Cyber Resilience Act (CRA): Pflichten und Fristen für Hersteller

Was regelt der Cyber Resilience Act?

Die Verordnung (EU) 2024/2847 gilt unmittelbar in allen Mitgliedstaaten und betrifft Produkte mit digitalen Elementen: Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden kann. Das reicht von der App über die Industriesteuerung bis zum Router. Während NIS-2 die Sicherheit der Organisation regelt, setzt der CRA beim Produkt an und begleitet es über seinen gesamten Lebenszyklus.

Die Fristen im Überblick

Wer ist betroffen?

In erster Linie Hersteller, unabhängig von der Unternehmensgröße. Importeure und Händler haben eigene Prüfpflichten. Wer ein Produkt unter eigenem Namen oder eigener Marke anbietet oder es wesentlich verändert, gilt selbst als Hersteller. Das übersehen Reseller und Systemhäuser leicht.

Nicht erfasst sind unter anderem Open-Source-Software außerhalb einer kommerziellen Tätigkeit sowie Bereiche mit eigenen Sektorregeln wie Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Reine SaaS-Angebote fallen grundsätzlich nicht unter den CRA, können aber als Fernverarbeitung eines Produkts dazugehören.

Die Meldepflichten seit dem 11. September 2026

Gemeldet wird gleichzeitig an das national koordinierende CSIRT und an die ENISA, und zwar über deren zentrale Meldeplattform (Single Reporting Platform). Die Fristen laufen ab Kenntnis:

Die Pflicht betrifft auch Bestandsprodukte: Art. 69 Abs. 3 erstreckt sie auf Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Außerdem müssen betroffene Nutzer informiert werden, auch über mögliche Gegenmaßnahmen. Wer dafür keinen Bereitschaftsweg hat, schafft 24 Stunden an einem Wochenende kaum. Wie Sie einen solchen Prozess aufbauen, zeigt unser Beitrag zur Incident Response.

Was ab dem 11. Dezember 2027 zusätzlich gilt

• Security by Design und by Default: Risikobewertung je Produkt, keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardeinstellungen.
• Schwachstellenbehandlung: dokumentierter Prozess mit Kontaktstelle für Meldungen und kostenlosen Sicherheitsupdates, siehe auch Schwachstellenmanagement.
• SBOM: Stückliste mindestens der obersten Abhängigkeiten. Sie muss nicht veröffentlicht werden. Mehr dazu unter Supply Chain Security.
• Supportzeitraum: mindestens fünf Jahre, sofern die erwartete Nutzungsdauer nicht kürzer ist.
• Dokumentation: technische Unterlagen und EU-Konformitätserklärung mindestens zehn Jahre oder für die Dauer des Supportzeitraums bereithalten, wenn dieser länger ist.
• Konformitätsbewertung und CE-Kennzeichnung: Für die meisten Produkte genügt eine Selbstbewertung. Für wichtige und kritische Produktklassen gelten strengere Verfahren, teils mit benannter Stelle.

Bußgelder und Aufsicht

Art. 64 sieht drei Stufen vor, jeweils mit dem höheren der beiden Beträge:

• bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen Anhang I sowie Art. 13 und 14,
• bis zu 10 Mio. Euro oder 2 % bei weiteren Pflichtverstößen, etwa von Importeuren und Händlern,
• bis zu 5 Mio. Euro oder 1 % bei falschen oder unvollständigen Angaben gegenüber Behörden und benannten Stellen.

Sanktionen greifen erst ab dem 11. Dezember 2027, die Meldepflicht besteht aber schon jetzt. Für Kleinst- und Kleinunternehmen sieht Art. 64 Abs. 10 eine Ausnahme beim Versäumen der 24-Stunden-Frist vor. In Deutschland hat der Bundestag am 15. Oktober 2026 das Durchführungsgesetz verabschiedet, das das BSI als Marktüberwachungsbehörde benennt.

CRA, NIS-2 und ISO 27001: Wie passt das zusammen?

NIS-2 fragt, wie sicher Ihr Unternehmen arbeitet. Der CRA fragt, wie sicher Ihr Produkt ist. Ein ISMS nach ISO 27001 liefert für beides das Gerüst: Rollen, Risikomanagement, Vorfall- und Lieferantenprozesse. Der CRA ersetzt es nicht und wird von ihm nicht ersetzt. Wer ein ISMS betreibt, baut darauf auf und ergänzt die Produktsicht, statt eine zweite Struktur daneben zu stellen.

In fünf Schritten handlungsfähig werden

1. Betroffenheit klären: Produkte erfassen, Rolle als Hersteller, Importeur oder Händler festlegen, Produktklasse einordnen.
2. Meldeweg einrichten: Zugang zur Meldeplattform, Zuständige und Vertretung, Erreichbarkeit auch außerhalb der Bürozeiten, Vorlagen für die drei Meldestufen.
3. Schwachstellen sichtbar machen: SBOM im Build-Prozess erzeugen, Kontaktstelle für externe Hinweise einrichten, Bewertungs- und Patchwege festlegen.
4. Lieferkette regeln: Zugekaufte Komponenten prüfen und Update- sowie Informationspflichten in Verträge aufnehmen.
5. Bis Dezember 2027 planen: Lücken zu Anhang I ermitteln, Entwicklungsprozess anpassen, Supportzeitraum festlegen, Dokumentation und Konformitätsbewertung vorbereiten.

Häufige Fragen zum Cyber Resilience Act

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, legt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, also für vernetzte Hardware und Software. Ohne Erfüllung dieser Anforderungen gibt es ab dem 11. Dezember 2027 keine CE-Kennzeichnung und damit keinen Marktzugang in der EU.

Seit wann gilt die CRA-Meldepflicht?

Seit dem 11. September 2026. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Meldeplattform der ENISA melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein Abschlussbericht. Das gilt auch für Produkte, die schon vor dem 11. Dezember 2027 auf dem Markt waren.

Gilt der CRA auch für Software und SaaS?

Für Software, die als Produkt in Verkehr gebracht wird, ja, zum Beispiel Standardsoftware, Apps oder kommerzielle Bibliotheken. Reine SaaS-Angebote sind grundsätzlich nicht erfasst, außer sie sind als Fernverarbeitung für die Funktion eines Produkts erforderlich. Individualsoftware für einen einzelnen Auftraggeber muss im Einzelfall geprüft werden.

Welche Bußgelder sieht der CRA vor?

Bei Verstößen gegen die grundlegenden Anforderungen und die Art. 13 und 14 bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Weitere Stufen liegen bei 10 Mio. Euro oder 2 % und bei 5 Mio. Euro oder 1 %. Sanktioniert werden kann erst ab dem 11. Dezember 2027.

Ersetzt ein ISMS nach ISO 27001 die CRA-Umsetzung?

Nein. Ein ISMS schützt die Organisation, der CRA stellt Anforderungen an das Produkt. Vorhandene Prozesse für Schwachstellen, Vorfälle und Lieferanten lassen sich aber nutzen. Es fehlen dann vor allem die Produktsicht: Risikobewertung je Produkt, SBOM, Supportzeitraum, technische Dokumentation und Konformitätsbewertung.