Der EU Cyber Resilience Act: was Hersteller tun müssen.
Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, macht Cybersicherheit zur Voraussetzung für die CE-Kennzeichnung von Hard- und Software mit Datenverbindung.Diese Seite zeigt, wen die Verordnung betrifft, was sie von Herstellern verlangt und wie die Umsetzung in der Praxis abläuft.
Stand:
Der Cyber Resilience Act wird sicherstellen, dass vernetzte Produkte, die auf den europäischen Markt gebracht werden, von Grund auf sicher sind.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist die EU-Verordnung über Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, also an Hard- und Software mit Datenverbindung, die auf dem EU-Markt bereitgestellt wird. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden Hersteller seit dem 11. September 2026, die übrigen Pflichten gelten ab dem 11. Dezember 2027.
Der amtliche deutsche Kurztitel lautet Cyberresilienz-Verordnung, gebräuchlich ist auch Cyberresilienzgesetz. Alle Begriffe im EU-CRA-Glossar →
Warum regelt die EU die Cybersicherheit von Produkten?
Vor dem Cyber Resilience Act gab es im EU-Recht keine horizontalen Pflichtanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen (Erwägungsgrund 3). Die Verordnung schließt diese Lücke mit einheitlichen Regeln für alle Produkte mit digitalen Elementen, von der Entwicklung bis zum Ende des Unterstützungszeitraums.
Dabei sollten zwei große Probleme angegangen werden, die hohe Kosten für die Nutzer und die Gesellschaft verursachen: ein geringes Maß an Cybersicherheit von Produkten mit digitalen Elementen, das sich in weitverbreiteten Schwachstellen und der unzureichenden und inkohärenten Bereitstellung von Sicherheitsaktualisierungen zu deren Behebung zeigt, sowie ein unzureichendes Verständnis und ein mangelnder Informationszugang der Nutzer.
Globale Auswirkungen
€5,5 Billionen
Geschätzte weltweite jährliche Kosten der Cyberkriminalität im Jahr 2021, zitiert im Kommissionsvorschlag zum Cyber Resilience Act (COM(2022) 454).
Wer muss den Cyber Resilience Act einhalten?
Der EU Cyber Resilience Act gilt für alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen, unabhängig von Unternehmensgröße und Firmensitz. Hersteller tragen die Hauptpflichten (Art. 13 und 14), Einführer und Händler prüfen vor dem Verkauf (Art. 19 und 20).
Die Verantwortungskette
- 1
Hersteller
Entwickeln Produkte oder lassen sie entwickeln und vermarkten sie unter eigenem Namen oder eigener Marke (Art. 3 Nr. 13). Sie tragen Risikobewertung, Schwachstellenbehandlung, Meldungen und Konformitätsbewertung.
- 2
Einführer
Bringen Produkte von Herstellern außerhalb der EU in der EU in Verkehr und prüfen vorher Konformitätsbewertung, Dokumentation und CE-Kennzeichnung (Art. 19).
- 3
Händler
Prüfen CE-Kennzeichnung und Begleitinformationen, bevor sie ein Produkt bereitstellen, und handeln, wenn sie von einer Nichtkonformität erfahren (Art. 20).
Konformitätsbewertung
Konformitätsbewertung
Die Klasse eines Produkts bestimmt das Konformitätsverfahren. Produkte, die nicht in Anhang III oder IV stehen, kann der Hersteller selbst bewerten. Das betrifft die meisten Maschinen, Geräte und Produkte der Gebäudetechnik. Wichtige und kritische Produkte durchlaufen strengere Verfahren nach Art. 32.
Anhang III: wichtige Produkte der Klassen I und IIModul A
Selbstbewertung
Standardklasse (Art. 32 Abs. 1)
Anhang III/IV
Strengere Verfahren
Wichtige und kritische Produkte (Art. 32 Abs. 2 bis 4)
Sind Sie vom CRA betroffen?
Machen Sie diese schnelle Bewertung, um herauszufinden, ob Ihr Produkt CRA-Konformität erfordert
Anforderungen
Was verlangt der Cyber Resilience Act von Herstellern?
Anhang I legt die grundlegenden Anforderungen in zwei Teilen fest: Eigenschaften des Produkts (Teil I) und Behandlung von Schwachstellen (Teil II). Die Artikel 13 und 14 ergänzen die Herstellerpflichten.
Sicher konzipiert und sicher eingestellt
Produkte entstehen auf Basis einer Risikobewertung und kommen ohne bekannte ausnutzbare Schwachstellen und mit sicherer Standardkonfiguration in den Markt (Art. 13 Abs. 2, Anhang I Teil I).
Schwachstellen behandeln
Über den Unterstützungszeitraum, der die erwartete Nutzungsdauer abbildet und in der Regel mindestens fünf Jahre beträgt (Art. 13 Abs. 8), werden Schwachstellen unverzüglich behoben und Sicherheitsupdates kostenlos bereitgestellt.
Frühwarnung binnen 24 Stunden
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gehen innerhalb von 24 Stunden nach Kenntnis an das koordinierende CSIRT und die ENISA, eine ausführlichere Meldung binnen 72 Stunden (Art. 14).
SBOM und technische Dokumentation
Eine Software-Stückliste mit mindestens den obersten Abhängigkeiten (Anhang I Teil II Nr. 1) und die technische Dokumentation nach Anhang VII, aufbewahrt mindestens zehn Jahre (Art. 13 Abs. 13).
Konformitätsbewertung und CE-Kennzeichnung
Vor dem Inverkehrbringen schließt der Hersteller die Konformitätsbewertung nach Art. 32 ab, stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an.
Schutz vor unbefugtem Zugriff
Authentifizierung und Zugangskontrolle schützen das Produkt, Vertraulichkeit und Integrität der Daten sind gesichert (Anhang I Teil I Nr. 2 Buchst. d bis f).
Umsetzung
Wie setzen Hersteller den Cyber Resilience Act um?
Die Umsetzung des EU Cyber Resilience Act läuft je Produkt. Sechs Schritte führen von der Portfolioliste zur CE-Kennzeichnung, und der letzte bleibt über den ganzen Unterstützungszeitraum offen.
- 01
Betroffenheit prüfen
Jedes Produkt mit Datenverbindung erfassen, auch Service-Ports und Begleit-Apps (Art. 2 Abs. 1 EU CRA).
Branchen und Produktfinder - 02
Klasse bestimmen
Die Kernfunktion jedes Produkts mit Anhang III und IV abgleichen (Art. 7 Abs. 1). Die meisten Produkte stehen dort nicht und bleiben in der Standardklasse; die Klasse bestimmt das Konformitätsverfahren.
Klasse nach Produkt - 03
Risiken und Lücken bewerten
Die Cybersicherheitsrisikobewertung durchführen (Art. 13 Abs. 2) und das Produkt gegen Anhang I prüfen.
Kostenloses EU-CRA-Assessment - 04
SBOM, Schwachstellen und Meldeweg aufbauen
Eine Software-Stückliste je Release, eine Strategie zur koordinierten Offenlegung und ein Meldeweg, der die 24-Stunden-Frist hält (Anhang I Teil II, Art. 14).
Meldepflichten nach Art. 14 - 05
Dokumentieren, bewerten, erklären
Technische Dokumentation nach Anhang VII, Konformitätsbewertung nach Art. 32, EU-Konformitätserklärung und CE-Kennzeichnung.
Konformitätsbewertung und CE-Kennzeichnung - 06
Über den Unterstützungszeitraum pflegen
Das Supportende beim Kauf angeben (Art. 13 Abs. 19), Komponenten weiter überwachen und die Dokumentation aktuell halten.
EU-CRA-Compliance-Software
Über ein Portfolio hinweg werden diese Schritte zu wiederkehrender Arbeit je Produkt und Release. Kunnus führt Einstufung, Stücklisten, Schwachstellen, Meldungen und technische Dokumentation an einer Stelle zusammen.
Was EU-CRA-Compliance-Software abdecken mussKMU in der EU können bis zum 11. Dezember 2026 beim EU-Programm SECURE einen Zuschuss von 50 %, höchstens 30.000 €, für ein EU-CRA-Projekt beantragen.
SECURE-FörderungZeitplan
Welche Fristen gelten beim Cyber Resilience Act?
10. Dezember 2024
Inkrafttreten der Verordnung (EU) 2024/2847 (Art. 71 Abs. 1).
11. Juni 2026
Regeln für notifizierende Behörden und notifizierte Stellen (Kapitel IV) anwendbar.
11. September 2026
Meldepflichten nach Art. 14, auch für Produkte, die schon im Markt sind (Art. 69 Abs. 3).
11. Dezember 2027
Volle Anwendung: Jedes Produkt, das in Verkehr gebracht wird, erfüllt alle Anforderungen.
Cyber Resilience Act: aktueller Stand — welche Frist kommt als Nächstes?
Durchsetzung
Welche Bußgelder sieht der Cyber Resilience Act vor?
Verstöße gegen Anhang I oder die Pflichten aus Art. 13 und 14 können bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Für eine Reihe weiterer Pflichten gelten bis zu 10 Mio. € oder 2 % (Abs. 3), für falsche oder irreführende Angaben gegenüber Behörden bis zu 5 Mio. € oder 1 % (Abs. 4). Bußgelder nach dem Cyber Resilience Act im Detail →
Des weltweiten Jahresumsatzes
Je nachdem, welcher Betrag höher ist
Strafen werden auf nationaler Ebene durchgesetzt
EU-Mitgliedstaaten haben die Befugnis, diese Bußgelder bei Nichteinhaltung der Anforderungen des Cyber Resilience Act zu verhängen.
KMU-Erleichterungen
Welche Erleichterungen gibt es für kleinere Hersteller?
Der EU Cyber Resilience Act berücksichtigt explizit die Realität kleinerer Unternehmen. Artikel 3 Nr. 19 und Erwägungsgrund 5 etablieren gezielte Erleichterungen — aber diese gelten nicht gleichermaßen für alle KMU-Kategorien.
Kleinst- & Kleinunternehmen(< 50 Mitarbeitende)
- Bußgeldbefreiung bei verspäteter 24h-Frühwarnung
- Vereinfachtes Format für technische Dokumentation
- Dedizierte Helpdesks zur CRA-Umsetzung
- Bevorzugter Zugang zu Regulatory Sandboxes
- Reduzierte Konformitätsbewertungsgebühren
Mittlere Unternehmen(< 250 Mitarbeitende)
- Reduzierte Konformitätsbewertungsgebühren
- CSIRT-Helpdesk für Meldepflichten
- Unternehmensgröße als mildernder Umstand bei Bußgeldern
Keine Bußgeldbefreiung, kein vereinfachtes Dokumentationsformat, keine dedizierten Helpdesks, kein bevorzugter Sandbox-Zugang.
Wichtig: Diese Maßnahmen reduzieren den verfahrensrechtlichen Aufwand, nicht den Cybersicherheitsstandard selbst. Alle Anforderungen nach Anhang I gelten unabhängig von der Größe.
Ist Ihre Branche betroffen?
Der Cyber Resilience Act erfasst Produkte vom Maschinenbau über IoT bis zu Software und Smart Home. Die Branchenseiten zeigen, in welche Klasse typische Produkte fallen und welche Pflichten am schwersten wiegen.
FAQ
Häufige Fragen
Häufige Fragen zum EU Cyber Resilience Act
Nächste Schritte: vom Wissen zur Umsetzung
Der EU Cyber Resilience Act macht Cybersicherheitsanforderungen zur Voraussetzung für die CE-Kennzeichnung von Produkten mit digitalen Elementen (Art. 30). Er erfasst Hardware mit eingebetteter Software wie Industriesteuerungen, IoT-Geräte und Netzwerkausrüstung, eigenständige Software wie Desktop- und Mobilanwendungen sowie die Datenfernverarbeitung, die ein Produkt für seine Funktionen braucht. Zu den Kernanforderungen gehören eine Risikobewertung in der Entwicklung, sichere Standardkonfigurationen, eine Software-Stückliste, koordinierte Offenlegung von Schwachstellen, kostenlose Sicherheitsupdates über den Unterstützungszeitraum (in der Regel mindestens fünf Jahre bzw. die kürzere erwartete Nutzungsdauer; Art. 13 Abs. 8) und die Meldung aktiv ausgenutzter Schwachstellen an das koordinierende CSIRT und die ENISA innerhalb von 24 Stunden (Art. 14). Produkte fallen in die Standardklasse, in die wichtigen Klassen I oder II (Anhang III) oder in die kritische Klasse (Anhang IV); höhere Klassen verlangen strengere Konformitätsbewertungen. Der EU CRA ist am 10. Dezember 2024 in Kraft getreten, die Meldepflichten gelten seit dem 11. September 2026, die volle Anwendung folgt am 11. Dezember 2027.
Wie bereit ist Ihr Unternehmen für den EU CRA?
Unsere kostenlose Reifegradanalyse zeigt Ihnen in 15 Minuten, wo Ihre Organisation steht und was als Nächstes zu tun ist.
Offizielle Quellen
Regulation (EU) 2024/2847 — Cyber Resilience Act — Amtsblatt der Europäischen Union
ENISA — European Union Agency for Cybersecurity — Zuständig für CRA-Schwachstellenmeldungen
European Commission — CRA Overview — Offizielle CRA-Informationsseite der EU-Kommission
CRA-Updates per E-Mail
Fristen, Guidance und Mythos-Faktenchecks zum EU Cyber Resilience Act, kompakt im Newsletter.
Wo steht Ihr Produkt beim Cyber Resilience Act?
Die kostenlose Reifegradanalyse zeigt, was in Ihrem Portfolio noch fehlt. Kunnus führt danach Einstufung, Stücklisten, Schwachstellen, Meldungen und technische Dokumentation je Produkt.