Der Cyber Resilience Act

Was der Cyber Resilience Act verlangt und ab wann

Der Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA) führt verbindliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen ein, die auf dem EU-Markt in Verkehr gebracht werden, und erstreckt die CE-Kennzeichnung auf die Cybersicherheit. Er ist am 10.12.2024 in Kraft getreten und gilt gestaffelt in insgesamt drei Stufen. Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen gelten seit dem 11.6.2026. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Art. 14 CRA gelten seit dem 11.9.2026. Alle übrigen Pflichten, einschließlich der grundlegenden Cybersicherheitsanforderungen und der Konformitätsbewertung, gelten ab dem 11.12.2027 (Art. 71 CRA).

Für deutsche Hersteller von Maschinen, Unterhaltungselektronik, Industriesteuerungen, Software und IoT-Geräten ist der Cyber Resilience Act inzwischen ein akutes Compliance-Thema: Die Meldung ist bereits für alle erfassten Produkte verpflichtend, auch für solche, die vor Dezember 2027 in Verkehr gebracht wurden, und die Zyklen der Produktentwicklung bedeuten, dass Produkte, die ab 2027 auf den Markt kommen, schon jetzt nach den neuen Anforderungen konzipiert werden müssen.

Welche Produkte erfasst sind

Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Erfasst sind damit vernetzte Hardware, eigenständige Software und Lösungen zur Datenfernverarbeitung, die für die Funktionen eines Produkts erforderlich sind. Produkte, die bereits unter besondere EU-Vorschriften mit gleichwertigen Cybersicherheitsanforderungen fallen, etwa Medizinprodukte, Kraftfahrzeuge sowie bestimmte Luftfahrt- und Schiffsausrüstung, sind ausgenommen, und Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt werden, liegen außerhalb des Anwendungsbereichs.

Freie und quelloffene Software ist nur erfasst, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird; nicht kommerziell bereitgestellte Open-Source-Software fällt also nicht unter die Verordnung. Verwalter quelloffener Software (Open-Source Software Stewards) – juristische Personen, die die Entwicklung quelloffener Produkte, die für Geschäftstätigkeiten bestimmt sind, systematisch unterstützen – unterliegen einem vereinfachten Regime: einer dokumentierten Cybersicherheitsstrategie, der Zusammenarbeit mit den Marktüberwachungsbehörden und, soweit sie an der Entwicklung beteiligt sind, Meldepflichten (Art. 24 CRA).

Software und Cloud-Dienste

Auch eigenständige Software wie Desktop-Anwendungen, mobile Apps, Firmware und Betriebssysteme ist selbst ein Produkt mit digitalen Elementen. Reines Software as a Service ist als solches grundsätzlich nicht erfasst; es wird als Dienst nach NIS2 reguliert. Lösungen zur Datenfernverarbeitung – Datenverarbeitung aus der Ferne, ohne die das Produkt eine seiner Funktionen nicht ausführen könnte, etwa das Cloud-Backend eines Smart-Home-Geräts – sind jedoch Teil des Produkts und müssen die Anforderungen erfüllen. Hersteller vernetzter Geräte müssen daher ihre Backend-Infrastruktur von Anfang an in Sicherheitskonzept, Risikobewertung und technische Dokumentation einbeziehen.

Pflichten der Hersteller

Art. 13 CRA verpflichtet Hersteller, Produkte im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I zu konzipieren, zu entwickeln und herzustellen, gestützt auf eine dokumentierte Bewertung der Cybersicherheitsrisiken. Zu diesen Anforderungen gehören sichere Standardeinstellungen (Security by Default), Schutz vor unbefugtem Zugriff, Vertraulichkeit und Integrität von Daten, Datenminimierung, Verfügbarkeit wesentlicher Funktionen, Begrenzung von Angriffsflächen, Protokollierung und die Möglichkeit, Schwachstellen durch Sicherheitsupdates zu beheben.

Hersteller müssen zudem während des gesamten Unterstützungszeitraums Schwachstellen nach Anhang I Teil II wirksam behandeln: Komponenten identifizieren und dokumentieren (einschließlich einer Software-Stückliste, SBOM), Schwachstellen unverzüglich beheben, regelmäßig testen, Informationen über behobene Schwachstellen veröffentlichen, eine Strategie zur koordinierten Offenlegung von Schwachstellen betreiben und Sicherheitsupdates sicher und grundsätzlich kostenlos verteilen. Der Unterstützungszeitraum muss die erwartete Nutzungsdauer des Produkts widerspiegeln und grundsätzlich mindestens fünf Jahre betragen, sofern das Produkt nicht voraussichtlich kürzer genutzt wird (Art. 13 Abs. 8 CRA). Industrieausrüstung, die Kunden zehn Jahre oder länger einsetzen, wird typischerweise einen entsprechend längeren Unterstützungszeitraum erfordern, der sich in Preisgestaltung, Komponentenauswahl und Verträgen mit Chip- und Softwarelieferanten niederschlagen muss.

Vor dem Inverkehrbringen eines Produkts müssen Hersteller die einschlägige Konformitätsbewertung durchführen (Art. 32 CRA), eine technische Dokumentation und eine EU-Konformitätserklärung erstellen und die CE-Kennzeichnung anbringen.

Einführer und Händler

Einführer, also Unternehmen, die Produkte aus Drittländern auf den EU-Markt bringen, dürfen nur konforme Produkte in Verkehr bringen und müssen prüfen, ob der Hersteller die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt, die CE-Kennzeichnung angebracht und die erforderlichen Informationen und Anleitungen bereitgestellt hat.

Sie müssen ihren Namen und ihre Kontaktdaten auf dem Produkt angeben und den Hersteller sowie die Behörden über Schwachstellen und Risiken informieren, von denen sie Kenntnis erlangen. Händler, die Produkte lediglich weiterverkaufen, müssen die CE-Kennzeichnung überprüfen und kontrollieren, ob Hersteller und Einführer ihre Informationspflichten erfüllt haben. Für deutsche Handelsunternehmen, die vernetzte Geräte von außerhalb der EU einführen, bedeuten diese Pflichten eine erhebliche Veränderung: Ihre Lieferverträge sollten Nachweise der Konformität, die Zusammenarbeit bei Schwachstellen und Sicherheitsupdates für den Unterstützungszeitraum vorsehen.

Jeder Wirtschaftsakteur, der ein Produkt unter eigenem Namen in Verkehr bringt oder wesentlich verändert, gilt als Hersteller und muss dann sämtliche Herstellerpflichten nach dem Cyber Resilience Act erfüllen.

Meldepflichten seit September 2026

Seit dem 11.9.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die zentrale Meldeplattform melden (Art. 14 CRA). Die Pflichten gelten für alle erfassten Produkte, auch für solche, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3 CRA).

• Aktiv ausgenutzte Schwachstelle: Frühwarnung binnen 24 Stunden nach Kenntniserlangung; Schwachstellenmeldung binnen 72 Stunden; Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.
• Schwerwiegender Sicherheitsvorfall: Frühwarnung binnen 24 Stunden; Meldung des Vorfalls binnen 72 Stunden; Abschlussbericht binnen eines Monats nach der Meldung des Vorfalls.

Hersteller müssen außerdem unabhängig von den Behördenmeldungen die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und etwaige Abhilfemaßnahmen informieren.

Fallbeispiel

Fallbeispiel (hypothetisch): Ein deutscher Hersteller von Steuerungen für die Gebäudeautomation erfährt an einem Freitagabend von einem Kunden, dass Angreifer eine Lücke in der Weboberfläche der Steuerung ausnutzen. Die 24-Stunden-Frühwarnung an das als Koordinator benannte CSIRT und an die ENISA ist bis Samstagabend fällig, auch wenn die Analyse noch nicht abgeschlossen ist.

Binnen 72 Stunden muss der Hersteller eine Schwachstellenmeldung mit allgemeinen Informationen zum Produkt, zur Ausnutzung und zu verfügbaren Abhilfemaßnahmen einreichen und die betroffenen Nutzer informieren. Sobald ein Patch verfügbar ist, ist binnen 14 Tagen ein Abschlussbericht fällig. Ist der Hersteller zugleich eine wichtige Einrichtung nach NIS2 und wurden seine eigenen Systeme kompromittiert, kann eine gesonderte Meldung an das BSI erforderlich sein.

Zusammenspiel mit NIS2, KI-Verordnung und Produkthaftung

Der Cyber Resilience Act steht nicht für sich allein, sondern neben anderen Regelwerken, die Unternehmen parallel beachten müssen. Hersteller, die zugleich besonders wichtige oder wichtige Einrichtungen nach NIS2 sind, haben gesonderte Meldepflichten gegenüber dem BSI nach dem BSI-Gesetz (BSIG), mit Fristen von 24 Stunden, 72 Stunden und einem Monat.

Hochrisiko-KI-Systeme, die die grundlegenden Anforderungen des CRA erfüllen, gelten im entsprechenden Umfang als konform mit der Cybersicherheitsanforderung der KI-Verordnung. Und nach der neuen Produkthaftungsrichtlinie (EU) 2024/2853, die die Mitgliedstaaten bis zum 9.12.2026 umsetzen müssen, ist Software ein Produkt, und fehlende Sicherheitsupdates können ein Produkt fehlerhaft machen. Ein Verstoß gegen die Anforderungen der Verordnung kann daher neben behördlichen Sanktionen auch zivilrechtliche Haftungsfolgen haben. Siehe unseren Beitrag zur Geschäftsleiterhaftung nach NIS2.

Durchsetzung und Umsetzung in Deutschland

Die Verordnung wird, wie im Produktsicherheitsrecht üblich, von den nationalen Marktüberwachungsbehörden durchgesetzt. Die Geldbußen können bei Verstößen gegen die grundlegenden Anforderungen sowie gegen Art. 13 und 14 CRA bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, bei Verstößen gegen andere Pflichten bis zu 10 Mio. Euro oder 2 % und bei falschen Angaben bis zu 5 Mio. Euro oder 1 % erreichen (Art. 64 CRA).

In Deutschland würde der Regierungsentwurf zur Durchführung der Verordnung (BT-Drs. 21/6134) das Bundesamt für Sicherheit in der Informationstechnik (BSI) zur Marktüberwachungsbehörde und notifizierenden Behörde bestimmen und Regeln für Bußgeldverfahren vorsehen, und zwar durch Änderungen des BSI-Gesetzes, des Telekommunikationsgesetzes und des Energiewirtschaftsgesetzes. Der Ausschuss für Inneres des Bundestages hat am 14.10.2026 die Annahme mit einer Änderung der Inkrafttretensregelungen empfohlen (BT-Drs. 21/8622). Unternehmen sollten die Verkündung im Bundesgesetzblatt verfolgen, da erst mit dem Inkrafttreten des Gesetzes die Zuständigkeiten in Deutschland verbindlich feststehen.

Harmonisierte Normen werden für die praktische Umsetzung entscheidend sein, insbesondere für wichtige Produkte der Klasse I, bei denen die vollständige Anwendung harmonisierter Normen eine Selbstbewertung statt einer Bewertung durch Dritte ermöglicht. Die Europäische Kommission hat bereits einen Normungsauftrag für horizontale und produktspezifische Normen an die europäischen Normungsorganisationen erteilt. Hersteller sollten diese Arbeiten verfolgen und einplanen, dass möglicherweise nicht alle Normen rechtzeitig vor Dezember 2027 vorliegen, was Produkte der Klasse I in die Bewertung durch Dritte drängen und die Nachfrage nach notifizierten Stellen erhöhen würde.

Vorbereitung auf Dezember 2027

1. Erfassen Sie Produkte mit digitalen Elementen und ordnen Sie sie ein (Standard, wichtig Klasse I oder II, kritisch).
2. Bestimmen Sie für jedes Produkt Ihre Rolle als Hersteller, Einführer oder Händler.
3. Verankern Sie Security by Design und Risikobewertung in der Produktentwicklung.
4. Bauen Sie die Schwachstellenbehandlung auf: SBOM, Offenlegungsstrategie, Update-Prozesse und Entscheidungen zum Unterstützungszeitraum.
5. Planen Sie die Konformitätsbewertung und binden Sie bei wichtigen Produkten frühzeitig notifizierte Stellen ein.
6. Überprüfen Sie Lieferverträge für Komponenten, die Nutzung von Open Source und Update-Pflichten.
7. Stimmen Sie die Produktsicherheit mit der Compliance nach NIS2, KI-Verordnung und Produkthaftungsrecht ab.

Der Cyber Resilience Act verändert auch die kommerziellen Gespräche zwischen Herstellern und ihren Kunden. Kunden, insbesondere Betreiber kritischer Infrastrukturen und NIS2-Einrichtungen, werden von Lieferanten in Ausschreibungen zunehmend Konformitätsnachweise, SBOMs und Zusagen zum Unterstützungszeitraum verlangen. Hersteller, die diese Dokumentation frühzeitig vorlegen können, verschaffen sich möglicherweise einen Wettbewerbsvorteil, während andere schon lange vor dem formellen Stichtag von Vergabeverfahren ausgeschlossen werden könnten. Die Geschäftsleitung sollte Produktsicherheit nach dem Cyber Resilience Act daher als strategisches und nicht als rein technisches Thema behandeln und die erforderlichen Ressourcen rechtzeitig bereitstellen.

So unterstützt TRW & Co beim Cyber Resilience Act

Wir beraten Hersteller, Einführer und Händler zum Cyber Resilience Act: zu Anwendungsbereich und Einstufung, grundlegenden Anforderungen, Schwachstellenbehandlung, Meldeprozessen, Konformitätsbewertung und CE-Kennzeichnung. Wir entwerfen Liefer- und Komponentenverträge mit Sicherheits- und Update-Pflichten, stimmen die CRA-Compliance mit NIS2 und Produkthaftung ab und vertreten Mandanten vor dem BSI und anderen Marktüberwachungsbehörden. Siehe unsere Seiten zu Cybersicherheit und NIS2 und zu Produkthaftung und Compliance oder kontaktieren Sie uns.