Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Der Cyber Resilience Act verpflichtet Hersteller, Hardware und Software über den gesamten Lebenszyklus abzusichern, Schwachstellen zu behandeln, Sicherheitsupdates bereitzustellen und aktiv ausgenutzte Schwachstellen zu melden. Produkte ohne nachgewiesene Konformität dürfen in der EU nicht mehr in Verkehr gebracht werden.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act schließt eine Lücke, die im europäischen Produktrecht jahrzehntelang bestand: Für die elektrische Sicherheit einer Maschine, für Spielzeug oder für Medizinprodukte gab es verbindliche Anforderungen und eine Marktzugangskontrolle – für die Cybersicherheit vernetzter Produkte gab es sie nicht. Ein Router, eine Industriesteuerung oder eine Anwendung konnten mit bekannten Schwachstellen ausgeliefert und ohne jede Update-Zusage betrieben werden.
Die Verordnung setzt genau dort an. Sie ist ein horizontaler Rechtsakt, gilt also branchenübergreifend für praktisch alle vernetzten Produkte, und sie ist Produktrecht: Der Adressat ist nicht der Betreiber, sondern der Hersteller. Cybersicherheit wird damit zur Voraussetzung für den Marktzugang und mit der CE-Kennzeichnung verknüpft – demselben Mechanismus, über den auch die übrigen Produktanforderungen der EU durchgesetzt werden.
Zwei Grundgedanken prägen den Text. Erstens Security by Design und Security by Default: Sicherheit muss in Entwurf und Entwicklung einfließen, und die Auslieferungskonfiguration muss die sichere sein, nicht die bequeme. Zweitens die Lebenszyklusverantwortung: Die Pflicht endet nicht mit dem Verkauf, sondern erstreckt sich über einen definierten Zeitraum der Unterstützung mit Sicherheitsupdates. Der zweite Punkt ist die wirtschaftlich folgenreichere Neuerung, weil er dauerhafte Prozesse verlangt statt einer einmaligen Prüfung.
Seit wann gilt der Cyber Resilience Act?
Der Cyber Resilience Act ist Ende 2024 in Kraft getreten und gilt gestaffelt, wobei die vollständige Anwendbarkeit erst nach einer dreijährigen Übergangsfrist eintritt.
| Zeitpunkt | Was gilt |
| Inkrafttreten (Dezember 2024) | Beginn der Übergangsfristen; noch keine unmittelbaren Pflichten für Hersteller |
| 18 Monate (Juni 2026) | Regelungen zu Konformitätsbewertungsstellen und deren Benennung |
| 21 Monate (September 2026) | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle |
| 36 Monate (Dezember 2027) | Vollständige Anwendbarkeit einschließlich aller Produktanforderungen und der Konformitätsbewertung |
Bemerkenswert an dieser Staffelung ist die Vorverlagerung der Meldepflichten. Sie greifen mehr als ein Jahr vor den Produktanforderungen – Hersteller müssen also bereits melden, während ihre Produkte formal noch nicht den vollständigen Anforderungen genügen müssen. Wer die Übergangsfrist als „Zeit bis Ende 2027″ liest, verpasst diesen früheren Termin. Da die Fristen an das Inkrafttreten der Verordnung anknüpfen und die Kommission ergänzende Rechtsakte fortlaufend erlässt, sollte der jeweils aktuelle Stand vor der Anwendung geprüft werden.
Für welche Produkte gilt der Cyber Resilience Act?
Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen – also für Hardware und Software, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk einschließt. Der Zuschnitt ist bewusst weit: Er reicht von Betriebssystemen, Anwendungen und Bibliotheken über Router, Kameras und Industriesteuerungen bis zu vernetztem Spielzeug und Wearables. Erfasst sind auch zugehörige Fernverarbeitungslösungen, die für die Funktion des Produkts erforderlich sind.
Ausgenommen sind Produkte, für die bereits sektorspezifisches EU-Recht mit Cybersicherheitsanforderungen besteht – insbesondere Medizinprodukte, Kraftfahrzeuge, zivile Luftfahrt und Schiffsausrüstung. Ebenfalls ausgenommen sind Produkte, die ausschließlich für nationale Sicherheit, Verteidigung oder die Verarbeitung von Verschlusssachen entwickelt wurden.
Eine praktisch wichtige Abgrenzung betrifft Open-Source-Software. Sie fällt nicht unter die Verordnung, solange sie außerhalb einer Geschäftstätigkeit bereitgestellt wird; wer Open Source jedoch kommerziell verwertet oder in ein Produkt integriert und in Verkehr bringt, trägt für dieses Produkt die volle Herstellerverantwortung. Für Organisationen, die Open-Source-Komponenten pflegen und dauerhaft unterstützen, sieht die Verordnung eine eigene, deutlich leichtere Pflichtenlage vor.
Reine Cloud-Dienste ohne Produktbezug fallen dagegen in aller Regel nicht unter den Cyber Resilience Act, sondern werden über NIS-2 erfasst – eine Trennlinie, die bei hybriden Angeboten aus App und Backend im Einzelfall sorgfältig zu ziehen ist.
Welche Produktkategorien unterscheidet der Cyber Resilience Act?
Der Cyber Resilience Act stuft Produkte nach ihrem Risiko in drei Ebenen ein, an denen die Strenge der Konformitätsbewertung hängt.
| Kategorie | Beispiele | Bewertungsweg |
| Standardprodukte | Der weit überwiegende Teil vernetzter Produkte, etwa Anwendungen ohne sicherheitskritische Funktion | Selbstbewertung durch den Hersteller |
| Wichtige Produkte, Klasse I | Passwortmanager, Browser, Virenschutz, VPN, Identitätsmanagement, Netzwerkmanagement, Betriebssysteme, Router für den Heimgebrauch, vernetztes Spielzeug | Selbstbewertung bei vollständiger Anwendung harmonisierter Normen, sonst Beteiligung einer benannten Stelle |
| Wichtige Produkte, Klasse II | Hypervisoren, Container-Laufzeitumgebungen, Firewalls und Angriffserkennung für den industriellen Einsatz, manipulationssichere Mikrocontroller | Verpflichtende Beteiligung einer benannten Stelle |
| Kritische Produkte | Hardware-Sicherheitsmodule, Smartcards und sichere Elemente, Smart-Meter-Gateways | Zusätzlich mögliche Pflicht zu europäischer Cybersicherheitszertifizierung |
Für die Praxis folgt daraus eine frühe Weichenstellung: Die Einordnung entscheidet über Aufwand, Zeitplan und Kosten der Marktzulassung. Da benannte Stellen erst aufgebaut werden und Kapazitäten begrenzt sein dürften, ist die Klassifizierung des eigenen Portfolios einer der Schritte, die Hersteller nicht bis kurz vor Ablauf der Übergangsfrist verschieben sollten.
Welche Sicherheitsanforderungen stellt der Cyber Resilience Act?
Der Cyber Resilience Act formuliert wesentliche Anforderungen an das Produkt selbst, die nach einer Risikobeurteilung anzuwenden sind. Kernpunkte sind:
- Auslieferung ohne bekannte ausnutzbare Schwachstellen zum Zeitpunkt des Inverkehrbringens
- Sichere Standardkonfiguration einschließlich der Möglichkeit, das Produkt auf diesen Zustand zurückzusetzen
- Schutz vor unbefugtem Zugriff durch geeignete Authentifizierungs- und Zugriffskontrollmechanismen
- Vertraulichkeit und Integrität gespeicherter, übertragener und verarbeiteter Daten, insbesondere durch Verschlüsselung
- Datenminimierung: Verarbeitung nur der Daten, die für den Zweck erforderlich sind
- Verfügbarkeit und Widerstandsfähigkeit gegenüber Überlastungsangriffen
- Reduktion der Angriffsfläche einschließlich der Begrenzung externer Schnittstellen
- Begrenzung der Auswirkungen von Vorfällen durch geeignete Trennungs- und Isolationsmechanismen
- Sicherheitsrelevante Protokollierung von Zugriffen und Änderungen
- Sichere Update-Mechanismen, wo möglich automatisch und mit klarer Nutzerinformation
Auffällig ist, dass diese Anforderungen technisch nicht neu sind – sie entsprechen dem, was etablierte Sicherheitsstandards seit Jahren empfehlen. Neu ist ihre Verbindlichkeit. Ein Managementsystem nach ISO 27001 und ein etablierter sicherer Entwicklungsprozess decken einen erheblichen Teil methodisch bereits ab; die Lücke liegt meist nicht in der Sicherheitstechnik, sondern in Dokumentation, Nachweisführung und der durchgehenden Verankerung über die Produktlebensdauer.
Was verlangt der Cyber Resilience Act beim Umgang mit Schwachstellen?
Der Cyber Resilience Act verlangt einen dauerhaften Prozess zur Behandlung von Schwachstellen über den gesamten Unterstützungszeitraum – der Teil der Verordnung, der Herstellern erfahrungsgemäß den größten organisatorischen Umbau abverlangt. Verpflichtend sind unter anderem:
Eine Stückliste der Softwarebestandteile (Software Bill of Materials, SBOM) in einem maschinenlesbaren Format, die zumindest die Komponenten der obersten Ebene erfasst. Sie ist die Voraussetzung dafür, bei einer neu bekannt gewordenen Schwachstelle in einer Bibliothek überhaupt feststellen zu können, welche eigenen Produkte betroffen sind.
Ein Verfahren zur koordinierten Offenlegung von Schwachstellen mit einer veröffentlichten Kontaktadresse für Meldungen, dazu regelmäßige Tests und Überprüfungen des Produkts. Gefundene Schwachstellen sind unverzüglich zu beheben, Sicherheitsupdates kostenlos und getrennt von Funktionsupdates bereitzustellen, damit Anwender sie ohne funktionale Änderungen einspielen können.
Zentral ist der Unterstützungszeitraum. Er muss die erwartete Produktlebensdauer widerspiegeln und beträgt grundsätzlich mindestens fünf Jahre, sofern die Lebensdauer nicht kürzer ist. Bereitgestellte Sicherheitsupdates müssen darüber hinaus noch für einen mehrjährigen Zeitraum verfügbar bleiben. Entscheidend für Käufer: Der Unterstützungszeitraum ist anzugeben und wird damit zu einer vergleichbaren Produkteigenschaft – ähnlich einer Garantieangabe. Die genauen Fristen sollten anhand des Verordnungstextes im Einzelfall geprüft werden.
Welche Meldepflichten sieht der Cyber Resilience Act vor?
Der Cyber Resilience Act verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit zu melden. Die Meldung erfolgt gestuft über eine zentrale, von der europäischen Cybersicherheitsagentur betriebene Plattform an das zuständige nationale Computer-Notfallteam und die Agentur.
Der Ablauf folgt dem inzwischen aus anderen EU-Rechtsakten bekannten Muster: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht nach Abschluss der Behebung. Zusätzlich sind betroffene Nutzer über die Schwachstelle beziehungsweise den Vorfall und die erforderlichen Maßnahmen zu informieren, gegebenenfalls auch die breitere Öffentlichkeit.
Praktisch bedeutet das für Hersteller eine ständig erreichbare Meldeorganisation. Vierundzwanzig Stunden reichen nicht, um Zuständigkeiten, Bewertungsmaßstäbe und Zugänge zur Meldeplattform erst im Ereignisfall zu klären – zumal parallel weitere Pflichten greifen können, etwa nach der DSGVO bei betroffenen personenbezogenen Daten oder nach NIS-2 und DORA für die eigene Organisation. Da eine aktiv ausgenutzte Schwachstelle häufig zugleich der Einstieg für einen Ransomware-Angriff bei Kunden ist, laufen Meldeprozess und Krisenkommunikation in solchen Lagen zeitgleich.
Wie läuft die Konformitätsbewertung nach dem Cyber Resilience Act ab?
Die Konformitätsbewertung nach dem Cyber Resilience Act folgt der Systematik des europäischen Produktrechts: Der Hersteller führt eine Risikobeurteilung durch, erstellt eine technische Dokumentation, weist die Erfüllung der wesentlichen Anforderungen nach, stellt eine EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an.
Der Weg dorthin hängt von der Produktkategorie ab. Für Standardprodukte genügt die interne Fertigungskontrolle, also eine Selbstbewertung ohne Beteiligung Dritter. Bei wichtigen Produkten der Klasse I ist die Selbstbewertung möglich, wenn einschlägige harmonisierte Normen vollständig angewendet werden; andernfalls ist eine benannte Stelle einzubinden. Für wichtige Produkte der Klasse II ist die Beteiligung einer benannten Stelle stets erforderlich, für kritische Produkte kann zusätzlich eine europäische Cybersicherheitszertifizierung verlangt werden.
Der Verweis auf harmonisierte Normen ist dabei der praktisch entscheidende Punkt. Solange die zugehörigen europäischen Normen nicht fertiggestellt und im Amtsblatt gelistet sind, fehlt die Vermutungswirkung, mit der Hersteller ihre Konformität auf einfachem Weg nachweisen können. Der Normungsstand ist deshalb für die Planung mindestens so relevant wie die Fristen der Verordnung selbst.
Wie verhält sich der Cyber Resilience Act zu NIS-2 und DORA?
Der Cyber Resilience Act regelt Produkte, NIS-2 und DORA regeln Organisationen. Die Rechtsakte greifen ineinander: Betreiber sollen sichere Produkte einsetzen, und der CRA sorgt dafür, dass es solche Produkte überhaupt gibt.
| Rechtsakt | Adressat | Gegenstand |
| Cyber Resilience Act | Hersteller, Einführer, Händler | Cybersicherheit von Produkten mit digitalen Elementen über den Lebenszyklus |
| NIS-2-Richtlinie | Wesentliche und wichtige Einrichtungen in 18 Sektoren | Risikomanagement, Meldepflichten und Governance der Organisation |
| DORA | Finanzunternehmen und deren IKT-Dienstleister | Digitale operationale Resilienz im Finanzsektor |
| DSGVO | Verantwortliche und Auftragsverarbeiter | Schutz personenbezogener Daten, Sicherheit der Verarbeitung |
| KI-Verordnung | Anbieter und Betreiber von KI-Systemen | Cybersicherheitsanforderungen können über CRA-Konformität erfüllt werden |
Für Betreiber ergibt sich daraus eine bequeme Verzahnung: Anforderungen, die NIS-2 an das Lieferantenmanagement stellt, lassen sich künftig teilweise über CRA-Nachweise des Herstellers belegen. Umgekehrt entlastet die CE-Kennzeichnung den Betreiber nicht – sie sagt etwas über das Produkt aus, nicht über dessen sichere Konfiguration und dessen Betrieb.
Was bedeutet der Cyber Resilience Act für Beschaffung und Betreiber?
Für Betreiber und Beschaffungsstellen ist der Cyber Resilience Act vor allem ein Werkzeug: Er schafft vergleichbare, einforderbare Produkteigenschaften, wo bislang Herstellerzusagen unterschiedlicher Verbindlichkeit standen. In Ausschreibungen und Lieferantenbewertungen lassen sich damit konkret abfragen:
- Angabe des Unterstützungszeitraums und der Verfügbarkeitsdauer von Sicherheitsupdates
- Software-Stückliste und Umgang mit Komponenten Dritter
- Verfahren zur koordinierten Offenlegung von Schwachstellen samt Meldekontakt
- Bereitstellung von Sicherheitsupdates kostenlos und getrennt von Funktionsupdates
- Sichere Standardkonfiguration und dokumentierte Härtungsempfehlungen
- Einstufung des Produkts und gewählter Weg der Konformitätsbewertung
Diese Punkte gehören ohnehin in das Lieferantenmanagement und lassen sich mit den Vertragsanforderungen eines Auftragsverarbeitungsvertrags sowie mit den Nachweispflichten aus NIS-2 zusammenführen. Für Betreiber kritischer Infrastrukturen und Behörden ist insbesondere der Unterstützungszeitraum relevant, weil Beschaffungszyklen dort häufig länger sind als die üblichen Update-Zusagen des Marktes.
Bei Kommunikationslösungen lohnt der Blick auf denselben Fragenkatalog. Wie lange werden Sicherheitsupdates zugesagt, wie werden sie ausgeliefert, wie ist der Meldeweg für gefundene Schwachstellen geregelt, und welche Standardkonfiguration wird ausgeliefert – das sind Fragen, die sich vor der Einführung klären lassen und die nach der Einführung nur mit erheblichem Aufwand nachzuholen sind.
Welche Sanktionen sieht der Cyber Resilience Act vor?
Der Cyber Resilience Act sieht abgestufte Geldbußen vor, die von den nationalen Marktüberwachungsbehörden verhängt werden. Für Verstöße gegen die wesentlichen Sicherheitsanforderungen sowie gegen die Pflichten zur Schwachstellenbehandlung und Meldung liegt der Rahmen bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Verstöße gegen sonstige Pflichten und für unrichtige oder unvollständige Angaben gegenüber Behörden und benannten Stellen gelten niedrigere Rahmen.
Praktisch mindestens ebenso relevant sind die produktrechtlichen Maßnahmen. Marktüberwachungsbehörden können das Inverkehrbringen untersagen, Rückrufe anordnen und Produkte vom Markt nehmen lassen – Konsequenzen, die einen Hersteller unmittelbar im Vertrieb treffen. Welche Behörden in Deutschland zuständig sein werden, ergibt sich aus der nationalen Ausgestaltung und sollte anhand des aktuellen Stands geprüft werden.
Zusammenfassung: Wichtige Punkte zum Cyber Resilience Act
- Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 und macht Cybersicherheit zur Voraussetzung für den Marktzugang von Produkten mit digitalen Elementen.
- Adressat ist der Hersteller, nicht der Betreiber; die Konformität wird über die CE-Kennzeichnung nachgewiesen.
- Die Verordnung gilt gestaffelt: Meldepflichten greifen deutlich vor der vollständigen Anwendbarkeit der Produktanforderungen Ende 2027.
- Erfasst sind praktisch alle vernetzten Hardware- und Softwareprodukte; ausgenommen sind sektorspezifisch geregelte Bereiche und nicht kommerziell bereitgestellte Open-Source-Software.
- Die Risikoklassifizierung in Standardprodukte, wichtige Produkte der Klassen I und II sowie kritische Produkte entscheidet über den Weg der Konformitätsbewertung.
- Kern der Produktanforderungen sind Security by Design und Security by Default sowie die Auslieferung ohne bekannte ausnutzbare Schwachstellen.
- Verpflichtend sind eine Software-Stückliste (SBOM), ein Verfahren zur koordinierten Offenlegung von Schwachstellen und kostenlose, von Funktionsupdates getrennte Sicherheitsupdates.
- Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre und wird zu einer vergleichbaren, anzugebenden Produkteigenschaft.
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind gestuft binnen 24 und 72 Stunden zu melden, ergänzt um einen Abschlussbericht.
- Für Beschaffung und Betreiber schafft der CRA einforderbare Nachweise – ersetzt aber nicht die Pflicht zu sicherer Konfiguration und sicherem Betrieb.