Der Cyber Resilience Act (CRA) – die Verordnung (EU) 2024/2847 – ist die erste EU-weite Regelung, die verbindliche Cybersicherheits­anforderungen an Produkte mit digitalen Elementen stellt: von vernetzten Geräten über Software bis zu industriellen Komponenten. In Kraft getreten ist sie im Dezember 2024 – jetzt beginnt die Umsetzung in der Praxis.

Was der CRA regelt

Bisher konnte Software oder Hardware mit gravierenden Schwachstellen weitgehend ungehindert auf den EU-Markt gelangen. Der CRA ändert das: Hersteller müssen Produkte über den gesamten Lebenszyklus sicher gestalten – Security by Design und Security by Default, ein funktionierendes Schwachstellen­management sowie kostenlose Sicherheitsupdates für einen angemessenen Zeitraum. Produkte, die die Anforderungen erfüllen, tragen künftig die CE-Kennzeichnung.

Der Zeitplan: Diese Fristen gelten

Der CRA wird gestuft wirksam. Zwei Daten sind entscheidend:

  • Seit 11. September 2026 gelten die Meldepflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden.
  • Ab 11. Dezember 2027 gelten die übrigen Anforderungen vollständig – und damit die Voraussetzung für die CE-Kennzeichnung.

Wichtig: Die Meldepflicht gilt laut Einschätzung von Fachjurist:innen auch für Produkte, die bereits vor der vollen Anwendung auf dem EU-Markt waren. Wer bis 2027 wartet, verliert wertvolle Vorlaufzeit.

Die neue Meldepflicht im Detail

Das BSI ist in Deutschland die zentrale Stelle und hat den Ablauf konkretisiert. Bei einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall gilt ein dreistufiges Verfahren:

  • Frühwarnung innerhalb von 24 Stunden nach Kenntnis.
  • Weitere Informationen innerhalb von 72 Stunden.
  • Abschlussbericht: bei Schwachstellen spätestens 14 Tage nach Bereitstellung eines Updates oder Workarounds, bei Vorfällen einen Monat nach der ersten Meldung.

Wen der CRA betrifft

Adressaten sind nicht nur Hersteller, sondern die gesamte Lieferkette: Importeure und Händler von Produkten mit digitalen Elementen tragen ebenfalls Pflichten. Betroffen ist praktisch jedes Unternehmen, das vernetzte Produkte oder Software in der EU in Verkehr bringt – vom Maschinenbau über IoT-Anbieter bis zum Softwarehaus. Reine SaaS-Dienste und bereits anderweitig regulierte Bereiche (etwa Medizinprodukte) unterliegen teils Sonderregeln.

Was jetzt zu tun ist

Auch wenn die volle Geltung erst 2027 greift, sind die Weichen jetzt zu stellen:

  • Produktinventar und Betroffenheit klären: Welche Produkte fallen unter den CRA, und in welche Risikoklasse?
  • Schwachstellen- und Update-Prozesse etablieren – inklusive einer Software Bill of Materials (SBOM), um Komponenten und ihre Risiken zu kennen.
  • Meldeprozess aufsetzen: Verantwortlichkeiten, Erreichbarkeit und Vorlagen, um die 24-Stunden-Frist einzuhalten.
  • Security by Design in Entwicklung und Beschaffung verankern und die technische Dokumentation vorbereiten.

CRA, NIS-2 und DORA zusammen denken

Der CRA steht nicht allein. Während NIS-2 die Betreiber und ihre Organisation adressiert und DORA den Finanzsektor, setzt der CRA beim Produkt an. Für viele Unternehmen greifen mehrere Regelungen ineinander – wer Schwachstellen­management, Meldewege und Lieferkettensicherheit einmal sauber aufsetzt, erfüllt gleich mehrere Vorgaben und gewinnt echte Resilienz statt bloßer Compliance.