Cyber Resilience Act – neue Pflichten für digitale Produkte

Mit dem Cyber Resilience Act (CRA) schafft die EU einheitliche Cybersicherheitsanforderungen für digitale Produkte. Erste Meldepflichten gelten ab September 2026, die vollständigen Vorgaben ab Dezember 2027. Unternehmen sollten jetzt prüfen, ob und wie sie betroffen sind.

Cybersicherheit als neuer Standard im Binnenmarkt

​In der modernen Industrielandschaft ist Cybersicherheit längst kein rein technisches "Add-on“ mehr, sondern das Fundament für digitales Vertrauen und Marktzugang. Der Cyber Resilience Act (CRA) der EU überführt diese Erkenntnis in einen verbindlichen Rechtsrahmen. Er schafft gleiche Wettbewerbsbedingungen im Binnenmarkt und macht Sicherheit zu einem messbaren Qualitätsmerkmal.
​Der Kern des CRA sind verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Bereits ab September 2026 greift die zweistufige Meldepflicht für aktiv ausgenutzte Schwachstellen. Die volle Geltung aller Anforderungen und damit die Voraussetzung für die CE-Kennzeichnung ist für Dezember 2027 vorgesehen. Die CE-Kennzeichnung wird damit zum "Reisepass für den digitalen Binnenmarkt. Frühzeitiges Handeln ist der entscheidende Hebel, um notwendige Konformitätsverfahren ohne Zeitdruck zu durchlaufen und die eigene Marktposition zu stärken. .

​Gilt der CRA überhaupt für mein Unternehmen?

​Für Geschäftsführer und technische Leiter ist die Einordnung des eigenen Produktportfolios unter die neuen EU-Regeln von großer Bedeutung. Eine falsche Einstufung kann entweder zu Haftungsrisiken oder zu unnötigem Aufwand führen.

​Checkliste: Fällt mein Produkt unter den CRA?

  • ​Produktdefinition: Handelt es sich um ein “Produkt mit digitalen Elementen”? Dies umfasst sowohl vernetzte Hardware (IoT, Sensoren, Maschinen) als auch reine Software.
  • ​Kommerzialität: Wird das Produkt im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt?
  • ​Ausnahmen prüfen: Medizinprodukte, Fahrzeuge oder die zivile Luftfahrt sind häufig durch spezielle Rechtsvorschriften geregelt.
  • ​Open-Source-Status: Nicht-kommerzielle Open-Source-Software ist ausgenommen. Die Ausnahme gilt jedoch nur für Software ohne Gewinnerzielungsabsicht. Sobald kommerzieller Support oder kostenpflichtige Enterprise-Versionen angeboten werden, greift der CRA in der Regel dennoch.

​Die richtige Einstufung entscheidet über Aufwand und Kosten

​Die Einstufung entscheidet über den erforderlichen Prüfaufwand:
  • ​Standardprodukte: Hier reicht meist die Selbstbewertung (Modul A). Das ist kosteneffizient und vergleichsweise unkompliziert.
  • ​Wichtige Produkte (Anhang III): Hier wird es komplexer. Klasse 1 (z. B. Identitätsmanagement) erlaubt die Selbstbewertung nur, wenn harmonisierte Normen strikt eingehalten werden. Klasse 2 (z. B. Firewalls) erfordert zwingend die Einbindung einer notifizierten Stelle (Module B+C oder H).
  • ​Kritische Produkte (Anhang IV): Hier ist eine Zertifizierung durch eine unabhängige Stelle nach europäischen Vorgaben unumgänglich.
​Tipp für die Praxis: Wer harmonisierte Normen nutzt, kann nur bei Klasse-1-Produkten unter Umständen auf eine kostenintensive Prüfung durch eine Drittstelle verzichten. Dies führt direkt zur nächsten Frage: Was gilt, wenn Komponenten zugekauft werden?

​Was ist mit fremden Komponenten?

​Für Unternehmen, die Hardware montieren oder Software-Bibliotheken integrieren, wird die Kontrolle der Lieferkette zur zentralen Aufgabe. Der CRA verschiebt die Verantwortung: Auch Importeure und Händler müssen prüfen, ob der Hersteller die Konformität nachgewiesen und die technische Dokumentation erstellt hat.
​Das zentrale Werkzeug hierfür ist die Software Bill of Materials (SBOM). Sie ist das Verzeichnis der eingesetzten Software-Komponenten.
​Der Nutzen von SBOM und maschinenlesbaren Sicherheitsnachweisen:
  • ​Automatisierung: Nutzen Sie laut ENISA maschinenlesbare Sicherheitsnachweise. Diese ermöglichen die Automatisierung von Sicherheitsprüfungen und Freigabeprozessen. Das spart insbesondere mittelständischen Unternehmen Zeit und Ressourcen.
  • ​Schwachstellenmanagement: Tritt eine Lücke in einer zugekauften Komponente auf, wissen Sie dank SBOM innerhalb kürzester Zeit, welche Produkte oder Systeme betroffen sind.
  • ​Haftungsschutz: Als Systemintegrator tragen Sie Verantwortung für das Gesamtprodukt. Die SBOM kann dokumentieren, dass Sie Ihre Lieferkette entsprechend dem Stand der Technik überwachen.
​Diese Transparenz auf Komponentenebene ist die Grundlage für eine fundierte Risikobewertung des Gesamtsystems.

​Einzelteil oder Gesamtpaket? Die Risikobeurteilung ganzer Maschinen

​Industrielle Systeme sind häufig hochkomplex. Der CRA fordert keinen nachträglichen Sicherheitsaufsatz, sondern einen systematischen Ansatz bereits während der Entwicklung. Hier greifen die Prinzipien der “Architectural Foundations“ und der ”Operational Integrity“ aus dem ENISA-Kontext.

​Grundprinzipien für sichere Produkte

  • ​Secure by Design: Sicherheit muss von Anfang an Teil der Produktarchitektur sein. Nutzen Sie das Prinzip der minimalen Rechtevergabe. Jeder Prozess erhält nur die Rechte, die tatsächlich erforderlich sind.
  • ​Secure by Default: Produkte müssen in der sichersten Konfiguration ausgeliefert werden. Dazu gehört insbesondere die Minimierung der Angriffsfläche. Nicht benötigte Dienste und Schnittstellen sollten bereits ab Werk deaktiviert sein.

​Welchen Nutzen bringt das Ihren Kunden?

​Indem unnötige Dienste deaktiviert werden, reduziert sich die Angriffsfläche für Kunden unmittelbar. Das erhöht die Produktsicherheit und kann gleichzeitig Supportkosten senken, weil weniger Fehlkonfigurationen auftreten.
​Sicherheit ist jedoch kein einmaliger Zustand. Sie muss über den gesamten Produktlebenszyklus hinweg gewährleistet werden.

​Updates und Kommunikation – wo endet meine Pflicht?

​Der CRA markiert das Ende des Prinzips "verkaufen und vergessen“. Hersteller müssen Sicherheitsupdates während des gesamten Supportzeitraums bereitstellen. Der Supportzeitraum muss sich an der erwarteten Nutzungsdauer des Produkts orientieren. Er beträgt grundsätzlich mindestens fünf Jahre, kann bei langlebigen Industrieprodukten jedoch deutlich länger ausfallen.

​Ihre Pflichten im Überblick

  • ​Transparenz: Das Ende des Supportzeitraums muss vor dem Kauf klar kommuniziert werden.
  • ​Kostenlose Updates: Sicherheitsrelevante Aktualisierungen müssen für Endnutzer kostenlos und leicht zugänglich sein.
  • ​Automatisierte Updates: ENISA empfiehlt, Updates nach Möglichkeit automatisiert bereitzustellen. Dadurch sinkt das Risiko für Nutzer und der Aufwand für Hersteller.
​Kommt es trotz dieser Maßnahmen zur aktiven Ausnutzung einer Schwachstelle, greifen die Meldepflichten des CRA. Hier gelten kurze Fristen.

​Haftung und Krisenfall – wer zahlt bei Fehlern?

Rechtliche Sicherheit entsteht durch zwei zentrale Bausteine: eine lückenlose Dokumentation und klar definierte Meldewege. Der CRA ist eng mit den europäischen Produkthaftungsregelungen verzahnt.

​Die 24-Stunden-/72-Stunden-Regel

​Bei aktiv ausgenutzten Schwachstellen ist Schnelligkeit Pflicht:
  • ​Innerhalb von 24 Stunden: Es muss eine Frühwarnung über die europäische Meldestelle (Single Reporting Platform) an das zuständige koordinierende CSIRT und an ENISA erfolgen.
  • ​Innerhalb von 72 Stunden: Detaillierte Informationen zur Schwachstelle und zu ersten Gegenmaßnahmen müssen nachgereicht werden.

​Warum das für die Geschäftsführung wichtig ist

​Wer den Empfehlungen der ENISA folgt und seine SBOM aktuell hält, kann Risiken besser steuern. Im Fall möglicher Schadensersatzforderungen wird die technische Dokumentation zu einem wichtigen Nachweis dafür, dass Sicherheitsmaßnahmen entsprechend dem Stand der Technik umgesetzt wurden.

​Der pragmatische Weg zur Cyber-Resilienz

​Der Cyber Resilience Act ist für den deutschen Mittelstand kein Schreckgespenst, sondern ein neuer Standard für die Sicherheit digitaler Produkte. Der Schlüssel liegt in einer frühzeitigen Vorbereitung. Unternehmen sollten zunächst auf schnell umsetzbare Maßnahmen setzen und vorhandene Unterstützungsangebote des BSI nutzen.

​Ihre To-do-Liste für die nächsten sechs Monate

  • Portfolio analysieren: Produkte kategorisieren und das erforderliche Konformitätsverfahren bestimmen.
  • SBOM-Prozess aufbauen: Werkzeuge zur Erstellung maschinenlesbarer Software-Stücklisten etablieren.
  • BSI TR-03183 nutzen: Die Technische Richtlinie als praktische Übersetzungshilfe für Entwickler einsetzen.
  • Meldewege vorbereiten: Prozesse für die 24-Stunden-Frühwarnung rechtzeitig etablieren.
  • Sicherheit als Wettbewerbsvorteil nutzen: Prüfen Sie das BSI IT-Sicherheitskennzeichen. Es kann Unternehmen dabei unterstützen, Sicherheitsanforderungen sichtbar zu machen und sich schrittweise auf die Anforderungen des CRA vorzubereiten.

​Weiterführende Links und Veranstaltungshinweise

​Auf den nachfolgend aufgeführten Webseiten finden Sie umfassende Informationen, Handlungshinweise und auch Veranstaltungen, die für Sie interessant sein könnten.​ Wir unterstützen auch gerne dabei, das Richtige für Sie zu finden.
  • ​Das BSI bietet umfassende Hintergrundinformationen und Handlungsempfehlungen, ​inklusive der Technischen Richtlinie TR-03183. Die Texte der EU Verordnung EU 2024/2847 und der Durchführungsverordnung EU 202/2392 können Sie ebenfalls im Wortlaut nachlesen.
  • Einen F & A Katalog zur Meldung von Schwachstellen bietet (zunächst nur auf englisch) die Seite der ENISA.
  • Weitere Informationen und auch Veranstaltungen bietet zu den Stan4cr ein gemeinsames Projekt der EU und EFTA.
IHK-Newsletter
Bleiben Sie up to date zum Thema Recht und Steuern! Mit unserem kostenfreien Newsletter informieren wir Sie über aktuelle Themen und Veranstaltungen. Jetzt Rubrik ”Recht und Steuern” auswählen und Newsletter abonnieren!