Cyber Resilience Act

Start › IT-Sicherheit › Cyber Resilience Act

Der Cyber Resilience Act (CRA, VO (EU) 2024/2847) macht Cybersicherheit zur Voraussetzung für den Marktzugang von Hardware und Software mit digitalen Elementen. Seit dem 11. September 2026 gelten die Meldepflichten für Hersteller, ab dem 11. Dezember 2027 die Verordnung insgesamt mit CE-Kennzeichnung. Wir beraten Hersteller, Importeure, Händler und Softwareanbieter bei Einordnung, Produktdokumentation und Verträgen.

Fristen des Cyber Resilience Act

Datum	Was gilt
10.12.2024	Inkrafttreten der Verordnung
11.06.2026	Vorschriften über Konformitätsbewertungsstellen (Kapitel IV)
11.09.2026	Meldepflichten der Hersteller nach Art. 14, auch für bereits verkaufte Produkte
11.12.2027	Volle Geltung: grundlegende Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, Marktüberwachung

Welche Produkte fallen unter den CRA?

Erfasst sind „Produkte mit digitalen Elementen“, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Das reicht vom Smart-Home-Gerät über Router, Industriesteuerungen und Apps bis zu Standardsoftware, die verkauft oder lizenziert wird. Ausgenommen sind Bereiche mit eigenem Sicherheitsrecht, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Reine SaaS-Angebote fallen grundsätzlich nicht darunter, wohl aber Fernverarbeitungslösungen, ohne die ein Produkt eine Funktion nicht erfüllen kann.

Für „wichtige“ Produkte (Anhang III, etwa Passwortmanager, VPN, Router, Betriebssysteme) und „kritische“ Produkte (Anhang IV) gelten strengere Konformitätsverfahren, teils unter Beteiligung einer benannten Stelle. Freie und Open-Source-Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird, ist ausgenommen; für Open-Source-Verwalter gibt es eine eigene, leichtere Rolle.

Meldepflichten nach Art. 14 CRA seit 11. September 2026

Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit ihres Produkts beeinträchtigen, über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT und die ENISA melden. Die Fristen laufen ab Kenntnis:

1. Frühwarnung innerhalb von 24 Stunden.
2. Meldung mit näheren Angaben innerhalb von 72 Stunden.
3. Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrektur (Schwachstellen) bzw. einen Monat nach der 72-Stunden-Meldung (Vorfälle).

Die Pflicht gilt für alle Produkte im Anwendungsbereich, auch wenn sie vor dem 11. September 2026 auf den Markt gekommen sind. Betroffene Nutzer sind über den Vorfall und mögliche Abhilfemaßnahmen zu informieren. Ein delegierter Rechtsakt der Kommission regelt, wann das empfangende CSIRT die Weitergabe von Meldungen aufschieben darf; an den Fristen für Hersteller ändert er nichts.

Nach den Leitlinien der Kommission vom Juli 2026 beginnt die Kenntnis, sobald der Hersteller nach einer ersten Prüfung hinreichend sicher ist, dass eine Ausnutzung oder ein schwerwiegender Vorfall vorliegt. Wer intern keinen Prozess für Schwachstellenmeldungen hat, verliert diese Zeit regelmäßig.

Pflichten der Hersteller ab Dezember 2027

• Security by Design und Default nach Anhang I, einschließlich sicherer Standardkonfiguration und Schutz vor unbefugtem Zugriff.
• Risikobewertung und technische Dokumentation, die zehn Jahre aufzubewahren ist.
• Schwachstellenmanagement mit Software-Stückliste (SBOM), koordinierter Offenlegung und kostenlosen Sicherheitsupdates.
• Ein Unterstützungszeitraum, der der erwarteten Nutzungsdauer entspricht und in der Regel mindestens fünf Jahre beträgt.
• EU-Konformitätserklärung und CE-Kennzeichnung.

Importeure und Händler müssen prüfen, ob der Hersteller seine Pflichten erfüllt hat. Wer ein Produkt wesentlich verändert oder unter eigenem Namen vertreibt, wird selbst zum Hersteller.

Sanktionen und Haftung

Verstöße gegen die grundlegenden Anforderungen und die Meldepflichten können mit bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Hinzu kommt die zivilrechtliche Seite: Die neue Produkthaftungsrichtlinie (EU) 2024/2853, die bis zum 9. Dezember 2026 umzusetzen ist, erfasst Software ausdrücklich, und fehlende Sicherheitsupdates können einen Produktfehler begründen. Auch Gewährleistung und Aktualisierungspflichten nach §§ 327f, 475b BGB hängen eng mit dem CRA zusammen.

Typische Mandate

• Einordnung des Produktportfolios: Produkt mit digitalen Elementen, wichtige oder kritische Klasse, Ausnahme.
• Aufbau des Meldeprozesses nach Art. 14 und Abstimmung mit NIS2- und DSGVO-Meldungen.
• Verträge mit Zulieferern und Softwarelieferanten: SBOM, Schwachstelleninformation, Update-Zusagen, Regress.
• Prüfung von Open-Source-Komponenten und Rolle als Open-Source-Verwalter.
• Kunden-AGB, Supportzeiträume und Produktinformationen.

Häufige Fragen zum CRA

Müssen wir Schwachstellen in Altprodukten melden?

Ja, sofern die Produkte im Anwendungsbereich liegen und die Ausnutzung ab dem 11. September 2026 bekannt wird. Eine rückwirkende Meldung früher bekannter Ausnutzungen verlangt die Kommission nach ihren Leitlinien nicht.

Gilt der CRA für unsere Web-App?

Für eigenständiges SaaS in der Regel nicht; hier greifen eher NIS2 und vertragliche Pflichten. Anders ist es, wenn die Cloud-Komponente Teil eines Geräts oder einer installierten Software ist.

Wie lange müssen wir Updates liefern?

Für den Unterstützungszeitraum, den der Hersteller festlegt und angibt. Er soll der erwarteten Nutzungsdauer entsprechen und beträgt in der Regel mindestens fünf Jahre.

Verwandte Themen

• NIS2 und BSI-Gesetz
• IoT-Recht
• Open Source
• Softwarerecht
• Digitale Produkte
• Cyberangriff und Ransomware