Der Cyber Resilience Act (CRA) macht Cybersicherheit zur Voraussetzung für die CE-Kennzeichnung. Ab dem 11. Dezember 2027 darf ein Produkt mit digitalen Elementen nur noch auf dem EU-Markt bereitgestellt werden, wenn der Hersteller nachweisen kann, dass es sicher entwickelt wurde und sicher gehalten wird. Ein Teil des Gesetzes gilt bereits: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden melden, und zwar für jedes Produkt, das sie auf dem Markt haben.
Diese Zusammenfassung basiert auf meinem Vortrag “Surviving EU CRA: what manufacturers must prove” bei BSides Krakow im September 2026.
Eine Verordnung, keine Richtlinie
Der CRA ist eine EU-Verordnung, wie die DSGVO. Das bestimmt, wie Sie planen:
| EU-Verordnung (CRA, DSGVO) | EU-Richtlinie (NIS2) | |
|---|---|---|
| Unmittelbar anwendbar | Ja | Nein, braucht nationale Gesetzgebung |
| Einheitlich in der ganzen EU | Vollständig | Je nach Mitgliedstaat verschieden |
| Verbindlich | In allen Teilen | Hinsichtlich der Ziele |
| Spielraum für nationale Abweichungen | Keiner | Ja |
Die beiden Gesetze schützen auch Unterschiedliches. NIS2 schützt kritische Sektoren, die Organisationen darin und alle, die von deren Kontinuität abhängen. Der CRA schützt Verbraucher und Unternehmen, indem er dafür sorgt, dass die Produkte, die sie kaufen, über ihren gesamten Lebenszyklus sicher sind. Eine Organisation kann unter beide fallen: unter NIS2 als Betreiber, unter den CRA als Hersteller.
Der CRA wurde am 20. November 2024 im Amtsblatt veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten.
Was erfasst wird
Der CRA gilt für Produkte mit digitalen Elementen: “ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in Verkehr gebracht werden”.
In der Praxis betrifft das fast alles, in dem Software steckt: Unterhaltungselektronik, Software im Karton oder als Download, Engineering-Anwendungen wie CAD, Smart-Home-Systeme, vernetzte Industriemaschinen und die Cloud-Backends, die diese Produkte brauchen. Getrennt verkaufte Komponenten wie Bibliotheken oder Chips sind selbst Produkte.
Einige Sektoren sind ausgenommen, weil sie eigene Produktsicherheitsregeln haben: Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge, die zivile Luftfahrt, Schiffsausrüstung und Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt wurden. Die Bahn steht nicht auf der Ausnahmeliste. Das macht sie zu einer Grauzone, die Sie für jedes Produkt prüfen sollten. Reines SaaS fällt nicht unter den CRA, es sei denn, es ist die Datenfernverarbeitung eines Produkts.
Das “Inverkehrbringen” entscheidet, wann die Regeln greifen
Ein Produkt wird in Verkehr gebracht, wenn ein Hersteller oder Einführer es erstmals an einen Händler oder Endnutzer in der EU abgibt. In diesem Moment gelten die Regeln, für jedes einzelne Exemplar. Ein Gerät, das am 10. Dezember 2027 Ihr Lager verlässt, muss den CRA nicht erfüllen; ein identisches Gerät, das einen Tag später versandt wird, schon.
Es gibt eine wichtige Ausnahme. Die Meldepflichten gelten für jedes Produkt im Geltungsbereich, auch für Produkte, die lange vor Dezember 2027 in Verkehr gebracht wurden. Ihre installierte Basis ist also bereits erfasst.
Der Zeitplan
| Datum | Was gilt | Status |
|---|---|---|
| 10. Dezember 2024 | Der CRA tritt in Kraft. | Erledigt |
| 11. Juni 2026 | Regeln für Konformitätsbewertungsstellen. Die Mitgliedstaaten können die Stellen notifizieren, die Produkte bewerten. | In Kraft |
| 11. September 2026 | Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, für alle Produkte im Geltungsbereich. | In Kraft |
| 11. Dezember 2027 | Alle Pflichten. Neue Produkte brauchen eine CE-Kennzeichnung, die die Cybersicherheit abdeckt. | Bevorstehend |
Die Produktklasse bestimmt das Konformitätsverfahren
| Kategorie | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standard geringstes Risiko | Allgemeine Software und Apps, Büro-IT, smarte Bürogeräte ohne Sicherheitsfunktion, Verbrauchergeräte im geschäftlichen Einsatz. Etwa 90 % der Produkte. | Interne Kontrolle (Modul A). Ein Hersteller kann freiwillig eine Bewertung durch Dritte wählen. |
| Wichtig, Klasse I erhöhtes Risiko | Passwortmanager, Browser, Betriebssysteme, SIEM-Systeme, Software für Identitätsmanagement, VPNs, Router | Interne Kontrolle (Modul A) nur, wenn harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Cybersicherheitszertifizierung vollständig angewandt werden. Sonst eine notifizierte Stelle. |
| Wichtig, Klasse II erhebliches Störungsrisiko | Hypervisoren und Container-Laufzeitumgebungen, Firewalls sowie Systeme zur Angriffserkennung oder -verhinderung, auch industrielle, manipulationssichere Mikroprozessoren und Mikrocontroller | Immer Dritte: eine notifizierte Stelle oder eine europäische Cybersicherheitszertifizierung. |
| Kritisch kritische Infrastruktur | Smart-Meter-Gateways, Hardware-Sicherheitsmodule, Smartcards und Secure Elements | Ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe "substanziell", wo die Kommission eines verlangt; sonst das Verfahren der Klasse II. |
Bei Produkten der Klasse I entscheidet die Verfügbarkeit harmonisierter Normen, ob die interne Kontrolle genügt oder ob Sie eine notifizierte Stelle brauchen. Die Normen werden gerade fertiggestellt; unsere Übersicht der harmonisierten CRA-Normen zeigt, wo jede steht.
Was Hersteller nachweisen müssen
Ab Dezember 2027 braucht jedes Produkt:
- eine EU-Konformitätserklärung
- eine technische Dokumentation einschließlich der Cybersicherheitsrisikobewertung
- Security by Design und by Default
- ein Schwachstellenmanagement einschließlich SBOM und einer Richtlinie zur koordinierten Offenlegung von Schwachstellen
- Sicherheitsanforderungen, die aus dieser Risikobewertung abgeleitet sind
Zwei Zahlen für die Planung: Hersteller müssen Sicherheitsupdates für einen Unterstützungszeitraum von mindestens fünf Jahren bereitstellen, es sei denn, das Produkt wird voraussichtlich kürzer genutzt. Und sie müssen die technische Dokumentation und die Konformitätserklärung zehn Jahre nach dem Inverkehrbringen für die Behörden bereithalten, oder für den Unterstützungszeitraum, wenn dieser länger ist.
Es gibt keine Checkliste
Das überrascht die meisten Führungsteams. Der CRA liefert keine Liste von Maßnahmen zum Abhaken. Er legt grundlegende Anforderungen fest und erwartet, dass jeder Hersteller auf Basis einer Risikoanalyse seines Produkts eigene angemessene Anforderungen und Maßnahmen festlegt. Zwei Produkte derselben Kategorie können bei unterschiedlichen Maßnahmen landen und beide konform sein, solange die Begründung dokumentiert ist.
Harmonisierte Normen leiten diesen Prozess und begründen eine Konformitätsvermutung, sobald sie im Amtsblatt genannt sind. Die eigene Risikoanalyse ersetzen sie nicht.
Die Meldepflicht gilt bereits
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, die die Sicherheit ihrer Produkte betreffen. Meldungen gehen über die zentrale Meldeplattform der ENISA an das als Koordinator benannte nationale CSIRT und an die ENISA:
- eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme
- eine Meldung innerhalb von 72 Stunden
- ein Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur für eine Schwachstelle verfügbar ist, oder innerhalb eines Monats bei einem schwerwiegenden Vorfall
Hersteller müssen außerdem die betroffenen Nutzer informieren und ihnen sagen, wie sie das Problem eindämmen können. Eine 24-Stunden-Frist ist nur mit einem getesteten Prozess realistisch: Jemand muss eine Meldung als meldepflichtig erkennen, befugt sein, sie abzugeben, und wissen, wo.
Was Verstöße kosten
| Verstoß | Höchstbetrag der Geldbuße, der höhere Wert gilt |
|---|---|
| Nichterfüllung der grundlegenden Cybersicherheitsanforderungen oder der Herstellerpflichten, einschließlich der Meldepflicht | 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes |
| Andere Pflichten, etwa administrative Anforderungen | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden | 5 Mio. € oder 1 % des weltweiten Jahresumsatzes |
Das größere Risiko ist oft nicht die Geldbuße. Marktüberwachungsbehörden können anordnen, dass ein nicht konformes Produkt vom Markt genommen oder zurückgerufen wird. Ohne gültige CE-Kennzeichnung haben Sie keinen EU-Markt.
Der Weg dorthin
Compliance ist eine Eigenschaft davon, wie Sie Produkte entwickeln und pflegen, nicht eines Dokuments, das Sie kurz vor der Frist schreiben. In der Praxis bedeutet das einen sicheren Softwareentwicklungszyklus mit Nachweisen in jeder Phase:
- Risikobewertung
- Threat Modeling
- Sicherheitsanforderungen
- Sichere Implementierung
- SBOM
- Funktionale und nichtfunktionale Sicherheitstests
- Sichere Konfiguration und Nutzerdokumentation
- Kontinuierliche Überwachung von Schwachstellen in Drittkomponenten
- Incident Response
Ein Reifegradmodell wie OWASP SAMM gibt diesem Lebenszyklus eine Struktur: Sie bestimmen, wo Sie stehen, setzen Ziele je Practice und zeigen den Fortschritt über die Zeit. Unser Vergleich von SAMM und BSIMM erklärt, wie Sie ein Modell auswählen.
Was Sie jetzt tun sollten
- Stellen Sie sicher, dass Sie heute innerhalb von 24 Stunden melden können. Diese Pflicht gilt bereits für alles, was Sie auf dem Markt haben.
- Listen Sie Ihre Produkte mit digitalen Elementen auf und ordnen Sie jedes ein: Standard, Klasse I, Klasse II oder kritisch. Die Klasse entscheidet, ob Sie eine notifizierte Stelle brauchen, und deren Kapazität ist begrenzt.
- Führen Sie eine Gap-Analyse Ihrer Entwicklungs- und Schwachstellenprozesse gegenüber den grundlegenden Anforderungen durch.
- Beginnen Sie mit den Risikobewertungen und der technischen Dokumentation für Produkte, die Sie nach Dezember 2027 noch verkaufen.
- Legen Sie fest, wer für die CRA-Compliance verantwortlich ist. Sie betrifft Entwicklung, Produktmanagement, Recht, Support und Einkauf und scheitert, wenn sie bei einem einzigen Team liegen bleibt.
Für eine erste Einschätzung, wo Sie stehen, nutzen Sie die kostenlose EU-CRA-Selbstbewertung oder vereinbaren Sie ein kostenloses EU-CRA-Strategiegespräch. Wenn Sie bereit für ein strukturiertes Programm sind, führt Sie die EU CRA Compliance Journey von der Meldebereitschaft zur CE-Konformität. Eine ausführlichere Darstellung der Pflichten finden Sie in unserem CRA-Leitfaden für KMU.