Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847 für die Cybersicherheit von Hardware- und Softwareprodukten mit digitalen Elementen. Er betrifft nicht nur große Technologiekonzerne. Auch kleinere Hersteller, Softwarehäuser, Start-ups, Importeure und Händler können Pflichten bekommen, wenn sie entsprechende Produkte im EU-Markt anbieten.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act legt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Gemeint sind vor allem Software, vernetzte Geräte und Hardware- oder Softwarekomponenten, die auf dem EU-Markt bereitgestellt werden und direkt oder indirekt mit anderen Geräten oder Netzen verbunden sein können.
Der CRA verschiebt die Verantwortung stärker zu den Unternehmen, die solche Produkte entwickeln, unter eigenem Namen verkaufen, importieren oder vertreiben. Ein Hersteller soll Cybersicherheit nicht erst nach einem Vorfall behandeln. Risiken müssen bereits bei Planung, Entwicklung, Auslieferung und Wartung berücksichtigt werden. Für betroffene Produkte gehören dazu unter anderem eine Cybersicherheits-Risikobewertung, technische Dokumentation, Verfahren zur Schwachstellenbehandlung und – je nach Produktkategorie – eine passende Konformitätsbewertung.
Die Verordnung trat am 10. Dezember 2024 in Kraft. Für Unternehmen ist trotzdem nicht nur der spätere Termin Ende 2027 interessant: Artikel 14 mit den Meldepflichten gilt bereits ab 11. September 2026.
Welche Unternehmen sind vom CRA betroffen?
Betroffen sein können Unternehmen jeder Größe, sobald sie in einer vom CRA erfassten Rolle handeln. Entscheidend ist daher weniger die Mitarbeiterzahl als die Frage: Welche Produkte werden angeboten, und welche Rolle hat das Unternehmen in der Lieferkette?
Hersteller eigener Hard- oder Software
Wer ein Produkt mit digitalen Elementen unter dem eigenen Namen oder der eigenen Marke in Verkehr bringt, kann als Hersteller gelten. Das betrifft klassische Hardwarehersteller ebenso wie Anbieter von Desktop-Software, mobilen Apps, Betriebssystemen, Sicherheitssoftware oder anderen eigenständigen Softwareprodukten. Auch ein Unternehmen, das ein Produkt entwickeln lässt und anschließend unter eigener Marke verkauft, sollte seine Rolle genau prüfen.
Importeure aus Nicht-EU-Staaten
Wer Produkte mit digitalen Elementen aus einem Drittstaat in die EU importiert und hier in Verkehr bringt, hat eigene Kontroll- und Mitwirkungspflichten. Der Importeur kann sich nicht allein darauf verlassen, dass der ausländische Hersteller „irgendetwas mit CE“ erledigt hat. Er muss unter anderem prüfen, ob wesentliche Herstellerpflichten und das vorgesehene Konformitätsverfahren erfüllt wurden.
Händler und Wiederverkäufer
Auch Händler werden einbezogen. Sie müssen insbesondere darauf achten, ob bestimmte Kennzeichnungs- und Informationspflichten erfüllt sind. Wer Produkte verändert, unter eigener Marke anbietet oder in einer Weise eingreift, die die Konformität beeinflusst, kann außerdem in eine Herstellerrolle hineinwachsen.
Kleinbetriebe, Start-ups und kleine Softwarehäuser
Der CRA enthält Unterstützungsmechanismen für Kleinstunternehmen und KMU, nimmt kleine Betriebe aber nicht pauschal aus dem Anwendungsbereich. Ein Zwei-Personen-Softwarehaus kann deshalb genauso prüfen müssen, ob sein Produkt unter den CRA fällt wie ein großer Anbieter. Für die Vorbereitung ist das sogar ein Vorteil: Kleine Teams können Produktlisten, Verantwortlichkeiten und Meldewege häufig schneller strukturieren, wenn sie früh beginnen.
Welche Produkte fallen unter den CRA?
Der Begriff „Produkt mit digitalen Elementen“ umfasst Software- und Hardwareprodukte sowie bestimmte zugehörige Datenfernverarbeitungslösungen. Voraussetzung ist grundsätzlich, dass das Produkt im Rahmen einer gewerblichen Tätigkeit auf dem EU-Markt bereitgestellt wird und sein bestimmungsgemäßer oder vernünftigerweise vorhersehbarer Gebrauch eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz einschließt.
| Beispiel | Warum CRA-relevant? | Was prüfen? |
|---|---|---|
| Mobile App | Eigenständige Software kann ein Produkt mit digitalen Elementen sein. | Herstellerrolle, Risikobewertung, Updates, Supportzeitraum. |
| Router / Netzwerkgerät | Vernetzte Hardware fällt typischerweise in den Produktbegriff. | Produktkategorie, Konformitätsweg, Schwachstellenprozess. |
| IoT-Gerät | Hardware mit Netz- oder Geräteverbindung ist ein typischer Anwendungsfall. | Secure-by-default, Updatefähigkeit, Supportdauer. |
| Softwarekomponente | Auch separat vermarktete Komponenten können erfasst sein. | Kommerzielle Bereitstellung, Rolle in der Lieferkette. |
| Cloud-Funktion eines Produkts | Eine notwendige Datenfernverarbeitung kann Teil des Produkts sein. | Ist die entfernte Funktion für eine Produktfunktion erforderlich? |
| Reine Website | Eine Website ohne Funktion für ein Produkt mit digitalen Elementen fällt nicht allein deshalb unter den CRA. | Abgrenzung zu Produktsoftware und anderen Rechtsakten. |
Reine Cloud- oder SaaS-Angebote fallen nicht automatisch unter den CRA. Eine vom Hersteller verantwortete Cloud-Funktion kann jedoch als Datenfernverarbeitungslösung erfasst sein, wenn das digitale Produkt ohne sie eine seiner Funktionen nicht ausführen könnte. Gerade bei Apps, IoT-Produkten und Geräten mit Hersteller-Backend lohnt sich deshalb eine genaue Abgrenzung.
Was verlangt der CRA von Herstellern?
Hersteller tragen den größten Teil der Pflichten. Sie müssen das Produkt auf Basis einer Cybersicherheits-Risikobewertung entwickeln und dokumentieren, die einschlägigen grundlegenden Anforderungen umsetzen, Schwachstellen während des Unterstützungszeitraums behandeln und vor dem Inverkehrbringen ein passendes Konformitätsbewertungsverfahren durchführen.
Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Wird ein Produkt voraussichtlich weniger als fünf Jahre genutzt, kann der Zeitraum der erwarteten Nutzungsdauer entsprechen. Bei Produkten, die typischerweise deutlich länger eingesetzt werden, kann auch ein längerer Support erforderlich sein.
Welche CRA-Fristen sollten Unternehmen jetzt kennen?
Für die Planung sind drei Daten besonders nützlich. Seit dem 11. Juni 2026 gelten die Vorschriften zur Notifizierung von Konformitätsbewertungsstellen. Ab 11. September 2026 gelten die Meldepflichten nach Artikel 14. Ab 11. Dezember 2027 greift die Verordnung vollständig.
Für Hersteller bedeutet der 11. September 2026: Wird eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall bekannt, können sehr kurze Meldefristen starten. Die Frühwarnung muss grundsätzlich innerhalb von 24 Stunden erfolgen, die weitergehende Meldung innerhalb von 72 Stunden. Je nach Fall folgt später ein Abschlussbericht.
Was sollten kleine Unternehmen jetzt konkret vorbereiten?
Ein sinnvoller Start braucht kein Großprojekt. Zuerst sollte klar sein, welche Produkte überhaupt im Unternehmen existieren und welche Rolle das Unternehmen dabei hat. Danach lassen sich die Aufgaben priorisieren.
- Alle eigenen Software- und Hardwareprodukte sowie relevante Komponenten erfassen.
- Für jedes Produkt festhalten, ob das Unternehmen Hersteller, Importeur oder Händler ist.
- Produkte markieren, die direkt oder indirekt mit Geräten oder Netzen verbunden werden.
- Verantwortliche Person für Schwachstellen und Sicherheitsvorfälle benennen.
- Bestehende Update-, Patch- und Supportprozesse dokumentieren.
- Prüfen, welche technische Dokumentation bereits vorhanden ist und was fehlt.
- Konformitätsweg und Produktkategorie rechtzeitig vor 2027 klären.
Wer an dieser Stelle feststellt, dass die Einordnung unklar ist, sollte nicht mit Dokumentvorlagen anfangen. Zuerst braucht es eine belastbare Scope-Prüfung. Genau dafür ist der CRA-Check auf check-cra.de gedacht.
Ist der CRA dasselbe wie NIS2?
Nein. CRA und NIS2 verfolgen unterschiedliche Regelungsansätze. Der CRA konzentriert sich auf die Cybersicherheit von Produkten mit digitalen Elementen und Pflichten der Wirtschaftsakteure rund um diese Produkte. NIS2 richtet sich stärker an die Cybersicherheit bestimmter Einrichtungen und ihrer Netz- und Informationssysteme. Ein Unternehmen kann je nach Tätigkeit unter beide Regelwerke fallen.
Gerade bei Cloud- und SaaS-Anbietern ist die Unterscheidung wichtig. Ein reiner Cloud-Dienst fällt nicht automatisch als Produkt unter den CRA. Ist eine vom Hersteller verantwortete Remote-Funktion dagegen für die Funktion eines Produkts notwendig, kann diese Lösung Teil des CRA-relevanten Produkts sein.
Wie sieht CRA-Relevanz in kleinen Unternehmen praktisch aus?
Die abstrakten Begriffe werden klarer, wenn man typische Geschäftsmodelle betrachtet. Nicht jede Firma mit Computer oder Website fällt unter den CRA. Relevant wird die Verordnung dort, wo ein digitales Produkt im Markt steht und das Unternehmen eine Rolle in dessen Lieferkette übernimmt.
Kleiner Maschinenbauer mit eigener Steuerungssoftware
Ein Maschinenbauer verkauft eine Anlage mit selbst entwickelter Steuerung, Fernwartungsfunktion und Netzwerkzugang. Hier sollte das Unternehmen prüfen, welche Hardware- und Softwarebestandteile als Produkt mit digitalen Elementen einzuordnen sind, welche Remote-Funktionen dazugehören und wie lange Sicherheitsupdates bereitgestellt werden müssen. Ein vorhandener klassischer CE-Prozess ist hilfreich, deckt die zusätzlichen Cybersecurity-Anforderungen aber nicht automatisch ab.
Softwarehaus mit einer kostenpflichtigen Branchen-App
Ein kleines Softwarehaus vertreibt eine eigene App an Geschäftskunden. Die App nutzt eine vom Anbieter entwickelte API und Datenbank, ohne die wichtige Funktionen nicht arbeiten. Dann kann nicht nur die App selbst, sondern auch die notwendige Datenfernverarbeitung in die CRA-Betrachtung gehören. Für das Team werden vor allem Risikobewertung, sichere Entwicklung, Komponentenübersicht, Updateprozess, Supportzeitraum und die Meldeorganisation wichtig.
Onlinehändler mit importierten Smart-Home-Produkten
Ein Händler kauft vernetzte Geräte direkt bei einem Hersteller außerhalb der EU und verkauft sie hier weiter. Er sollte seine Importeurspflichten prüfen. Kommen eigene Marke, eigene Firmware oder sicherheitsrelevante Änderungen hinzu, kann die Rollenfrage noch weiter gehen. Gerade kleine Händler sollten deshalb Lieferantenunterlagen nicht erst kurz vor Ende 2027 anfordern.
Was ändert der CRA beim Verkauf digitaler Produkte?
Mit der vollständigen Anwendung ab Dezember 2027 wird Cybersicherheit stärker zu einem nachweisbaren Bestandteil der Produktkonformität. Hersteller müssen vor dem Inverkehrbringen zeigen können, dass sie die relevanten Anforderungen berücksichtigt und das vorgesehene Konformitätsverfahren durchgeführt haben. Nutzer erhalten zudem Informationen, die den sicheren Einsatz und den Unterstützungszeitraum transparenter machen sollen.
Für Unternehmen verändert sich damit auch die Produktplanung. Ein Verkaufspreis oder eine Releaseplanung sollte künftig nicht nur Entwicklung und Vertrieb berücksichtigen. Langfristige Sicherheitsupdates, Schwachstellenbehandlung, Dokumentation und gegebenenfalls externe Konformitätsbewertung verursachen Aufwand über den eigentlichen Verkaufszeitpunkt hinaus. Wer diese Kosten früh im Produktmodell berücksichtigt, vermeidet spätere Überraschungen.
Besonders bei White-Label-Produkten und schnell gestarteten Softwareprojekten lohnt sich ein früher Rollencheck. Die Frage „Wer hat den Code geschrieben?“ entscheidet nicht allein darüber, wer regulatorisch Hersteller ist. Vermarktung unter eigenem Namen oder eigener Marke und die Verantwortung für das Inverkehrbringen können entscheidend sein.
Wo steht der CRA offiziell?
Die zentrale Rechtsgrundlage ist die Verordnung (EU) 2024/2847. Eine aktuelle, gut verständliche Zusammenfassung und Umsetzungshinweise stellt die Europäische Kommission bereit. Wer eine verbindliche Einordnung für ein konkretes Produkt benötigt, sollte zusätzlich den Rechtstext und die jeweils aktuellen Leitlinien prüfen.
Offizielle CRA-Zusammenfassung der Europäischen Kommission
Vom ersten Check zur vollständigen CRA-Vorbereitung
check-cra.de konzentriert sich auf die schnelle Orientierung: Was ist der CRA, bin ich betroffen und welche Themen müssen als Nächstes geprüft werden? Das spätere Hauptportal cra-experte.de ist für vertiefende Fachinformationen, Umsetzungswissen und weiterführende Hilfen vorgesehen.
Zu cra-experte.de