Cyber Resilience Act: Was Hersteller digitaler Produkte wissen sollten

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) legt Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest, die auf dem EU-Markt bereitgestellt werden. Dazu können vernetzte Geräte, reine Software und separat angebotene digitale Komponenten gehören. Entscheidend ist die gesetzliche Definition und der konkrete Produktzweck – nicht allein, ob ein Produkt eine Internetverbindung nutzt.

Der CRA gilt seit dem 10. Dezember 2024. Seine Pflichten werden schrittweise wirksam: Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026; die meisten übrigen Produktanforderungen gelten ab dem 11. Dezember 2027.

Hersteller im Sinne des CRA sind grundsätzlich Unternehmen, die ein Produkt entwickeln oder entwickeln lassen und es unter eigenem Namen oder ihrer Marke vertreiben. Auch Importeurinnen und Importeure sowie Händler können eigene Pflichten haben. Welche Rolle gilt, hängt unter anderem davon ab, wer das Produkt in der EU bereitstellt und unter welcher Marke es angeboten wird.

Der Anwendungsbereich enthält Ausnahmen und Abgrenzungen, etwa zu bestimmten bereits spezialgesetzlich geregelten Produkten. Auch Open-Source-Software ist nicht pauschal ausgenommen: Die Regelung unterscheidet unter anderem zwischen nicht kommerziell entwickelter Software und der Rolle eines Open-Source-Software-Stewards. Eine Einzelfallprüfung ist daher sinnvoll.

Seit dem 11. September 2026 müssen Hersteller bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, wenn sie die Sicherheit eines Produkts mit digitalen Elementen betreffen. Eine erste Frühwarnung ist innerhalb von 24 Stunden nach Bekanntwerden vorgesehen; eine vollständige Meldung folgt grundsätzlich innerhalb von 72 Stunden. Weitere Abschlussberichte haben eigene Fristen.

Die Meldung erfolgt über die zentrale CRA Single Reporting Platform der ENISA und richtet sich an das zuständige CSIRT. Die 24-Stunden-Frist ist also nicht mit einer vollständigen technischen Abschlussmeldung gleichzusetzen. Für die meisten übrigen Produktanforderungen ist der 11. Dezember 2027 der zentrale Geltungsbeginn.

• 10. Dezember 2024: Die Verordnung tritt in Kraft.
• 11. September 2026: Die CRA-Meldepflichten für Hersteller gelten.
• 11. Dezember 2027: Die meisten übrigen CRA-Anforderungen gelten.

Der CRA verlangt, Cybersicherheit in Entwicklung und Betrieb mitzudenken. Dazu gehören eine produktspezifische Risikobewertung, sichere Voreinstellungen, der Umgang mit Schwachstellen sowie Sicherheitsupdates während des festgelegten Unterstützungszeitraums. Umfang und Dauer der Unterstützung müssen nachvollziehbar festgelegt und kommuniziert werden.

Hersteller müssen außerdem die eingesetzten Komponenten und bekannten Schwachstellen berücksichtigen. Eine Software Bill of Materials (SBOM) dient dazu, Softwarekomponenten und Abhängigkeiten zu erfassen. Der CRA verlangt eine maschinenlesbare SBOM mit mindestens den relevanten Abhängigkeiten der obersten Ebene; sie muss nicht pauschal öffentlich veröffentlicht werden, kann aber auf Anfrage der zuständigen Marktüberwachungsbehörde vorzulegen sein.

Die technische Dokumentation soll unter anderem das Produkt, die Risikobewertung, die angewandten Sicherheitsmaßnahmen und das Schwachstellenmanagement nachvollziehbar beschreiben. Sie muss zum Produkt und zu den jeweiligen Versionen passen und für die gesetzlich vorgesehene Frist aufbewahrt werden.

Vor dem Inverkehrbringen ist das jeweils anwendbare Konformitätsbewertungsverfahren zu durchlaufen. Für viele Produkte ist eine interne Bewertung möglich. Bei bestimmten wichtigen Produkten oder wenn einschlägige harmonisierte Normen beziehungsweise andere vorgesehene Verfahren nicht vollständig genutzt werden, kann eine notifizierte Stelle erforderlich sein. Die Produktkategorie und die tatsächlich angewandten Verfahren entscheiden – eine pauschale Einstufung nach Produktnamen reicht nicht.

• Produktportfolio erfassen und für jedes Produkt Anwendungsbereich sowie mögliche Ausnahmen prüfen.
• Rolle in der Lieferkette klären: Hersteller, Importeur, Händler oder gegebenenfalls Open-Source-Steward.
• Risiken, Komponenten, bestehende Update- und Schwachstellenprozesse dokumentieren und Lücken bestimmen.
• Unterstützungszeitraum, Meldewege und Zuständigkeiten für Sicherheitsvorfälle festlegen.
• Konformitätsbewertungsweg und benötigte Nachweise je Produkt prüfen.

Da die Meldepflichten bereits gelten, sollten betroffene Hersteller ihre Meldewege und Eskalationskontakte jetzt funktionsfähig halten. Für die übrigen Anforderungen bleibt der 11. Dezember 2027 ein wichtiger Stichtag. Eine belastbare Planung beginnt mit einer sauberen Scope- und Rollenbewertung – erst danach lassen sich Aufwand, Nachweise und ein möglicher Bedarf an externer Prüfung seriös einschätzen.

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt weder die Prüfung des Verordnungstextes noch eine individuelle rechtliche oder technische Beratung.