Ratgeber › Cyber Resilience Act
Cyber Resilience Act: Was Hersteller jetzt tun müssen.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) macht Cybersicherheit zur Voraussetzung für das CE-Kennzeichen. Er gilt für fast jedes Produkt mit Software, vom Router über die Steuerung bis zur Desktop-Anwendung. Die ersten Pflichten greifen bereits, ab Dezember 2027 gilt der CRA vollständig.
Wen der CRA betrifft.
Der CRA gilt für Produkte mit digitalen Elementen, die in der EU auf den Markt kommen: Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden kann, einschließlich der zugehörigen Fernverarbeitung von Daten.
Hersteller
Wer ein Produkt entwickelt oder entwickeln lässt und unter eigenem Namen vermarktet, trägt die Hauptpflichten: sichere Entwicklung, Schwachstellenmanagement, Dokumentation und Meldungen.
Importeure und Händler
Sie dürfen nur Produkte in Verkehr bringen, die die Anforderungen erfüllen, und müssen prüfen, ob CE-Kennzeichen und Unterlagen vorhanden sind.
Nicht erfasst
Bereiche mit eigenen Regeln wie Medizinprodukte, Kraftfahrzeuge und Luftfahrt, reine Cloud-Dienste ohne zugehöriges Produkt sowie nicht kommerzielle Open-Source-Software.
Ob ein Produkt unter den CRA fällt und in welche Kategorie, sollte im Einzelfall geprüft werden. Dieser Ratgeber ersetzt keine Rechtsberatung.
Der Zeitplan bis 2027.
Die Pflichten treten gestaffelt in Kraft. Die Meldepflichten gelten schon heute, und zwar auch für Produkte, die bereits auf dem Markt sind.
Inkrafttreten
Die Verordnung ist in Kraft. Die Übergangsfristen laufen.
Prüfstellen
Die Regeln für die Konformitätsbewertungsstellen gelten, damit Prüfungen rechtzeitig möglich sind.
Meldepflichten
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden.
Volle Geltung
Ab dem 11. Dezember 2027 dürfen nur noch Produkte auf den Markt, die alle Anforderungen erfüllen und das CE-Kennzeichen tragen.
Je kritischer das Produkt, desto strenger die Prüfung.
| Kategorie | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standard | Die meisten Produkte, etwa Anwendungssoftware, Spiele, smarte Lautsprecher | Selbstbewertung durch den Hersteller |
| Wichtig, Klasse I | Passwortmanager, VPN, Router, Betriebssysteme, Smart-Home-Systeme mit Sicherheitsfunktion | Selbstbewertung nur mit harmonisierten Normen, sonst Prüfstelle |
| Wichtig, Klasse II | Firewalls, Systeme zur Angriffserkennung, Hypervisoren, manipulationssichere Mikroprozessoren | Prüfung durch eine benannte Stelle |
| Kritisch | Hardware mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten | Gegebenenfalls europäische Cybersicherheitszertifizierung |
Was der CRA von Herstellern verlangt.
Die grundlegenden Anforderungen stehen in Anhang I. Sie gelten über den gesamten Lebenszyklus, nicht nur beim Verkauf.
Security by Design
Keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardkonfiguration, Schutz von Vertraulichkeit und Integrität, möglichst kleine Angriffsfläche.
Risikobewertung
Eine dokumentierte Bewertung der Cybersicherheitsrisiken des Produkts, die in Entwicklung, Herstellung und Wartung berücksichtigt wird.
Software-Stückliste (SBOM)
Ein Verzeichnis der enthaltenen Komponenten, zumindest der obersten Abhängigkeiten, damit Schwachstellen schnell zugeordnet werden können.
Schwachstellenmanagement
Schwachstellen regelmäßig prüfen, unverzüglich beheben, eine Richtlinie zur koordinierten Offenlegung und eine Kontaktadresse für Meldungen bereitstellen.
Sicherheitsupdates
Kostenlose Sicherheitsupdates über den gesamten Unterstützungszeitraum, in der Regel mindestens fünf Jahre, sicher verteilt.
Dokumentation und CE
Technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung und Sicherheitshinweise für die Nutzer.
Melden in drei Stufen.
Aktiv ausgenutzte Schwachstellen und schwere Vorfälle, die die Sicherheit Ihres Produkts betreffen, melden Sie über die zentrale Meldeplattform der ENISA an das zuständige CSIRT, in Deutschland das BSI. Mehr zu den Meldepflichten aus NIS2 und DSGVO im Ratgeber Meldepflichten.
Frühwarnung
Dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerer Vorfall vorliegt, und in welchen Ländern das Produkt angeboten wird.
Meldung
Allgemeine Informationen zum Produkt, zur Art der Ausnutzung und zu ergriffenen oder empfohlenen Gegenmaßnahmen.
Abschlussbericht
Bei Schwachstellen spätestens 14 Tage nach Bereitstellung einer Korrektur, bei schweren Vorfällen spätestens einen Monat nach der Meldung.
Zusätzlich müssen Sie die Nutzer Ihres Produkts informieren und ihnen, wo nötig, Maßnahmen zur Abhilfe nennen. Verstöße gegen die grundlegenden Anforderungen können mit Bußgeldern von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden.
In 6 Schritten CRA-ready.
Produkte erfassen
Welche Ihrer Produkte haben digitale Elemente, und in welche Kategorie fallen sie?
Meldeprozess aufsetzen
Zuständigkeiten, Kriterien und Vorlagen für die 24-Stunden-Frühwarnung, denn diese Pflicht gilt schon.
SBOM erstellen
Komponenten und Versionen je Produkt automatisiert erfassen und aktuell halten.
Schwachstellen managen
Offenlegungsrichtlinie veröffentlichen, Kontaktadresse einrichten, Funde verfolgen und beheben.
Risiken bewerten
Cybersicherheitsrisiken je Produkt dokumentieren und in die Entwicklung einfließen lassen.
Konformität vorbereiten
Technische Dokumentation, Unterstützungszeitraum und Konformitätsbewertung rechtzeitig vor Dezember 2027 planen.
CRA-Pflichten im Griff mit WolfISMS.
Der CRA-Katalog ist in WolfISMS enthalten. Schwachstellen verfolgen Sie im Schwachstellen-Management, der Meldeassistent im Incident-Modul zeigt die CRA-Fristen und liefert vorbefüllte Meldetexte, und Risiken bewerten Sie nach derselben Methodik wie im übrigen ISMS.