Was mit dem Cyber Resilience Act auf Unternehmen zukommt

Der CRA, die Verordnung (EU) 2024/2847, soll zwei Probleme beheben, die Erwägungsgrund 1 benennt: ein geringes Cybersicherheitsniveau vieler Produkte, das sich in weitverbreiteten Schwachstellen und unzureichenden Sicherheitsaktualisierungen zeigt, und Nutzer, denen die Informationen fehlen, um sichere Produkte auszuwählen und sicher zu verwenden. Er ist seit dem 10. Dezember 2024 in Kraft und gilt als Verordnung unmittelbar in jedem Mitgliedstaat. Seine Pflichten greifen aber erst nach und nach, für Hersteller die ersten ab dem 11. September 2026. Dieser Beitrag gibt einen Überblick darüber, welche Produkte der CRA erfasst, wen er in die Pflicht nimmt, was er verlangt und womit Unternehmen sinnvoll anfangen.

Welche Produkte der CRA erfasst

Der CRA gilt für Produkte mit digitalen Elementen, vereinfacht gesagt für Hardware und Software, die sich direkt oder indirekt mit einem Gerät oder Netz verbinden lassen. Das reicht vom vernetzten Haushaltsgerät über Router und Industriesteuerungen bis zur Desktop-Software und zur App. Maßgeblich ist nach Artikel 2 Absatz 1, ob die Zweckbestimmung oder die vernünftigerweise vorhersehbare Verwendung eine solche Datenverbindung einschließt. Zum Produkt gehören nach Artikel 3 Nummer 1 auch seine Datenfernverarbeitungslösungen, und auch Software- oder Hardware-Komponenten, die getrennt in Verkehr gebracht werden, sind Produkte im Sinne des CRA.

Ausgenommen sind Produkte, für die bereits eigene EU-Vorschriften gelten: Medizinprodukte und In-vitro-Diagnostika, Fahrzeuge und Fahrzeugteile mit EU-Typgenehmigung, zertifizierte Luftfahrtprodukte und Schiffsausrüstung (Artikel 2 Absätze 2 bis 4). Ebenfalls nicht erfasst sind Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder der Verteidigung entwickelt oder geändert wurden, und Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind (Absatz 7). Bei Cloud-Software kommt es darauf an, ob sie zu einem Produkt gehört, dazu mehr in den Praxisfragen.

Wen die Pflichten treffen

Die meisten Pflichten treffen den Hersteller. Hersteller ist, wer ein Produkt selbst entwickelt oder herstellt oder durch andere entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet, ob gegen Bezahlung oder unentgeltlich (Artikel 3 Nummer 13). Einführer und Händler haben eigene, deutlich weniger umfangreiche Pflichten (Artikel 19 und 20). Bringen sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr, gelten sie nach Artikel 21 selbst als Hersteller. Dasselbe gilt nach den Artikeln 21 und 22 für jeden, der ein Produkt wesentlich ändert und es auf dem Markt bereitstellt.

Für juristische Personen, die freie und quelloffene Software für kommerzielle Tätigkeiten systematisch und nachhaltig unterstützen, ohne selbst Hersteller zu sein, sieht Artikel 24 eine eigene, leichtere Rolle vor: den Verwalter quelloffener Software.

Der Zeitplan

Übergangsfristen und Geltungsbeginn im Überblick:

• 10. Dezember 2024: Der CRA tritt in Kraft. Ab diesem Tag ist er geltendes Recht, seine Pflichten gelten aber erst zu den folgenden Terminen.
• 11. Juni 2026: Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen gilt. Damit können notifizierte Stellen für den CRA benannt werden.
• 11. September 2026: Die Meldepflichten nach Artikel 14 gelten.
• 11. Dezember 2027: Alle übrigen Pflichten gelten.

Die Meldepflichten kommen zuerst

Für Hersteller gilt eine Pflicht deutlich früher als der Rest. Ab dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit melden (Artikel 14). Die Meldung geht über die einheitliche Meldeplattform gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, und zwar in drei Stufen: eine Frühwarnung unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden nach Kenntnis und danach ein Abschlussbericht.

Anders als die übrigen Anforderungen gelten die Meldepflichten nach Artikel 69 Absatz 3 auch für Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Betroffen ist damit der gesamte Bestand im Feld, nicht erst die nächste Produktgeneration.

Was Hersteller leisten müssen

Kern des CRA sind die grundlegenden Cybersicherheitsanforderungen in Anhang I. Sie bestehen aus zwei Teilen:

• Das Produkt selbst (Teil I). Es muss so konzipiert, entwickelt und hergestellt werden, dass es ein den Risiken angemessenes Cybersicherheitsniveau gewährleistet. Auf Grundlage der Risikobewertung und soweit zutreffend muss es unter anderem ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt werden, eine sichere Standardkonfiguration haben und sich so aktualisieren lassen, dass Schwachstellen durch Sicherheitsaktualisierungen behoben werden können.
• Der Umgang mit Schwachstellen (Teil II). Hersteller ermitteln und dokumentieren die Komponenten ihrer Produkte, unter anderem in einer Software-Stückliste, beheben Schwachstellen unverzüglich und stellen Sicherheitsaktualisierungen grundsätzlich kostenlos bereit. Außerdem brauchen sie eine Strategie für die koordinierte Offenlegung von Schwachstellen, die sie aufstellen und umsetzen.

Dazu kommen die Pflichten aus Artikel 13. Der Hersteller bewertet die Cybersicherheitsrisiken seines Produkts und dokumentiert die Bewertung, beachtet die Sorgfaltspflicht bei Komponenten Dritter und legt einen Unterstützungszeitraum fest, in dem er Schwachstellen wirksam behandelt. Dieser beträgt nach Absatz 8 mindestens fünf Jahre, es sei denn, das Produkt ist voraussichtlich kürzer in Betrieb; dann entspricht er der voraussichtlichen Nutzungsdauer. Alles zusammen geht in die technische Dokumentation nach Anhang VII ein. Sie ist nach dem Inverkehrbringen mindestens zehn Jahre lang oder für die Dauer des Unterstützungszeitraums aufzubewahren, je nachdem, welcher Zeitraum länger ist (Absatz 13).

Konformitätsbewertung und CE-Kennzeichnung

Bevor ein Produkt in Verkehr gebracht wird, weist der Hersteller in einer Konformitätsbewertung nach, dass es die Anforderungen erfüllt. Welches Verfahren infrage kommt, hängt nach Artikel 32 von der Einstufung des Produkts ab:

• Produkte ohne besondere Einstufung, also alle, die weder in Anhang III noch in Anhang IV genannt sind, kann der Hersteller selbst bewerten, im Verfahren der internen Kontrolle (Modul A).
• Wichtige Produkte der Klasse I nach Anhang III, etwa Passwort-Manager, Router oder Betriebssysteme, darf der Hersteller nur dann selbst bewerten, wenn er harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwendet. Andernfalls ist eine notifizierte Stelle beteiligt.
• Wichtige Produkte der Klasse II, etwa Hypervisoren oder Firewalls, kann der Hersteller nicht allein bewerten. Beteiligt ist eine notifizierte Stelle, oder er nutzt, sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“.
• Kritische Produkte nach Anhang IV, etwa Smart-Meter-Gateways oder Chipkarten, brauchen eine europäische Cybersicherheitszertifizierung, sobald die Kommission sie nach Artikel 8 Absatz 1 vorschreibt. Solange das nicht geschehen ist, gelten für sie die Verfahren der Klasse II.

Was genau unter die Produktkategorien der Anhänge III und IV fällt, legt die Durchführungsverordnung (EU) 2025/2392 der Kommission in technischen Beschreibungen fest. Am Ende der Bewertung stehen die EU-Konformitätserklärung und die CE-Kennzeichnung. Ab dem 11. Dezember 2027 darf ein Produkt im Anwendungsbereich nur noch mit beidem in Verkehr gebracht werden.

Was bei Verstößen droht

Die Mitgliedstaaten legen die Sanktionen und Geldbußen fest, Artikel 64 gibt ihnen dafür den Rahmen vor. Für Verstöße gegen die grundlegenden Cybersicherheitsanforderungen und gegen die Pflichten aus den Artikeln 13 und 14 sind Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, von bis zu 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen, je nachdem, welcher Betrag höher ist. Für eine Reihe weiterer Pflichten, darunter die der Einführer und Händler, liegt die Obergrenze bei 10 Millionen Euro oder 2 Prozent. Daneben können die Marktüberwachungsbehörden bei nichtkonformen Produkten Korrekturmaßnahmen, eine Rücknahme vom Markt oder einen Rückruf verlangen.

Womit Unternehmen anfangen

Bis zum 11. Dezember 2027 bleibt Zeit, aber nicht übermäßig viel, wenn Entwicklungsprozesse, Dokumentation und Lieferkette angepasst werden müssen. Ein sinnvoller Einstieg folgt dieser Reihenfolge:

1. Eine Übersicht der Produkte. Welche Produkte mit digitalen Elementen bietet das Unternehmen an, in welchen Versionen und in welchen Mitgliedstaaten?
2. Die Rolle je Produkt. Ist das Unternehmen Hersteller, Einführer oder Händler, oder gilt es wegen eigener Marke oder wesentlicher Änderung als Hersteller?
3. Die Meldewege. Die Meldepflichten gelten ab dem 11. September 2026 und damit lange vor allem anderen. Zuständigkeiten, eine Erreichbarkeit rund um die Uhr und das zuständige CSIRT gehören deshalb an den Anfang.
4. Die Einstufung. Produkt ohne besondere Einstufung, wichtiges Produkt der Klasse I oder II oder kritisches Produkt? Davon hängt das Bewertungsverfahren ab.
5. Die Komponenten. Eine Software-Stückliste je Produkt und Version zeigt im Ernstfall schnell, ob eine Schwachstelle ein Produkt betrifft, und gehört ab dem 11. Dezember 2027 ohnehin zu den Pflichten.
6. Prozesse und Dokumentation. Risikobewertung, Schwachstellenbehandlung, Unterstützungszeitraum und technische Dokumentation brauchen Vorlauf, besonders wenn eine notifizierte Stelle beteiligt ist.