die in der EU verkauft werden. Dazu zählen vernetzte Geräte, Maschinen mit Steuerung, Embedded-Systeme, Firmware und Software.
Verpflichtet sind Hersteller, Importeure und Händler. Der Hersteller trägt die Hauptlast: sichere Entwicklung, Schwachstellenmanagement, Updates und Dokumentation über den gesamten Lebenszyklus.
Der Text der Verordnung ist auf EUR-Lex abrufbar. Hintergründe und Beispiele finden Sie in unserem ausführlichen CRA-Ratgeber.
Zeitplan
Der CRA gilt gestaffelt. Die Meldepflicht ist bereits scharf. Bis zur vollen Anwendung im Dezember 2027 müssen Entwicklung, Dokumentation und Konformitätsbewertung stehen.
Die Verordnung (EU) 2024/2847 tritt in Kraft.
Regeln zur Notifizierung der Prüfstellen gelten.
Aktiv ausgenutzte Schwachstellen und schwere Vorfälle sind meldepflichtig.
Alle Pflichten inklusive Konformitätsbewertung und CE-Kennzeichnung.
CRA-Meldepflicht
Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit Ihres Produkts betreffen.
Gemeldet wird über die zentrale Meldeplattform der ENISA an das CSIRT des zuständigen Mitgliedstaats – in Deutschland das BSI. Zusätzlich sind betroffene Nutzer zu informieren.
Die Pflicht gilt für alle Produkte auf dem EU-Markt, auch für solche, die vor 2027 verkauft wurden. Ohne festen Prozess ist die 24-Stunden-Frist kaum zu halten.
Kurze Erstmeldung, sobald Sie Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall haben.
Allgemeine Informationen zum Produkt, zur Art der Ausnutzung und zu ergriffenen oder empfohlenen Maßnahmen.
Bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen innerhalb eines Monats nach der Meldung.
Produktkategorien
Die Produktklasse entscheidet, ob Sie selbst bewerten dürfen oder eine benannte Stelle brauchen. Die Einordnung richtet sich nach der Kernfunktion des Produkts.
z. B. Drucker, smarte Lautsprecher, Spiele, viele Industriegeräte und Anwendungssoftware
z. B. Router, Switches, Betriebssysteme, Passwortmanager, VPN-Software, Smart-Home-Kameras und -Schlösser
z. B. Firewalls, Intrusion-Detection-Systeme, Hypervisoren, manipulationssichere Mikrocontroller
z. B. Smartcards und Secure Elements, Smart-Meter-Gateways, Hardware-Sicherheitsboxen
Herstellerpflichten
Sicher entwickelt, ohne bekannte ausnutzbare Schwachstellen ausgeliefert, mit sicherer Standardkonfiguration.
Ein dokumentierter Prozess, um Schwachstellen anzunehmen, zu bewerten, zu beheben und offenzulegen.
Eine Software-Stückliste in maschinenlesbarem Format, mindestens für die obersten Abhängigkeiten.
Sicherheitsupdates über einen festgelegten Zeitraum – in der Regel mindestens fünf Jahre, kürzer nur bei kürzerer Nutzungsdauer.
Risikobewertung, angewandte Normen, Nachweise und Nutzerinformationen – zehn Jahre aufzubewahren.
Konformitätsbewertung je Produktklasse, EU-Konformitätserklärung und CE-Kennzeichnung ab Dezember 2027.
Bußgelder: Verstöße gegen die grundlegenden Anforderungen oder Herstellerpflichten können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
Betroffen
Nicht oder anders geregelt
Abgrenzung
Der CRA ist Produktrecht, NIS2 regelt Einrichtungen. Viele Hersteller fallen unter beide: mit ihren Produkten unter den CRA und als Unternehmen unter NIS2.
| Aspekt | Cyber Resilience Act | NIS2 |
|---|---|---|
| Rechtsnatur | Produktrecht (Verordnung, direkt anwendbar) | Richtlinie, umgesetzt in nationales Recht |
| Wer ist verpflichtet? | Hersteller, Importeure, Händler von Produkten | Einrichtungen in bestimmten Sektoren ab einer Größe |
| Worum geht es? | Sicherheit des Produkts über den Lebenszyklus | Sicherheit des eigenen Betriebs und der Dienste |
| Größenschwelle | Keine – auch Kleinunternehmen | In der Regel ab 50 Beschäftigten oder 10 Mio. € Umsatz |
| Meldung an | ENISA-Plattform → CSIRT (BSI) | BSI als zuständige Behörde |
Unser Angebot
Der Umfang ist immer individuell. Das Erstgespräch ist kostenlos, danach erhalten Sie ein Festpreisangebot. Sie können mit dem CRA-Check starten und die weiteren Bausteine nach Bedarf ergänzen.
Betroffenheit und Produktklasse klären, Pflichten und Fristen je Produkt, Lückenliste mit Fahrplan.
Coordinated Vulnerability Disclosure, Meldeweg an ENISA/BSI, SBOM-Prozess und Vorlagen.
Wir begleiten Sie auf dem Weg zur Konformitätsbewertung bis Dezember 2027 – von der Risikobewertung bis zur EU-Konformitätserklärung.
Industrie & Embedded
Viele Hersteller in Norddeutschland bauen Maschinen, Steuerungen oder vernetzte Geräte. Für sie verbindet sich der CRA mit der OT-Welt.
IEC 62443-4-1 und -4-2 gelten als wichtige Grundlage für die CRA-Umsetzung bei Industrieprodukten. Wer Maschinen baut, sollte zusätzlich die Maschinenverordnung (EU) 2023/1230 im Blick haben, die ab dem 20. Januar 2027 gilt.
Passt dazu
Wir beraten technisch und organisatorisch zur Umsetzung des CRA. Für eine verbindliche rechtliche Bewertung im Einzelfall arbeiten wir mit Ihrer Rechtsberatung zusammen.
FAQ
Der CRA (Verordnung (EU) 2024/2847) ist seit dem 10. Dezember 2024 in Kraft. Die Regeln zu Konformitätsbewertungsstellen gelten seit dem 11. Juni 2026, die Meldepflichten für Hersteller seit dem 11. September 2026. Alle übrigen Pflichten, inklusive Konformitätsbewertung und CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in ihren Produkten melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und ein Abschlussbericht – bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Vorfällen innerhalb eines Monats. Gemeldet wird über die zentrale Meldeplattform der ENISA an das zuständige CSIRT, in Deutschland das BSI. Das gilt auch für Produkte, die schon vor 2027 auf dem Markt waren.
Ja. Der CRA erfasst Hardware und Software, ausdrücklich auch eigenständige Software wie Desktop-Programme, Apps oder Firmware. Ausgenommen ist Open-Source-Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Reine SaaS-Angebote fallen weitgehend nicht unter den CRA, sondern unter NIS2 – außer sie sind als Datenverarbeitung aus der Ferne für die Funktion eines Produkts erforderlich.
Ja. Der CRA kennt keine pauschale Ausnahme nach Unternehmensgröße. Für Kleinst- und Kleinunternehmen gibt es Erleichterungen, etwa bei der Form der technischen Dokumentation, aber keine Befreiung von den Kernpflichten.
Der CRA ist Produktrecht: Er regelt, wie sicher ein Produkt mit digitalen Elementen sein muss, wenn es in der EU verkauft wird. NIS2 regelt die Cybersicherheit von Einrichtungen, also den sicheren Betrieb eines Unternehmens. Ein Maschinenbauer kann unter beide fallen: mit seinen Produkten unter den CRA und als Betrieb unter NIS2.
Die meisten Produkte sind Standardprodukte und können selbst bewertet werden. Wichtige Produkte der Klasse I und II sowie kritische Produkte sind in den Anhängen III und IV aufgelistet, zum Beispiel Router, Passwortmanager, Firewalls oder Smartcards. Ab Klasse II ist eine Prüfung durch eine benannte Stelle Pflicht. Im CRA-Check ordnen wir jedes Produkt einzeln ein.
Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen oder die Herstellerpflichten drohen Bußgelder bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Außerdem können Behörden Produkte vom Markt nehmen lassen.
Der Aufwand hängt vor allem von der Anzahl und Produktklasse Ihrer Produkte, dem Stand Ihres Entwicklungs- und Schwachstellenprozesses und der vorhandenen Dokumentation ab. Sie können mit dem CRA-Check starten und weitere Bausteine nach Bedarf ergänzen. Nach dem kostenlosen Erstgespräch erhalten Sie ein Festpreisangebot.