CRA: Cybersicherheit für Produkte mit digitalen Elementen
Der Cyber Resilience Act verpflichtet Hersteller, Einführer und Händler von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus, von der Entwicklung bis zum Ende des Supports. Anders als NIS2 und DORA knüpft er an Ihre Rolle in der Lieferkette an, nicht an Branchen.
Produktrecht, nicht Betreiberrecht.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist am 10.12.2024 in Kraft getreten und gilt EU-weit unmittelbar. Er behandelt Cybersicherheit wie Produktsicherheit: Ein Produkt mit digitalen Elementen darf nur in Verkehr gebracht werden, wenn es die Anforderungen aus Anhang I erfüllt, nachgewiesen über ein Konformitätsbewertungsverfahren und sichtbar an der CE-Kennzeichnung.
Der Unterschied zu NIS2 und DORA: Diese verpflichten Einrichtungen nach Sektor und Größe, der CRA verpflichtet Wirtschaftsakteure nach ihrer Rolle: Hersteller, Bevollmächtigte, Einführer und Händler. Wer ein Produkt nur betreibt oder nutzt, fällt nicht darunter; für ihn gilt NIS2. Entscheidend ist, ob Sie Software oder vernetzte Geräte auf den Markt bringen, nicht Ihre Branche.
Der CRA kennt drei Risikostufen. Regelfall ist die Selbstbewertung durch den Hersteller. Wichtige Produkte (Anhang III, unterteilt in Klasse I und II — etwa Passwortmanager, VPNs, Firewalls, Mikroprozessoren) und kritische Produkte (Anhang IV — etwa Hardware-Sicherheitsmodule und Smartcards) verlangen strengere Verfahren bis zur Einbindung einer notifizierten Stelle. Ausgenommen sind unter anderem Medizinprodukte (MDR/IVDR), typgenehmigte Kfz-Technik, zivile Luftfahrt und Produkte ausschließlich für nationale Sicherheit oder Verteidigung.
Wichtige Stichtage
CRA tritt in Kraft
Verordnung (EU) 2024/2847, veröffentlicht im Amtsblatt am 20.11.2024. Inkrafttreten am zwanzigsten Tag danach; die Pflichten selbst greifen gestaffelt.
Kapitel zu den Konformitätsbewertungsstellen wird anwendbar
Ab hier können sich notifizierte Stellen benennen lassen, die später wichtige und kritische Produkte bewerten.
Meldepflichten aus Art. 14 werden anwendbar
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen bzw. einem Monat — über die einheitliche Meldeplattform an das zuständige CSIRT und die ENISA. Sie gilt 15 Monate vor der vollen Geltung.
Alle übrigen Pflichten werden anwendbar
Grundlegende Anforderungen aus Anhang I, Konformitätsbewertung und CE-Kennzeichnung, technische Dokumentation, Software-Stückliste (SBOM), Schwachstellenbehandlung und der Support-Zeitraum von mindestens fünf Jahren.
Was der CRA von Ihnen verlangt.
Sicherheit ab Werk (Anhang I Teil I)
Produkte werden ohne bekannte ausnutzbare Schwachstellen ausgeliefert, mit sicherer Standardkonfiguration, Zugriffsschutz, Verschlüsselung ruhender und übertragener Daten und der Möglichkeit, Nutzerdaten sicher zu löschen.
Schwachstellenbehandlung über den Support-Zeitraum (Anhang I Teil II)
Schwachstellen dokumentieren, unverzüglich beheben, Sicherheitsupdates kostenlos und getrennt von Funktionsupdates ausliefern, eine Kontaktstelle für Meldungen betreiben und eine Koordinierungsrichtlinie veröffentlichen. Der Support-Zeitraum beträgt mindestens fünf Jahre oder die erwartete Lebensdauer des Produkts.
Meldepflichten (Art. 14) — ab 11.09.2026
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: 24 Stunden Frühwarnung, 72 Stunden Meldung, Abschlussbericht binnen 14 Tagen bzw. einem Monat. Adressat sind das zuständige CSIRT und die ENISA über eine gemeinsame Meldeplattform.
Software-Stückliste und technische Dokumentation
Eine SBOM in einem maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt, sowie eine technische Dokumentation nach Anhang VII — beides zehn Jahre oder für die Dauer des Support-Zeitraums aufzubewahren.
Konformitätsbewertung und CE-Kennzeichnung
Im Regelfall genügt die interne Kontrolle durch den Hersteller. Wichtige Produkte aus Anhang III und kritische Produkte aus Anhang IV verlangen strengere Verfahren, bei Klasse II und Anhang IV unter Einbindung einer notifizierten Stelle. Am Ende stehen EU-Konformitätserklärung und CE-Kennzeichen.
Pflichten von Einführern und Händlern
Wer ein Produkt aus einem Drittland in die EU einführt oder es weiterverkauft, muss prüfen, ob Konformitätsbewertung, CE-Kennzeichnung und Dokumentation vorliegen, und darf ein Produkt nicht bereitstellen, wenn er Grund zur Annahme hat, dass es nicht konform ist. Wer ein Produkt unter eigenem Namen vertreibt oder wesentlich verändert, gilt selbst als Hersteller.
Produktregister, Meldeuhr und Nachweise an einer Stelle.
ReportAct führt ein Produktregister, in dem jedes Produkt mit digitalen Elementen seine CRA-Klassifizierung trägt: Regelfall, wichtig nach Anhang III oder kritisch nach Anhang IV. Daraus folgen Konformitätsbewertungsverfahren und Nachweispflichten.
Für die Meldepflichten aus Art. 14 läuft dieselbe Meldeuhr wie für NIS2 und DORA: Sobald ein Vorfall erfasst ist, starten die Fristen für 24-Stunden-Frühwarnung und 72-Stunden-Meldung, inklusive Adressat CSIRT und ENISA. Wer NIS2 oder DORA nutzt, braucht keinen zweiten Prozess.
Der CRA-Kontrollkatalog hängt an derselben versiegelten Nachweiskette wie die übrigen sechs Regelwerke; ein Nachweis für ISO 27001 oder NIS2 zählt hier mit. Über das Lieferantenregister lässt sich ein Produkt mit seinen Zulieferern verknüpfen.
Produkt-/Positionierungsaussage, keine Rechtsberatung. Der CRA-Baustein deckt heute Produktregister, Klassifizierung, Meldeuhr und Kontrollnachweise ab; die maschinenlesbare SBOM-Verarbeitung und der CE-Konformitätslauf sind in Arbeit.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist ausschließlich der Verordnungstext in der geltenden Fassung. Es gelten unsere AGB.
Die erste CRA-Frist ist der 11.09.2026.
Legen Sie Ihr Produktregister an, klassifizieren Sie nach Anhang III und IV und richten Sie die Meldeuhr ein, bevor der erste Vorfall sie startet.
- Sicherheit ab Werk (Anhang I Teil I)
- Schwachstellenbehandlung über den Support-Zeitraum (Anhang I Teil II)
- Meldepflichten (Art. 14) — ab 11.09.2026