01Was der CRA ist
Der Cyber Resilience Act (Regulation (EU) 2024/2847) ist das erste EU-weite Gesetz, das verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen; Hardware und Software; über ihren gesamten Lebenszyklus. Sie verlagert die Verantwortung für die Sicherheit auf die Organisationen, die diese Produkte in Verkehr bringen, anstatt sie den Nutzern zu überlassen. Art. 1
In der Praxis darf ein Produkt nur dann auf dem EU-Markt bereitgestellt werden, wenn es die wesentlichen Anforderungen gemäß Anhang I und der Hersteller die damit verbundenen Pflichten erfüllt hat. Die Konformität wird durch eine Konformitätsbewertung, eine EU-Konformitätserklärung und die CE-Kennzeichnung. Den verbindlichen Wortlaut können Sie in der vollständigen Verordnungstext.
Wenn Ihr Produkt digitale Elemente enthält und auf den EU-Markt gelangt, muss es nach einem definierten Cybersicherheitsstandard konzipiert, gebaut und gewartet werden; und Sie müssen dies nachweisen können.
Unsicher, ob dies auf Sie zutrifft? Der Zwei-Minuten- CRA Fast Check legt den Anwendungsbereich und die wahrscheinliche Klasse fest, bevor Sie weiterlesen.
02Für wen sie gilt
Die Verordnung erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäßer oder vernünftigerweise vorhersehbarer Verwendungszweck eine direkte oder indirekte Datenverbindung umfasst. Diese Definition ist bewusst weit gefasst: Vernetzte Verbrauchergeräte, Unternehmenshardware, mobile und Desktop-Anwendungen, Betriebssysteme, Bibliotheken und Komponenten fallen alle darunter, sofern keine spezifische Ausnahme gilt. Die Pflichten sind über die Lieferkette verteilt: Art. 13–28
- Hersteller; tragen die primären Pflichten: sichere Konstruktion, technische Dokumentation, Konformitätsbewertung und Handhabung von Schwachstellen. Der Herstellerleitfaden und der Leitfaden für Softwareentwickler legen den vollständigen Weg dar.
- Einführer; dürfen nur konforme Produkte auf dem Markt bereitstellen und müssen vor der Bereitstellung prüfen, ob der Hersteller seine Pflichten erfüllt hat.
- Händler; müssen mit der gebotenen Sorgfalt handeln und prüfen, ob die CE-Kennzeichnung und die Dokumentation vorhanden sind. Der Leitfaden für Einführer und Händler erfasst diese Pflichten.
Der CRA gilt unabhängig vom Niederlassungsort des Herstellers: Ein Unternehmen außerhalb der EU, das in die Union verkauft, fällt in den Anwendungsbereich und muss sicherstellen, dass ein Wirtschaftsakteur in der EU für die einschlägigen Pflichten verantwortlich ist. Fernverarbeitungslösungen für Daten die für die Ausführung der Funktionen eines Produkts erforderlich sind, werden als Teil dieses Produkts behandelt und sind ebenfalls erfasst. Art. 2 · 3(2)
Produkte, die bereits durch branchenspezifische Vorschriften abgedeckt sind – wie Medizinprodukte, Kraftfahrzeuge und Zivilluftfahrt – sind ausgenommen. Nicht-kommerzielle Open-Source-Software, die außerhalb einer gewerblichen Tätigkeit entwickelt wird, fällt weitgehend nicht in den Anwendungsbereich, und Open-Source-Verwalter unterliegen einem leichteren, maßgeschneiderten Pflichtenkatalog.
03Produktklassen
Der erforderliche Konformitätsweg hängt davon ab, wie kritisch das Produkt ist. Die meisten Produkte werden selbst bewertet; höherrisikobehaftete Kategorien, die in den Anhängen aufgeführt sind, unterliegen strengeren Verfahren. Die Klassifizierung richtet sich nach der Kernfunktion, nicht jede Funktion, die das Produkt zufällig enthält. Art. 6–7 · Annex III–IV
| Klasse | Beispiele | Konformitätsweg |
|---|---|---|
| Standard | Die Mehrheit der Produkte mit digitalen Elementen | Selbstbewertung |
| Wichtig; I | Passwortmanager, Netzwerkmanagement, VPNs | Normen oder Drittbewertung |
| Wichtig; II | Betriebssysteme, Firewalls, Mikroprozessoren | Bewertung durch Dritte |
| Kritisch | Intelligente Messgeräte, Chipkarten, Sicherheitselemente | Verpflichtende Zertifizierung |
Wenn mehr als eine Kategorie in Betracht kommt, gilt die strengere Klasse. Um Ihr Produkt mit den Kategorien aus Annex III und IV abzugleichen, verwenden Sie den Produktklassen-Finder.
04Wesentliche Pflichten
Die wesentlichen Anforderungen in Anhang I gliedern sich in zwei Gruppen: Eigenschaften, die das Produkt aufweisen muss, und Prozesse, die der Hersteller durchführen muss. Der Konformitätsmatrix verfolgt jede davon mit ihrer Artikelreferenz. Anhang I
- Sicher durch Design und Voreinstellung; ausgeliefert mit einer sicheren Konfiguration und einer minimierten Angriffsfläche.
- Keine bekannten ausnutzbaren Schwachstellen; ausgeliefert ohne bekannte ausnutzbare Schwachstellen.
- Schwachstellenbehandlung; ein Verfahren, um Probleme zu erkennen, zu dokumentieren, zu beheben und offenzulegen.
- Sicherheitsupdates; kostenlose, zeitnahe Aktualisierungen während des gesamten festgelegten Unterstützungszeitraum; in der Regel erwartet man mindestens fünf Jahre, es sei denn, die voraussichtliche Nutzungsdauer des Produkts ist kürzer.
- Software-Stückliste (SBOM); führen Sie eine SBOM die die Komponenten des Produkts in einem gängigen, maschinenlesbaren Format erfasst.
- Meldung; melden Sie aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an ENISA und das zuständige CSIRT, mit einer Frühwarnung innerhalb von 24 Stunden (siehe unten).
05Konformität und CE-Kennzeichnung
Der Nachweis der Konformität erfolgt in einer festgelegten Reihenfolge; der Weg hängt von der Produktklasse ab. Art. 28 · 32 · Annex V · VII
- Stellen Sie die technische Dokumentation zusammen; die in Anhang VII beschriebene Nachweisdatei, die zehn Jahre nach Inverkehrbringen des Produkts aufbewahrt wird.
- Führen Sie die Konformitätsbewertung durch; Standard-Produkte dürfen sich selbst bewerten (Modul A); wichtige Produkte verwenden harmonisierte Normen oder eine benannte Stelle; kritische Produkte erfordern eine Zertifizierung.
- Erstellen Sie die EU-Konformitätserklärung; eine unterzeichnete Erklärung gemäß Anhang V. Der Konformitätserklärungsgenerator erstellt eine für Sie.
- Bringen Sie die CE-Kennzeichnung an; das sichtbare Zeichen, dass das Vorstehende abgeschlossen ist.
Die Schritt-für-Schritt- Leitfaden zur CE-Kennzeichnung geht jeden Weg im Detail durch, und der Kostenkalkulator gibt einen Richtwert für das Erreichen der Konformität für Ihre Klasse an.
06Meldepflichten
Ab 11. September 2026, müssen Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle die die Sicherheit ihrer Produkte beeinträchtigen, an ENISA und das zuständige nationale CSIRT, über die gemäß Art. 16 eingerichtete einheitliche Meldeplattform. Dies ist die erste der wesentlichen Pflichten des CRA, die greift. Art. 14 · 16
- 24 StundenFrühwarnung, ab dem Zeitpunkt, zu dem Sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall Kenntnis erlangen.
- 72 StundenAusführlichere Meldung, einschließlich der ergriffenen Korrektur- oder Minderungsmaßnahmen.
- 14 TageAbschlussbericht, sobald die Schwachstelle behoben ist, oder bei einem Vorfall, sobald er bewältigt ist.
Das Einhalten dieser Fristen in der Praxis bedeutet, Ihre Komponenten zu kennen und sie kontinuierlich zu überwachen. Der SBOM- und Schwachstellenanalysator gleicht Ihre Stückliste mit NVD und der EU-Schwachstellendatenbank ab, damit Sie innerhalb des 24-Stunden-Fensters handeln können. Eine vollständige Aufschlüsselung dessen, was als meldepflichtig gilt und wer jede Meldung erhält, finden Sie im Leitfaden zur Meldung von Vorfällen und Schwachstellen.
07Zeitplan und Sanktionen
Die Verordnung ist bereits in Kraft; ihre Pflichten treten in den folgenden Jahren schrittweise in Kraft. Art. 71
- Dez. 2024In Kraft getreten (10. Dezember 2024).
- Sep. 2026Meldepflichten gelten (11. September 2026).
- 2026Zentrale harmonisierte Normen und Produktklassifizierungsfristen werden fällig (30. August / 30. Oktober 2026).
- Dez. 2027Vollständige Anwendung; die meisten Bestimmungen gelten (11. Dezember 2027).
Die Nichteinhaltung der wesentlichen Anforderungen oder der Herstellerpflichten kann Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Für andere Verstöße und die Übermittlung unrichtiger Angaben gelten niedrigere Obergrenzen.
08Häufige Fragen
Gilt die Cyberresilienz-Verordnung für mein Produkt?
Wenn Ihr Produkt Software oder Firmware enthält und auf dem EU-Markt mit einer direkten oder indirekten Datenverbindung bereitgestellt wird, fällt es sehr wahrscheinlich in den Anwendungsbereich. Branchenspezifische Produkte (Medizinprodukte, Fahrzeuge, Luftfahrt) und nicht-kommerzieller Open-Source-Code sind die wesentlichen Ausnahmen. Der Fast Check bestätigt dies in zwei Minuten.
Wann gilt der CRA tatsächlich?
Sie trat am 10. Dezember 2024 in Kraft. Die Meldepflichten gelten ab dem 11. September 2026 und der Großteil der Pflichten gilt ab dem 11. Dezember 2027.
Was ist der Unterschied zwischen Standard-, wichtigen und kritischen Produkten?
Standard-Produkte bewerten sich selbst. Wichtige Produkte (Annex III, Klasse I oder II) benötigen harmonisierte Normen oder eine benannte Stelle. Kritische Produkte (Annex IV) erfordern eine obligatorische Zertifizierung. Die Klassifizierung richtet sich nach der Kernfunktion des Produkts; bei mehreren zutreffenden Klassen gilt die strengere.
Benötige ich eine Software-Stückliste (SBOM)?
Ja. Hersteller müssen die Komponenten des Produkts identifizieren und dokumentieren, unter anderem durch Erstellung einer SBOM in einem gängigen, maschinenlesbaren Format. Anhang I · II(1)
Welche Strafen drohen bei Nichtkonformität?
Bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei Verstößen gegen die wesentlichen Anforderungen oder Herstellerpflichten.
Weitere Antworten, jeweils mit Artikelreferenz, finden Sie auf der vollständige FAQ-Seite.
09Wie es weitergeht
Stellen Sie zunächst fest, ob die Verordnung auf Ihr Produkt anwendbar ist, und folgen Sie dann der für Ihre Rolle verfassten Orientierungshilfe und verfolgen Sie die Anforderungen bis zur Erfüllung.