CRA: Cybersicherheit für Produkte mit digitalen Elementen
Der Cyber Resilience Act verpflichtet Hersteller, Einführer und Händler von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus — von der Entwicklung bis zum Ende des Supports. Anders als NIS2 und DORA knüpft er nicht an Branchen an, sondern an Ihre Rolle in der Lieferkette.
Produktrecht, nicht Betreiberrecht.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist am 10.12.2024 in Kraft getreten und gilt EU-weit unmittelbar. Er behandelt Cybersicherheit wie Produktsicherheit: Ein Produkt mit digitalen Elementen darf nur dann in der EU in Verkehr gebracht werden, wenn es die grundlegenden Anforderungen aus Anhang I erfüllt — nachgewiesen über ein Konformitätsbewertungsverfahren und sichtbar an der CE-Kennzeichnung.
Das ist der entscheidende Unterschied zu NIS2 und DORA. Diese beiden verpflichten Einrichtungen nach Sektor und Größe. Der CRA verpflichtet Wirtschaftsakteure nach ihrer Rolle: Hersteller, Bevollmächtigte, Einführer und Händler. Wer ein Produkt lediglich betreibt oder nutzt, fällt nicht darunter — für ihn gilt NIS2. Ob Sie betroffen sind, hängt also nicht davon ab, in welcher Branche Sie tätig sind, sondern ob Sie Software oder vernetzte Geräte auf den Markt bringen.
Die Verordnung unterscheidet drei Risikostufen. Der Regelfall ist die Selbstbewertung durch den Hersteller. Wichtige Produkte (Anhang III, unterteilt in Klasse I und II — etwa Passwortmanager, VPNs, Firewalls, Mikroprozessoren) und kritische Produkte (Anhang IV — etwa Hardware-Sicherheitsmodule und Smartcards) verlangen strengere Verfahren bis hin zur Einbindung einer notifizierten Stelle. Ausgenommen sind unter anderem Medizinprodukte (MDR/IVDR), typgenehmigte Kfz-Technik, zivile Luftfahrt und Produkte ausschließlich für nationale Sicherheit oder Verteidigung.
Wichtige Stichtage
CRA tritt in Kraft
Verordnung (EU) 2024/2847, veröffentlicht im Amtsblatt am 20.11.2024. Inkrafttreten am zwanzigsten Tag danach; die Pflichten selbst greifen gestaffelt.
Kapitel zu den Konformitätsbewertungsstellen wird anwendbar
Ab hier können sich notifizierte Stellen benennen lassen — die Infrastruktur, die wichtige und kritische Produkte später bewerten muss, entsteht in diesem Fenster.
Meldepflichten aus Art. 14 werden anwendbar
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen bzw. einem Monat — über die einheitliche Meldeplattform an das zuständige CSIRT und die ENISA. Diese Frist kommt 15 Monate vor der vollen Geltung.
Alle übrigen Pflichten werden anwendbar
Grundlegende Anforderungen aus Anhang I, Konformitätsbewertung und CE-Kennzeichnung, technische Dokumentation, Software-Stückliste (SBOM), Schwachstellenbehandlung und der Support-Zeitraum von mindestens fünf Jahren.
Was der CRA von Ihnen verlangt.
Sicherheit ab Werk (Anhang I Teil I)
Produkte werden ohne bekannte ausnutzbare Schwachstellen ausgeliefert, mit sicherer Standardkonfiguration, Zugriffsschutz, Verschlüsselung ruhender und übertragener Daten und der Möglichkeit, Nutzerdaten sicher zu löschen.
Schwachstellenbehandlung über den Support-Zeitraum (Anhang I Teil II)
Schwachstellen dokumentieren, unverzüglich beheben, Sicherheitsupdates kostenlos und getrennt von Funktionsupdates ausliefern, eine Kontaktstelle für Meldungen betreiben und eine Koordinierungsrichtlinie veröffentlichen. Der Support-Zeitraum beträgt mindestens fünf Jahre oder die erwartete Lebensdauer des Produkts.
Meldepflichten (Art. 14) — ab 11.09.2026
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: 24 Stunden Frühwarnung, 72 Stunden Meldung, Abschlussbericht binnen 14 Tagen bzw. einem Monat. Adressat ist das zuständige CSIRT und die ENISA über eine gemeinsame Meldeplattform.
Software-Stückliste und technische Dokumentation
Eine SBOM in einem maschinenlesbaren Format, die mindestens die Abhängigkeiten der obersten Ebene abdeckt, sowie eine technische Dokumentation nach Anhang VII — beides zehn Jahre oder für die Dauer des Support-Zeitraums aufzubewahren.
Konformitätsbewertung und CE-Kennzeichnung
Für den Regelfall genügt die interne Kontrolle durch den Hersteller. Wichtige Produkte aus Anhang III und kritische Produkte aus Anhang IV verlangen strengere Verfahren, bei Klasse II und Anhang IV unter Einbindung einer notifizierten Stelle. Am Ende stehen EU-Konformitätserklärung und CE-Kennzeichen.
Pflichten von Einführern und Händlern
Wer ein Produkt aus einem Drittland in die EU einführt oder es weiterverkauft, muss prüfen, ob Konformitätsbewertung, CE-Kennzeichnung und Dokumentation vorliegen — und darf ein Produkt nicht bereitstellen, wenn er Grund zur Annahme hat, dass es nicht konform ist. Wer ein Produkt unter eigenem Namen vertreibt oder wesentlich verändert, gilt selbst als Hersteller.
Produktregister, Meldeuhr und Nachweise an einer Stelle.
ReportAct führt ein Produktregister, in dem jedes Produkt mit digitalen Elementen seine CRA-Klassifizierung trägt — Regelfall, wichtig nach Anhang III oder kritisch nach Anhang IV. Aus der Einstufung folgt, welches Konformitätsbewertungsverfahren gilt und welche Nachweise Sie führen müssen.
Für die Meldepflichten aus Art. 14 läuft dieselbe Meldeuhr wie für NIS2 und DORA: Sobald ein Vorfall erfasst ist, starten die Fristen für die 24-Stunden-Frühwarnung und die 72-Stunden-Meldung sichtbar mit — inklusive Adressat CSIRT und ENISA. Wer bereits NIS2 oder DORA im Haus hat, bekommt hier keinen zweiten Prozess, sondern denselben.
Der CRA-Kontrollkatalog hängt an derselben versiegelten Nachweiskette wie die übrigen sechs Regelwerke. Ein Nachweis, den Sie für ISO 27001 oder NIS2 ohnehin führen, zählt hier mit. Und über das Lieferantenregister lässt sich ein Produkt mit seinen Zulieferern verknüpfen — die Grundlage für alles, was der CRA über die Lieferkette verlangt.
Produkt-/Positionierungsaussage, keine Rechtsberatung. Der CRA-Baustein deckt heute Produktregister, Klassifizierung, Meldeuhr und Kontrollnachweise ab; die maschinenlesbare SBOM-Verarbeitung und der CE-Konformitätslauf sind in Arbeit.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist ausschließlich der Verordnungstext in der geltenden Fassung. Es gelten unsere AGB.
Die erste CRA-Frist ist der 11.09.2026.
Legen Sie Ihr Produktregister an, klassifizieren Sie nach Anhang III und IV und haben Sie die Meldeuhr stehen, bevor der erste Vorfall sie startet.