Cyber Resilience Act (CRA)

Veröffentlicht am

Das Wichtigste in einem Satz: Der CRA führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein und verpflichtet insbesondere Hersteller, Importeure und Händler Sicherheit, Schwachstellenbehandlung und Nachweise über den Produktlebenszyklus zu organisieren.

1. Was ist der Cyber Resilience Act?

Der Cyber Resilience Act schafft EU-weit verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Er soll Verbraucher und Unternehmen beim Kauf und bei der Nutzung von Hard- und Software besser schützen. Hersteller müssen Cybersicherheit bereits bei Planung, Design, Entwicklung und Wartung berücksichtigen und Schwachstellen während des Produktlebenszyklusses behandeln.
Der CRA knüpft an das bekannte europäische CE-System an. Hersteller müssen prüfen und nachweisen, dass ihre Produkte die vorgeschriebenen Cybersicherheitsanforderungen erfüllen. Ist dies der Fall, erhalten die Produkte die CE-Kennzeichnung. Bei bestimmten besonders sicherheitsrelevanten Produkten muss zusätzlich eine unabhängige Prüfstelle eingeschaltet werden.
Praxisrelevanz für die Industrie: Vernetzte Maschinen, Steuerungen, Sensoren, Embedded Software und separat bereitgestellte digitale Komponenten können Produkte mit digitalen Elementen sein. Unternehmen sollten deshalb nicht nur klassische IT-Produkte, sondern das gesamte Produktportfolio prüfen.

2. Wer ist betroffen?

Der CRA adressiert Unternehmen, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Die Pflichten unterscheiden sich nach der Rolle des Unternehmens:

Hersteller

Unternehmen, die ein Produkt entwickeln oder herstellen beziehungsweise entwickeln oder herstellen lassen und es unter eigenem Namen oder eigener Marke vermarkten. Hersteller tragen die umfassendsten Pflichten.

Importeure

Unternehmen mit Sitz in der EU, die ein Produkt eines Herstellers aus einem Drittstaat auf dem EU-Markt in Verkehr bringen.

Händler

Unternehmen in der Lieferkette, die ein Produkt auf dem EU-Markt bereitstellen, ohne Hersteller oder Importeur zu sein.
Auch kleine und mittlere Unternehmen können betroffen sein. Die Unternehmensgröße allein befreit nicht von den produktbezogenen Anforderungen. Maßgeblich sind insbesondere Produkt, Marktbereitstellung und Rolle in der Lieferkette.

3. Welche Produkte fallen unter den CRA?

Erfasst werden Hardware- und Softwareprodukte, die für ihre Nutzung mit einem Gerät oder Netzwerk verbunden sind oder verbunden werden können. Dazu gehören auch externe Datenverarbeitungsdienste, etwa Cloud-Dienste, wenn sie für die Funktion des Produkts erforderlich sind.
  • vernetzte Maschinen und Anlagen
  • Industriesteuerungen, elektronische Komponenten und Embedded Systems
  • IoT-Geräte, Sensoren und Gateways
  • Router, Firewalls und weitere Netzwerkkomponenten
  • Betriebssysteme, Anwendungen, Apps und separat bereitgestellte Software
  • B2B-Software und digitale Komponenten für industrielle Anwendungen

Ausnahmen und Abgrenzungen

Für bestimmte Produktbereiche gelten besondere EU-Regelungen. Nicht-kommerzielle Open-Source-Software ist grundsätzlich ausgenommen. Ob eine Ausnahme oder ein spezieller Rechtsrahmen greift, muss produktbezogen geprüft werden.

4. Welche Pflichten kommen auf Unternehmen zu?

Pflichtenfeld Was Unternehmen vorbereiten sollten
Security by Design und Default Cybersicherheit von Beginn an in Produktanforderungen, Architektur, Entwicklung und sichere Voreinstellungen integrieren.
Cyberrisikobewertung Risiken eines Produkts systematisch identifizieren, bewerten, adressieren und über den Lebenszyklus aktualisieren.
Schwachstellenmanagement Verfahren für Erkennung, Bewertung, Behebung und koordinierte Offenlegung von Schwachstellen etablieren.
Sicherheitsupdates Sicherheitsupdates wirksam und rechtzeitig bereitstellen sowie Nutzer angemessen informieren.
Technische Dokumentation Risikobewertung, Sicherheitsmaßnahmen, Prüfungen und Konformitätsnachweise nachvollziehbar dokumentieren.
Konformitätsbewertung Anwendbares Bewertungsverfahren und Produktkategorie bestimmen, EU-Konformitätserklärung erstellen und CE-Kennzeichnung berücksichtigen.
Meldungen Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach den CRA-Vorgaben melden.

Meldepflichten ab 11. September 2026

Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis und eine vollständige Meldung innerhalb von 72 Stunden. Weitere Abschlussberichte folgen abhängig vom Meldetatbestand. Die Meldung erfolgt über die zentrale CRA-Meldeplattform.
Jetzt priorisieren: Unternehmen sollten Verantwortlichkeiten, Eskalationswege und die interne Erfassung des Zeitpunkts der Kenntniserlangung vor dem 11. September 2026 festlegen. Diese Empfehlung ist organisatorischer Natur und sollte mit Rechts-, Produkt- und Informationssicherheitsverantwortlichen abgestimmt werden.

5. Fristen und Zeitplan

Datum Bedeutung
10. Dezember 2024 Der CRA ist in Kraft getreten.
11. September 2026 Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden anwendbar.
11. Dezember 2027 Die alle CRA-Pflichten (inkl. Produktkennzeichnung) werden anwendbar.
Da Entwicklungszyklen, Lieferantenabstimmungen und Konformitätsprozesse Vorlauf benötigen, empfiehlt sich eine strukturierte Vorbereitung vor der vollständigen Anwendung.

6. Handlungsempfehlungen für Unternehmen

1. Betroffenheit und Rollen klären
Erfassen Sie, welche Produkte mit digitalen Elementen angeboten werden und ob Ihr Unternehmen Hersteller, Importeur oder Händler ist.
2. Produktportfolio priorisieren
Ordnen Sie Produkte nach Marktrelevanz, geplanter Bereitstellung ab Dezember 2027 und möglicher Sicherheitsrelevanz.
3. Verantwortung festlegen
Binden Sie Geschäftsführung, Produktmanagement, Entwicklung, Informationssicherheit, Qualitätsmanagement, Recht und Einkauf ein.
4. Lückenanalyse durchführen
Vergleichen Sie bestehende Entwicklungs-, Update-, Dokumentations- und Meldeprozesse mit den CRA-Anforderungen.
5. Schwachstellenprozess aufsetzen
Definieren Sie Meldekanal, Bewertung, Priorisierung, Behebung, Nutzerinformation und koordinierte Offenlegung.
6. Technische Dokumentation strukturieren
Verknüpfen Sie Risikobewertung, Anforderungen, Tests, Maßnahmen und Freigaben nachvollziehbar.
7. Lieferkette einbeziehen
Klären Sie Sicherheitsinformationen, Softwarekomponenten, Updatezusagen und Mitwirkungspflichten mit Zulieferern.
8. Meldeprozess testen
Bereiten Sie die CRA-Meldepflichten organisatorisch vor und erproben Sie Eskalation sowie Fristen in einer Übung.
9. Unterstützung nutzen
Nutzen Sie kostenfreie Checks, Veranstaltungen und Transferangebote für KMU

7. CRA und NIS-2: Wo liegt der Unterschied?

Aspekt Cyber Resilience Act NIS-2
Schwerpunkt Cybersicherheit von Produkten mit digitalen Elementen Cybersicherheit und Risikomanagement von erfassten Einrichtungen
Adressaten Vor allem Hersteller, Importeure und Händler Wesentliche und wichtige Einrichtungen in bestimmten Sektoren
Kernlogik Produktlebenszyklus, Konformität und Schwachstellenbehandlung Unternehmensweite Risiko- und Sicherheitsmaßnahmen sowie Vorfallmeldungen
Überschneidung Ein Unternehmen kann zugleich CRA- und NIS-2-Pflichten haben. Die konkrete Betroffenheit ist jeweils gesondert zu prüfen.

8. Weiterführende Informationen und Unterstützungsangebote

9. FAQ: Cyber Resilience Act auf einen Blick

Eine unmittelbar geltende EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen.
Vor allem Hersteller, Importeure und Händler von vernetzter Hardware und Software. Auch KMU können betroffen sein.
Hardware und Software mit direkter oder indirekter Datenverbindung, zum Beispiel vernetzte Maschinen, Steuerungen, IoT-Geräte, Apps, Betriebssysteme oder Netzwerkkomponenten.
Security by Design und Default, Cyberrisikobewertung, Schwachstellenmanagement, Sicherheitsupdates, technische Dokumentation, Konformitätsbewertung und festgelegte Meldungen.
Meldepflichten gelten ab 11. September 2026. Die wesentlichen CRA-Pflichten gelten ab 11. Dezember 2027.
Produkte und Rollen erfassen, Verantwortlichkeiten festlegen, Prozesse und Dokumentation prüfen, Schwachstellen- und Meldeprozesse vorbereiten und Lieferanten einbinden.
Bei der IHK Schleswig-Holstein, der Transferstelle Cybersicherheit im Mittelstand, EASY.CRA, den Mittelstand-Digital-Zentren sowie auf den Informationsseiten des BSI und der Europäischen Kommission.