Cyber Resilience Act (CRA)

Vernetzte Produkte unter neuer EU-Regulierung: Was Sie über den CRA wissen müssen

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union zum ersten Mal rechtsverbindliche Anforderungen an die Cybersicherheit für digitale Produkte geschaffen. Bereits ab dem 11. September 2026 greifen erste Meldeverpflichtungen, ab dem 11. Dezember 2027 dürfen nur noch CRA-konforme Produkte in der EU angeboten werden. Wer als mittelständisches Unternehmen Hardware, Software oder vernetzte Geräte auf den Markt führt, sollte frühzeitig aktiv werden – die Übergangsfrist ist kürzer, als sie scheint.

Stellen Sie sich vor, ein Hersteller liefert eine vernetzte Maschinensteuerung an einen Industriekunden – und drei Jahre später wird eine Schwachstelle in einer eingesetzten Open-Source-Bibliothek bekannt. Inzwischen ist die Frage, wer wann Sicherheitsupdates bereitstellt, oft eine Sache des freiwilligen Engagements. Ab Ende 2027 ist es eine Thematik des Gesetzes. Der Cyber Resilience Act zwingt Hersteller, Importeure wie auch Händler dazu, Cybersicherheit über den vollständigen Lebenszyklus des Produkts systematisch sicherzustellen.

Die EU antwortet damit auf eine immer kritischere Bedrohungslage: Allein 2024 wurden in Europa über 100 neue Schwachstellen täglich gemeldet, etliche davon in netzwerkfähigen Produkten. Die EU-Kommission geht davon aus, dass rund 25.000 Unternehmen in der EU vom CRA betroffen sind – und ein erheblicher Teil davon kommt aus dem Mittelstand.

Worum es beim Cyber Resilience Act geht

Der Cyber Resilience Act – offiziell „Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ – ist die erste EU-weite Verordnung, die ein verbindliches Mindestniveau an IT-Sicherheit für vernetzte Produkte vorschreibt. Publiziert wurde der Rechtsakt am 20. November 2024 im Amtsblatt der Europäischen Union, in Kraft getreten ist er am 10. Dezember 2024.

Anders als die NIS-2-Richtlinie, die auf die organisatorische IT-Sicherheit von Unternehmen ausgerichtet ist, regelt der CRA die Cybersicherheit der Produkte selbst. Er ist zudem eine Verordnung und gilt damit direkt in allen EU-Mitgliedstaaten – ohne dass es einer nationalen Umsetzung wie beim deutschen NIS-2-Umsetzungsgesetz bedarf. Erfasst sind alle Produkte, deren bestimmungsgemäße Verwendung eine unmittelbare oder mittelbare Datenverbindung mit einem Gerät oder Netz einschließt: vom Sensor im Internet der Dinge über die Smart-Home-Steuerung bis zur Industriemaschine, vom Betriebssystem über die mobile App bis zur kommerziell genutzten Open-Source-Bibliothek.

Anwendungsbereich des CRA – auch der Mittelstand muss handeln

Eine wichtige Botschaft vorweg: Der CRA macht keinerlei Unterschied zwischen Großkonzernen und mittelständischen Unternehmen. Die Pflichten knüpfen an das Produkt an, nicht an die Unternehmensgröße. Wer in der EU vernetzte Produkte herstellt, einführt oder unter eigenem Markennamen vertreibt, fällt generell unter die Verordnung.

Konkret betroffen sind insbesondere:

• Hersteller digital vernetzter Hardware: Maschinen- und Anlagenbauer, IoT-Produzenten, Hersteller von Smart-Home- und Industriegeräten, Steuerungssystemen, Embedded Systems.
• Softwarehersteller: gewerbliche Software, mobile Anwendungen, Betriebssysteme, Sicherheitssoftware sowie kommerziell angebotene Open-Source-Lösungen.
• Importeure und Händler: Wer Produkte aus Drittländern unter eigener Bezeichnung oder eigenem Markennamen vertreibt (typisches White-Labelling) oder ein Produkt so verändert, dass sich das Risikoprofil ändert, gilt nach Artikel 21 ebenso als Produzent.

Ausgenommen sind Produkte, die bereits durch andere EU-Vorschriften reguliert werden – etwa Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Auch nichtkommerzielle Open-Source-Software ohne Gewinnerzielungsabsicht bleibt außen vor. Wer nicht sicher ist, ob das eigene Produkt unter den CRA fällt, sollte zunächst eine strukturierte Portfoliobewertung vornehmen.

Pflichten und Anforderungen entlang des Produktlebenszyklus

Der CRA fordert von Herstellern nicht punktuelle Maßnahmen, sondern einen lückenlosen Cybersicherheitsprozess vom ersten Strich am Reißbrett bis zum Ablauf des Supportzeitraums. Die zentralen Anforderungen lassen sich in fünf Bereiche gliedern:

• Secure by Design und Secure by Default: Cybersicherheit muss bereits in der Entwurfsphase mitgedacht werden. Sichere Standardeinstellungen, kein voreingestelltes „admin/admin“, kodierte Datenverarbeitung und eine möglichst kleine Angriffsoberfläche sind verbindlich.
• Risikoanalyse und technische Dokumentation: Für jedes Produkt ist eine Risikobewertung zu erstellen und eine vollständige technische Dokumentation nach Anhang II zu erarbeiten – Produktbeschreibung, Sicherheitsarchitektur, Testberichte, Konformitätserklärung. Diese ist zehn Jahre zu archivieren.
• Software Bill of Materials (SBOM): Hersteller müssen eine maschinell lesbare Aufstellung aller verwendeten Softwarekomponenten erstellen. Anerkannte Formate sind nach BSI-Richtlinie TR-03183 in der Praxis CycloneDX oder SPDX. Die SBOM muss nicht öffentlich zugänglich sein, aber stets auf Anforderung der Marktüberwachungsbehörde vorliegen.
• Management von Sicherheitslücken und Meldepflichten: Werden Sicherheitslücken aktiv ausgenutzt, müssen Hersteller das zuständige nationale CSIRT (in Deutschland das BSI) und die EU-Cybersicherheitsagentur ENISA innerhalb von 24 Stunden mit einer Frühwarnung informieren, innerhalb von 72 Stunden einen ausführlichen Bericht einreichen und nach 14 Tagen einen abschließenden Bericht vorlegen.
• Sicherheitsupdates über den vollständigen Unterstützungszeitraum: Meist sind das mindestens fünf Jahre nach Einführung im Markt. In dieser Zeit müssen Sicherheitsupdates unentgeltlich bereitgestellt werden – auch dann, wenn das Produkt selbst bereits nicht mehr vermarktet wird.

Ergänzend erforderlich ist die CE-Kennzeichnung als offizielles Konformitätskennzeichen. Je nach Risikoeinstufung des Produkts unterscheiden sich die Konformitätsbewertungsverfahren. Für Standardprodukte (laut Schätzungen rund 90 Prozent aller betroffenen Produkte) genügt die Selbstbewertung nach Modul A. Relevante Produkte der Klasse II – etwa Betriebssysteme, Hypervisoren, Firewalls oder Router – sowie Produkte der kritischen Kategorie wie Hardware-Sicherheitsmodule oder intelligente Zähler benötigen die Prüfung durch eine notifizierte Stelle.

Wann was zu tun ist – und was bei Verstößen droht

Wir sehen in der Unternehmenspraxis, dass viele mittelständische Unternehmen den Stichtag „Dezember 2027“ hören und glauben, sie hätten noch reichlich Luft. Diese Sicht ist zu kurz gedacht. Der CRA entfaltet seine Wirkung schon deutlich früher, und die Sanktionen sind erheblich.

Die maßgeblichen Termine:

• 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Sicherheitslücken und erhebliche Sicherheitsvorfälle gelten. Diese Verpflichtung trifft auch vorhandene Produkte, die bereits vor diesem Zeitpunkt am Markt waren.
• 11. Dezember 2026: Bis zu diesem Zeitpunkt müssen die Mitgliedstaaten eine ausreichende Zahl notifizierter Stellen für Konformitätsbewertungen sicherstellen.
• 11. Dezember 2027: Vollständige Geltung des CRA. Ab diesem Tag dürfen nur noch CRA-konforme Produkte mit CE-Kennzeichen neu in Verkehr gebracht werden.

Bei Verstößen drohen erhebliche Bußgelder, die nach BSI bei bis zu 15 Millionen Euro bzw. 2,5 Prozent des weltweiten Jahresumsatzes liegen können – je nachdem, welcher Wert höher ist (https://audit-professionals.de/cyber-resilience-act/). Bei Zuwiderhandlungen gegen Meldepflichten oder Verfahrenspflichten sind es bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Hinzu kommen Marktzugangsbeschränkungen und im Extremfall ein behördlich angeordneter Rückruf des Produkts. Wer nicht die Vorgaben erfüllt, wird im Endeffekt nicht nur bestraft, sondern aus dem Markt genommen.

Praktische Sofortmaßnahmen für betroffene Unternehmen

Eine umfassende CRA-Umsetzung dauert nach Erfahrungen aus der Praxis 14 bis 20 Monate. Wer 2026 beginnt, kommt rechtzeitig ins Ziel – wer auf 2027 setzt, hat ein ernsthaftes Risiko. Aus unserer Praxis als IT-Dienstleister empfehlen wir die folgenden Maßnahmen als Einstieg:

• Produktportfolio inventarisieren: Welche unternehmenseigenen Produkte enthalten digitale Elemente? Welche werden im EU-Markt vertrieben? Welche fallen unter Anhang III oder IV der Verordnung? Diese Bestandsaufnahme ist die Basis aller weiteren Maßnahmen.
• Lückenanalyse erstellen: Wo stehen die unternehmensinternen Prozesse heute, im Vergleich zu den CRA-Anforderungen? Häufig sind ISO-27001-zertifizierte Unternehmen bereits zu 60 bis 70 Prozent der Governance-Vorgaben entsprechend aufgestellt, die produktspezifischen Anforderungen kommen aber ergänzend dazu.
• SBOM-Prozess aufbauen: Tools wie Syft oder Trivy lassen sich während weniger Tage in eine vorhandene CI/CD-Pipeline integrieren und liefern eine anfängliche maschinenlesbare Stückliste – häufig mit überraschenden Erkenntnissen über veraltete Open-Source-Komponenten.
• PSIRT etablieren: Ein Product Security Incident Response Team muss spätestens ab September 2026 funktionieren. Dazu gehören eindeutige Eskalationsprozesse zwischen Entwicklung, Geschäftsleitung und Rechtsabteilung sowie technische Anbindungen zum BSI und zur ENISA.
• Synergien zu NIS-2 und ISO 27001 nutzen: Wer bereits Schwachstellenmanagement, Risikoanalysen und Aktualisierungsprozesse betreibt, kann viele vorhandene Strukturen ausbauen, statt neu aufzusetzen.

Darüber hinaus empfiehlt es sich, Lieferanten und Open-Source-Komponenten systematisch zu prüfen. Komponenten, die seit Jahren nicht mehr gepflegt werden, gehören aus dem Produkt – oder müssen eigenständig mit Sicherheitsupdates versorgt werden. Spätestens 2027 ist die Zeit der „das nutzen wir schon immer so“-Komponenten vorbei.

Vom Compliance-Druck zum Wettbewerbsvorteil

Der Cyber Resilience Act ist kein optionales Beiwerk und keine Probe für Großkonzerne. Er ist die umfangreichste Veränderung der europäischen Produktregulierung der vergangenen zehn Jahre und betrifft mittelständische Hersteller, Importeure und Händler von Hardware, Software und vernetzten Geräten unmittelbar. Wer die Vorgaben rechtzeitig umsetzt, verhindert nicht nur empfindliche Bußgelder und Einschränkungen beim Marktzugang, sondern positioniert sich als zuverlässiger Partner in immer sicherheitskritischeren Lieferketten. Cybersicherheit „Made in EU“ wird in den kommenden Jahren zu einem entscheidenden Wettbewerbsvorteil – wenn man sich rechtzeitig auf den Weg macht.

Bis 2027 erscheint lang. Mit Portfolio-Inventur, Einführung eines SBOM-Prozesses und PSIRT-Prozessen sind es in der Praxis eher 18 als 36 Monate Arbeit. Wer heute beginnt, hat 2027 ein Produktportfolio, das den Marktzugang behält – und einen Vorsprung, den Wettbewerber nicht mehr aufholen können.

Möchten Sie erfahren, ob Ihre Produkte unter den Cyber Resilience Act fallen und wie Sie eine SBOM, das Schwachstellenmanagement oder Ihre Technikdokumentation aufsetzen? Sprechen Sie uns gerne an – als Ihr IT-Servicepartner begleiten wir Sie von der ersten Gap-Analyse bis zum CE-Kennzeichen.