Der Cyber Resilience Act (CRA, EU 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Security by Design, Schwachstellenmanagement und Meldepflichten über den Lebenszyklus.
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist die erste europäische Regelung, die Cybersicherheit als Produktanforderung festschreibt. Sie gilt für „Produkte mit digitalen Elementen“, also für Hard- und Software, die direkt oder indirekt mit einem Netzwerk verbunden werden kann: vom Router über die Smart-Home-Kamera bis zur Business-Software und zu Steuerungskomponenten in der Industrie. Ausgenommen sind Produkte, die bereits sektorspezifisch geregelt sind, etwa Medizinprodukte, Fahrzeuge und Luftfahrt, sowie unentgeltliche Open-Source-Software außerhalb kommerzieller Tätigkeit.
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten seit dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. Produkte, die danach ohne CE-Kennzeichnung nach CRA auf den Markt kommen, dürfen in der EU nicht mehr verkauft werden.
Kernpflichten für Hersteller
- Security by Design und by Default: Produkte müssen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden, mit sicheren Standardeinstellungen, Zugriffsschutz, Verschlüsselung und minimierter Angriffsfläche.
- Schwachstellenmanagement über den Supportzeitraum: mindestens fünf Jahre oder die erwartete Nutzungsdauer; Sicherheitsupdates müssen kostenlos und zeitnah bereitgestellt werden.
- Software Bill of Materials (SBOM): Hersteller müssen die Komponenten ihrer Produkte dokumentieren, um Lieferkettenrisiken nachvollziehen zu können.
- Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind binnen 24 Stunden an die ENISA-Meldeplattform und das zuständige CSIRT zu melden (Frühwarnung), mit Folgemeldung binnen 72 Stunden.
- Konformitätsbewertung: Für die meisten Produkte reicht eine Selbsterklärung; „wichtige“ und „kritische“ Produkte (etwa Firewalls, Passwortmanager, Smartcards) benötigen eine Prüfung durch notifizierte Stellen oder nach harmonisierten Normen.
Bedeutung für Unternehmen
Der CRA trifft weit mehr Unternehmen als nur klassische Gerätehersteller. Wer Software als Produkt vertreibt, Maschinen mit Steuerungssoftware liefert oder fremde Komponenten unter eigener Marke anbietet, wird zum Hersteller im Sinne der Verordnung. Importeure und Händler haben eigene Prüfpflichten. Die Bußgelder reichen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Aus Angreifersicht ist der CRA überfällig. Laut BSI-Lagebericht 2025 werden täglich im Schnitt 119 neue Schwachstellen veröffentlicht, und laut Mandiant M-Trends 2026 sind ausgenutzte Exploits mit 32 Prozent der häufigste Erstzugriff. Ein großer Teil davon betrifft Produkte, deren Hersteller Sicherheit bisher nicht einpreisen mussten. Für Betreiber bedeutet der CRA mittelfristig bessere Produkte; kurzfristig bleibt die Pflicht, die eigene Lieferkette selbst zu prüfen.
Praxis-Hinweise
- Prüfen Sie, ob Sie Hersteller, Importeur oder Händler im Sinne des CRA sind, und klassifizieren Sie Ihre Produkte nach den Anhängen der Verordnung.
- Etablieren Sie einen Prozess für Coordinated Vulnerability Disclosure mit erreichbarer Kontaktstelle und definierten Reaktionszeiten.
- Lassen Sie Produkte vor Markteinführung und nach wesentlichen Änderungen einem Penetrationstest unterziehen. Der Nachweis „ohne bekannte ausnutzbare Schwachstellen“ lässt sich anders kaum führen.
- Bauen Sie eine SBOM-Pipeline auf, die Komponenten automatisch gegen aktuelle CVE-Einträge abgleicht.
- Als Betreiber: Fordern Sie von Lieferanten CRA-Konformität vertraglich ein und testen Sie kritische Komponenten trotzdem selbst.
Die Darstellung dient der technischen Einordnung und ersetzt keine Rechtsberatung.