Cyber Resilience Act einfach erklärt
Cyber Resilience Act (CRA) einfach erklärt: betroffene Produkte, Pflichten der Hersteller, Fristen bis Dezember 2027 und was Käufer davon haben.
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die Mindestanforderungen an die IT-Sicherheit von Produkten mit digitalen Elementen festlegt. Gemeint sind vernetzte Geräte und Software, vom Router über die Smartwatch bis zur App. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden, ab dem 11. Dezember 2027 gelten alle Anforderungen.
Was sich ändert
Hersteller müssen Sicherheit von Anfang an einplanen, bekannte Schwachstellen beheben, Sicherheitsupdates für einen festgelegten Zeitraum liefern, typischerweise mindestens fünf Jahre, und offenlegen, wie lange sie das tun. Das CE-Kennzeichen umfasst künftig auch die Cybersicherheit. Wer die Anforderungen nicht erfüllt, darf sein Produkt in der EU nicht mehr verkaufen.
Betrifft das meinen Betrieb?
Direkt betroffen sind Hersteller, Importeure und Händler solcher Produkte, also zum Beispiel Softwarehäuser, Gerätehersteller oder Unternehmen, die vernetzte Technik unter eigenem Namen vertreiben. Für alle anderen ist der CRA eine gute Nachricht: Neu gekaufte Geräte und Programme müssen sicherer sein und Updates erhalten.
Der nächste Schritt
Wenn Sie Software oder vernetzte Produkte entwickeln oder vertreiben: Prüfen Sie jetzt, welche Ihrer Produkte unter den CRA fallen, und richten Sie den Meldeweg ein. Beim Einkauf lohnt die Frage nach dem zugesagten Zeitraum für Sicherheitsupdates.
Rechtsgrundlage des Cyber Resilience Act
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Er wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat 20 Tage später in Kraft. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten. In Deutschland regelt ein Durchführungsgesetz die nationale Umsetzung; der Bundestag hat es im Oktober 2026 verabschiedet. Das BSI ist danach zuständige Behörde, unter anderem für die Marktüberwachung, als notifizierende Behörde für Konformitätsbewertungsstellen und für die Koordination der CRA-Meldungen.
Fristen
| Datum | Was gilt |
|---|---|
| 11. Juni 2026 | Regeln für Konformitätsbewertungsstellen (Notifizierung) |
| 11. September 2026 | Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle |
| 11. Dezember 2027 | alle Anforderungen der Verordnung |
Welche Produkte erfasst sind
Der CRA gilt für Produkte mit digitalen Elementen, deren Zweck eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Dazu zählen Hardware, Komponenten und Software, die getrennt in Verkehr gebracht werden. Das BSI nennt als Beispiele Smartphones, Laptops, Smarthome-Produkte, Smartwatches, vernetztes Spielzeug, Mikroprozessoren, Firewalls und Smart-Meter-Gateways.
Ausgenommen sind Bereiche mit eigenem Produktsicherheitsrecht, etwa Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, zivile Luftfahrt und Schiffsausrüstung, außerdem Produkte ausschließlich für die nationale Sicherheit, nicht kommerzielle Open-Source-Software und identische Ersatzteile. Reine Dienstleistungen wie Software as a Service fallen grundsätzlich nicht unter den CRA, können aber unter NIS-2 fallen.
Produktklassen
- Standardprodukte: die große Mehrheit. Der Hersteller bewertet die Konformität selbst und stellt eine EU-Konformitätserklärung aus.
- Wichtige Produkte, Klasse I (Anhang III): zum Beispiel Passwortmanager. Selbstbewertung ist möglich, wenn harmonisierte Normen angewendet werden; sonst ist eine Konformitätsbewertungsstelle einzubeziehen.
- Wichtige Produkte, Klasse II (Anhang III): zum Beispiel Firewalls. Bewertung durch eine Konformitätsbewertungsstelle oder ein europäisches Zertifizierungsschema.
- Kritische Produkte (Anhang IV): zum Beispiel Smartcards und Smart-Meter-Gateways. Zertifizierung nach einem europäischen Schema kann verlangt werden.
Pflichten der Hersteller
Sicherheit durch Technikgestaltung
Anhang I enthält die grundlegenden Anforderungen. Dazu gehören eine Risikobewertung, sichere Voreinstellungen ohne schwache Standardpasswörter, Schutz durch Verschlüsselung, Minimierung der Angriffsfläche, Schutz vor unbefugtem Zugriff, Protokollierung sicherheitsrelevanter Ereignisse und die Möglichkeit, Daten sicher zu löschen.
Schwachstellenbehandlung
Hersteller müssen Schwachstellen identifizieren und dokumentieren, eine Software-Stückliste (SBOM) führen, Schwachstellen unverzüglich beheben, Sicherheitsupdates kostenlos bereitstellen und eine Richtlinie zur koordinierten Offenlegung von Schwachstellen haben. Die SBOM muss laut BSI nicht veröffentlicht werden.
Unterstützungszeitraum
Der Hersteller legt einen Zeitraum fest, in dem er Sicherheitsupdates liefert. Er soll der erwarteten Nutzungsdauer entsprechen und beträgt laut BSI typischerweise fünf Jahre. Das Ende des Zeitraums muss klar angegeben werden.
Meldepflichten
Seit dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform (Single Reporting Platform), in Deutschland an das BSI als zuständiges CSIRT:
- Frühwarnung innerhalb von 24 Stunden
- detailliertere Meldung innerhalb von 72 Stunden
- Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Abhilfe (Schwachstellen) bzw. einen Monat nach der detaillierten Meldung (schwerwiegende Vorfälle)
Auch die Nutzer sind über Vorfälle und mögliche Abhilfemaßnahmen zu informieren.
Dokumentation und CE-Kennzeichnung
Hersteller erstellen eine technische Dokumentation, führen das Konformitätsbewertungsverfahren durch, stellen die EU-Konformitätserklärung aus und bringen das CE-Kennzeichen an. Ein eigenes CRA-Zeichen gibt es nicht.
Pflichten von Importeuren und Händlern
Importeure dürfen nur Produkte in Verkehr bringen, die die Anforderungen erfüllen, und prüfen unter anderem Konformitätsbewertung, CE-Kennzeichnung und Dokumentation. Händler prüfen CE-Kennzeichnung und Begleitunterlagen. Wer ein Produkt unter eigenem Namen vertreibt oder wesentlich verändert, kann selbst als Hersteller gelten.
Sanktionen
Die Verordnung sieht für Verstöße gegen die grundlegenden Anforderungen und Herstellerpflichten Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist; für andere Verstöße gelten niedrigere Obergrenzen. Marktüberwachungsbehörden können Produkte zudem vom Markt nehmen lassen.
Unterstützung für KMU
Der CRA sieht Erleichterungen für Kleinst- und kleine Unternehmen vor, etwa vereinfachte technische Dokumentation, Leitfäden und Reallabore. Das BSI unterstützt mit der Technischen Richtlinie TR-03183, Informationsmaterial und Beratung.
Bedeutung für Anwender
Unternehmen, die vernetzte Produkte nur einsetzen, haben keine CRA-Pflichten. Der CRA hilft ihnen aber bei der Beschaffung: Fragen Sie nach dem Unterstützungszeitraum, nach CE-Konformität mit Blick auf Cybersicherheit und nach dem Weg, auf dem der Hersteller über Schwachstellen informiert. Das passt zu den NIS-2-Anforderungen an Sicherheit bei Erwerb und Wartung von IT. Fragen Sie bei wichtigen Anschaffungen schriftlich nach und halten Sie die Antwort im IT-Inventar fest.
Häufige Fragen
Ab wann gilt der Cyber Resilience Act?
Die Verordnung ist seit Dezember 2024 in Kraft. Die Meldepflichten gelten seit dem 11. September 2026, alle übrigen Anforderungen ab dem 11. Dezember 2027.
Gilt der CRA auch für Software?
Ja, für Software, die als eigenständiges Produkt in Verkehr gebracht wird, zum Beispiel Apps oder Desktop-Programme. Nicht kommerzielle Open-Source-Software ist ausgenommen, reine Cloud-Dienstleistungen fallen grundsätzlich nicht darunter.
Wie lange müssen Hersteller Updates liefern?
Für einen vom Hersteller festgelegten Unterstützungszeitraum, der der erwarteten Nutzungsdauer entsprechen soll und laut BSI typischerweise fünf Jahre beträgt.