Cyber Resilience Act: Was Hersteller digitaler Produkte jetzt müssen
Seit dem 11. September 2026 läuft die Uhr: Wer Software oder vernetzte Geräte in der EU verkauft, muss aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Ende 2027 kommt der Rest. Hier steht, wen das trifft und was jetzt zu tun ist.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist ein EU-Gesetz zur Produktsicherheit für Software und vernetzte Geräte. Er funktioniert wie die bekannten Regeln für Spielzeug oder Elektrogeräte: Wer ein Produkt in der EU auf den Markt bringt, muss bestimmte Anforderungen erfüllen und das mit einer CE-Kennzeichnung bestätigen. Neu ist, dass es um Cybersicherheit geht, und zwar nicht nur beim Verkauf, sondern über die gesamte Nutzungsdauer.
Betroffen sind „Produkte mit digitalen Elementen“: alles, was Software enthält und sich direkt oder indirekt mit einem Gerät oder Netz verbinden kann. Die EU-Kommission nennt Beispiele wie Babyphones, Smartwatches, Apps und Computerprogramme. Für Medizinprodukte, Fahrzeuge und einige andere Bereiche mit eigenen Regeln gibt es Ausnahmen. Reine Webdienste ohne Produktbezug fallen in der Regel nicht darunter, Software, die verkauft oder heruntergeladen wird, schon.
Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Sie gilt unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz ist für die Pflichten selbst nicht nötig.
Fristen: Ab wann gilt der Cyber Resilience Act?
Drei Stufen. Die mittlere läuft bereits. Stand: 14. November 2026.
| Datum | Was gilt | Für wen |
|---|---|---|
| 10.12.2024 | Inkrafttreten | alle |
| 11.06.2026 | Regeln für Konformitätsbewertungsstellen (Notifizierung) | Prüfstellen, Behörden |
| 11.09.2026 | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, ENISA-Meldeplattform in Betrieb | Hersteller |
| 11.12.2027 | alle übrigen Pflichten, CE-Kennzeichnung, Meldepflichten für Open-Source-Stewards | Hersteller, Importeure, Händler, Stewards |
Die Meldepflicht gilt seit September 2026 auch für Produkte, die schon vorher auf dem Markt waren. Die Anforderungen an Entwicklung und Dokumentation greifen dagegen für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Welche Pflichten haben Hersteller?
- Sicher entwickeln: Produkte nach den grundlegenden Anforderungen in Anhang I bauen, etwa sichere Standardeinstellungen, Schutz vor unbefugtem Zugriff, möglichst kleine Angriffsfläche.
- Risiken bewerten und dokumentieren: eine Cybersicherheits-Risikobewertung und technische Dokumentation, die Behörden auf Anfrage vorgelegt werden kann.
- Schwachstellen behandeln: ein Verfahren, über das Schwachstellen gemeldet werden können, und Sicherheitsupdates, möglichst getrennt von Funktionsupdates.
- Support-Zeitraum festlegen: in der Regel mindestens fünf Jahre, kürzer nur, wenn das Produkt voraussichtlich kürzer genutzt wird (Art. 13). Der Zeitraum muss beim Kauf klar erkennbar sein.
- Melden: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die Meldeplattform der ENISA (Art. 14).
- Konformität erklären: EU-Konformitätserklärung und CE-Kennzeichnung, für bestimmte wichtige und kritische Produkte mit Prüfung durch eine benannte Stelle.
Importeure und Händler müssen prüfen, dass Hersteller ihre Pflichten erfüllt haben. Wer ein Produkt unter eigenem Namen vertreibt oder wesentlich verändert, gilt selbst als Hersteller.
Cyber Resilience Act und NIS2: der Unterschied
Zwei EU-Regeln, zwei Blickwinkel. Viele Unternehmen sind von beiden betroffen, aus unterschiedlichen Gründen.
| Frage | Cyber Resilience Act | NIS2 (in Deutschland BSIG) |
|---|---|---|
| Was wird geregelt? | Sicherheit von Produkten | Sicherheit des Betriebs von Einrichtungen |
| Wer ist verpflichtet? | Hersteller, Importeure, Händler von Produkten mit digitalen Elementen | Einrichtungen bestimmter Sektoren ab einer Größe |
| Rechtsform | EU-Verordnung, gilt direkt | EU-Richtlinie, umgesetzt im BSIG |
| Melden | ausgenutzte Schwachstellen und Vorfälle am Produkt, über ENISA-Plattform | erhebliche Sicherheitsvorfälle im Betrieb, an das BSI |
| Nachweis | Konformitätserklärung, CE-Kennzeichnung | Risikomanagementmaßnahmen, Registrierung, ggf. Nachweise |
Wie NIS2 in Deutschland umgesetzt ist und was Einrichtungen tun müssen, steht unter NIS2 umsetzen und NIS2-Richtlinie erklärt.
Checkliste: Bin ich vom CRA betroffen?
Sechs Fragen für die erste Einordnung. Jedes Ja ist ein Grund, genauer hinzusehen.
Verkaufst oder verschenkst du Software oder Geräte mit Software?
Apps, Desktop-Programme, Firmware, vernetzte Geräte, auch kostenlos im Rahmen einer Geschäftstätigkeit.
Kann das Produkt sich mit einem Netz oder Gerät verbinden?
Direkt über Internet, WLAN, Bluetooth oder indirekt über ein anderes Gerät. Dann ist es ein Produkt mit digitalen Elementen.
Bringst du es unter deinem Namen auf den Markt?
Dann bist du Hersteller, auch wenn ein Dienstleister es entwickelt hat. Wer ein fremdes Produkt wesentlich verändert, ebenfalls.
Gehört eine Cloud-Funktion fest zum Produkt?
Datenverarbeitung aus der Ferne, ohne die das Produkt eine Funktion nicht erfüllt, zählt mit zum Produkt.
Gibt es einen Weg, Schwachstellen zu melden?
Eine Adresse oder ein Formular für Sicherheitsforschende und eine Person, die innerhalb von 24 Stunden reagieren kann.
Weißt du, wie lange du Updates lieferst?
Ohne festgelegten Support-Zeitraum fehlt ab Dezember 2027 eine Pflichtangabe. Planung und Budget dafür gehören jetzt auf den Tisch.
Ob Individualsoftware, die für einen einzigen Auftraggeber gebaut wird, unter den CRA fällt, hängt vom Einzelfall ab, etwa davon, ob sie auf dem Markt bereitgestellt wird. Lass das bei Unsicherheit juristisch prüfen.
Melden in 24 Stunden: so bereitest du dich vor
- Zuständigkeit klären: Wer nimmt Meldungen von außen an, wer entscheidet, ob eine Schwachstelle aktiv ausgenutzt wird, wer meldet?
- Zugang zur Plattform: Vorab klären, wie die Meldung an das CSIRT über die ENISA-Plattform läuft, und Zugänge einrichten.
- Vorlage für die Frühwarnung: Produkt, Version, betroffene Mitgliedstaaten, erste Einschätzung. Was in 24 Stunden gemeldet werden muss, steht vorher fest.
- Kundschaft informieren: Hersteller müssen betroffene Nutzerinnen und Nutzer über Schwachstellen und Gegenmaßnahmen informieren. Textbausteine sparen im Ernstfall Stunden.
- Üben: Einmal im Jahr eine Schwachstelle durchspielen, vom Eingang bis zum Abschlussbericht.
Wann du uns nicht brauchst
Wenn du keine Software und keine vernetzten Geräte verkaufst, sondern sie nur nutzt, betrifft dich der CRA kaum direkt: Deine Lieferanten müssen liefern. Für Konformitätsbewertung und Zertifizierung bist du bei Prüfstellen und Kanzleien richtig. Wir helfen beim Dazwischen: Updateprozess, Meldeweg, sichere Websites und Software im Live-Betrieb.
Häufige Fragen zum Cyber Resilience Act
Ab wann gilt der Cyber Resilience Act?
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten seit dem 11. September 2026, die übrigen Pflichten einschließlich CE-Kennzeichnung ab dem 11. Dezember 2027. Regeln für Prüfstellen gelten seit dem 11. Juni 2026.
Was sind Produkte mit digitalen Elementen?
Hard- und Softwareprodukte, die sich direkt oder indirekt mit einem Gerät oder Netz verbinden können, einschließlich der zugehörigen Datenverarbeitung aus der Ferne. Beispiele sind Apps, Computerprogramme, Smartwatches, Router und vernetzte Haushaltsgeräte. Für einige Bereiche mit eigenen Regeln, etwa Medizinprodukte, gelten Ausnahmen.
Gilt der CRA für Websites und SaaS?
Reine Webdienste und Software as a Service fallen in der Regel nicht unter den CRA, sondern unter NIS2 und andere Regeln. Anders ist es, wenn eine Cloud-Funktion fest zu einem Produkt gehört, etwa die Steuerung eines Geräts per App: Dann zählt sie als Datenverarbeitung aus der Ferne zum Produkt. Orientierung, keine Rechtsberatung.
Wie lange müssen Hersteller Sicherheitsupdates liefern?
Für den Support-Zeitraum, den der Hersteller festlegt. Er muss die erwartete Nutzungsdauer widerspiegeln und beträgt in der Regel mindestens fünf Jahre, kürzer nur bei Produkten, die voraussichtlich kürzer genutzt werden. Der Zeitraum muss beim Kauf erkennbar sein.
Was droht bei Verstößen gegen den CRA?
Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für andere Pflichten sind niedrigere Rahmen vorgesehen. Marktaufsichtsbehörden können außerdem Produkte vom Markt nehmen lassen.
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 13, 14, 16, 64, 71, EUR-Lex, abgerufen am 14.11.2026.
- EU-Kommission: Cyber Resilience Act, abgerufen am 14.11.2026.
- EU-Kommission: Cyber Resilience Act – Reporting obligations, abgerufen am 14.11.2026.