Cyber Resilience Act (CRA): Pflichten, Fristen und Meldewesen für Hersteller
Der CRA stellt verbindliche Cybersicherheitsanforderungen an Hersteller von Produkten mit digitalen Elementen und begründet ergänzende Pflichten für Einführer und Händler. Hersteller müssen unter anderem Security-by-Design umsetzen, Schwachstellen während des Unterstützungszeitraums behandeln und ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist die erste EU-weite Regulierung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, von Software über IoT-Geräte bis zu vernetzter Hardware.
In Kraft seit 10.12.2024
Der CRA ist seit diesem Datum in Kraft, seine Pflichten werden jedoch gestaffelt anwendbar.
Meldepflichten ab 11.09.2026
Art. 14: Diese Meldepflicht der Hersteller gilt auch für bereits am EU-Markt bereitgestellte Bestandsprodukte.
Hauptpflichten ab 11.12.2027
Für Produkte, die ab diesem Datum in Verkehr gebracht werden, gelten CE-Kennzeichnung, Konformitätsbewertung und die vollständigen Sicherheitsanforderungen verbindlich.
Zeitplan im Überblick
| Zeitpunkt | Maßnahme | Status |
|---|---|---|
| Inkrafttreten des Cyber Resilience Act | Abgeschlossen | |
| Kapitel IV (Art. 35–51) anwendbar: Notifizierung von Konformitätsbewertungsstellen | Abgeschlossen | |
| Meldepflichten nach Art. 14 treten in Kraft (Schwachstellen, Sicherheitsvorfälle) | Zeitkritisch | |
| Hauptpflichten treten in Kraft: Sicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung | Ausstehend |
Das Datum 11. Juni 2026 betrifft die Notifizierung von Konformitätsbewertungsstellen (Mitgliedstaaten, Akkreditierungs- und Konformitätsbewertungsstellen) und begründet noch keine allgemeinen CRA-Produktpflichten für Hersteller.
Wer ist betroffen?
Der CRA gilt grundsätzlich für Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen", die auf dem EU-Markt bereitgestellt werden, unabhängig vom Sitz des Herstellers. Für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten Übergangsregelungen: Die vollständigen CRA-Anforderungen greifen grundsätzlich erst, wenn das Produkt ab diesem Zeitpunkt wesentlich geändert wird. Die Meldepflichten nach Art. 14 gelten dagegen auch für bereits zuvor auf dem Unionsmarkt bereitgestellte Produkte.
- Softwarehersteller (Standalone- und eingebettete Software)
- IoT- und Embedded-Hersteller
- Hersteller vernetzter Hardware und Steuerungssysteme
- Importeure und Händler (mit eigenen, ergänzenden Prüf- und Sorgfaltspflichten, nicht gleichrangig mit Herstellerpflichten)
Zentrale Pflichten
Der CRA verlangt einen durchgängigen Sicherheitsansatz über den gesamten Produktlebenszyklus:
- Security-by-Design und Security-by-Default, einschließlich einer dokumentierten Cybersicherheitsrisikobewertung
- Schwachstellen- und Vorfallmanagement (Vulnerability Handling)
- Gestufte Meldepflicht der Hersteller (Art. 14) bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen, die sich auf die Sicherheit des Produkts auswirken
- Technische Dokumentation und Konformitätsbewertung
- Festlegung und transparente Angabe eines Unterstützungszeitraums, während dessen Schwachstellen behandelt und Sicherheitsupdates bereitgestellt werden
- Dokumentation von Produktkomponenten und Abhängigkeiten, einschließlich einer Software-Stückliste (SBOM) in geeigneter Form
- Je nach Einstufung als gewöhnliches, wichtiges (Klasse I/II) oder kritisches Produkt mit digitalen Elementen gelten unterschiedliche Konformitätsbewertungsverfahren
Wichtige Abgrenzungen
- Freie und quelloffene Software: Nicht kommerziell bereitgestellte Open-Source-Software fällt grundsätzlich nicht unter die regulären Herstellerpflichten des CRA.
- Cloud- und SaaS-Dienste: Reine Datenfernverarbeitung fällt nur dann unter den CRA, wenn sie vom Hersteller selbst konzipiert wurde und das Produkt ohne sie eine wesentliche Funktion nicht erfüllen könnte. Andernfalls kann stattdessen NIS2 einschlägig sein.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gestuft melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach 14 Tagen (Schwachstelle) bzw. einem Monat (Vorfall). Details zum Meldeweg über die einheitliche CRA-Meldeplattform (Single Reporting Platform, SRP) nach Art. 16, betrieben von ENISA, sowie Handlungsempfehlungen finden Sie auf unserer dedizierten Meldepflicht-Seite.
Zur CRA-Meldepflicht im DetailBereit für den nächsten Schritt?
Die Umsetzung des Cyber Resilience Act ist eine komplexe Aufgabe, gerade mit Blick auf die Meldepflichten ab September 2026. Wenn Sie Unterstützung bei der Einordnung und Umsetzung benötigen, sind wir für Sie da.