Was ist der EU CRA?
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt.
Mit der Verordnung (EU) 2024/2847 schafft die Europäische Union einen einheitlichen Rechtsrahmen für die Cybersicherheit von Hardware- und Softwareprodukten, die auf dem EU-Markt bereitgestellt werden.
Der CRA verfolgt einen umfassenden Ansatz, der den gesamten Produktlebenszyklus berücksichtigt. Die Anforderungen reichen von der sicheren Produktentwicklung über das Schwachstellenmanagement bis hin zur Bereitstellung von Sicherheitsupdates und sicherheitsrelevanten Informationen während des Unterstützungszeitraums.
Ziel der Verordnung ist es, das Cybersicherheitsniveau digitaler Produkte zu verbessern, Risiken durch Sicherheitslücken zu reduzieren und Verbrauchern sowie Unternehmen eine fundierte Entscheidung bei der Auswahl sicherer Produkte zu ermöglichen.
Der CRA betrifft nicht ausschließlich Unternehmen mit Sitz in der EU. Auch Hersteller aus Drittstaaten müssen die einschlägigen Anforderungen beachten, wenn sie entsprechende Produkte auf dem europäischen Markt bereitstellen.
Cybersicherheit über den gesamten Produktlebenszyklus
Der CRA betrachtet Cybersicherheit nicht als einmalige Anforderung bei der Markteinführung. Vielmehr müssen Hersteller die Sicherheit ihrer Produkte auch nach dem Inverkehrbringen gewährleisten und bekannt gewordene Schwachstellen angemessen behandeln.
Im Mittelpunkt stehen dabei die Grundsätze „Security by Design“ und „Security by Default“. Sicherheitsanforderungen sollen bereits bei der Entwicklung berücksichtigt werden, während Produkte grundsätzlich mit sicheren Standardeinstellungen bereitgestellt werden sollen.
Welche Produkte fallen unter den CRA?
Der CRA gilt grundsätzlich für Produkte mit digitalen Elementen, die im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden.
Erfasst werden insbesondere Hardware- und Softwareprodukte, deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Der Anwendungsbereich beschränkt sich nicht auf Endprodukte. Auch einzelne Hardware- und Softwarekomponenten können unter die Verordnung fallen.
Hardwareprodukte
Vernetzte Geräte wie IoT-Produkte, Netzwerkkomponenten, Smart-Home-Geräte und industrielle Steuerungssysteme können in den Anwendungsbereich des CRA fallen.
Softwareprodukte
Auch zahlreiche Softwareprodukte, darunter Unternehmenssoftware, Anwendungen für Verbraucher und Betriebssysteme, können den Anforderungen des CRA unterliegen.
Entscheidend sind unter anderem die Funktion, der Verwendungszweck und die Art der Bereitstellung.
Digitale Komponenten
Hardware- und Softwarekomponenten, die zur Integration in andere Produkte vorgesehen sind, können ebenfalls erfasst werden, wenn sie eigenständig auf dem EU-Markt bereitgestellt werden.
Betroffene Wirtschaftsakteure
Der CRA legt Pflichten für Hersteller, Einführer und Händler fest. Welche Anforderungen im Einzelnen gelten, hängt von der jeweiligen Rolle innerhalb der Lieferkette ab.
Den Anwendungsbereich richtig bestimmen
Ob ein Produkt unter den CRA fällt, hängt von mehreren Faktoren ab. Dazu gehören insbesondere seine technischen Eigenschaften, der vorgesehene Verwendungszweck, das Vertriebsmodell und das Zusammenspiel mit anderen EU-Rechtsvorschriften.
Bestimmte Produktkategorien, beispielsweise bestimmte Medizinprodukte, sind aufgrund spezieller EU-Regelungen vom Anwendungsbereich ausgenommen. Eine produktbezogene Prüfung ist daher ein wichtiger erster Schritt.
Zentrale Anforderungen des CRA
Der CRA stellt umfassende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Die Pflichten betreffen insbesondere Hersteller und erstrecken sich von der Entwicklung über die Konformitätsbewertung bis zur Sicherheitsunterstützung nach dem Inverkehrbringen.
Für eine wirksame Umsetzung reicht es nicht aus, einzelne technische Sicherheitsmaßnahmen einzuführen. Unternehmen benötigen nachvollziehbare Prozesse für Risikobewertungen, technische Dokumentation, Schwachstellenmanagement und den Nachweis der Konformität.
Sichere Produktentwicklung
- Durchführung einer Cybersicherheitsrisikobewertung
- Berücksichtigung von Cybersicherheit bereits bei der Produktentwicklung
- Bereitstellung sicherer Standardeinstellungen
- Behandlung bekannter, ausnutzbarer Schwachstellen
- Erstellung und Pflege der erforderlichen technischen Dokumentation
Schwachstellenmanagement und Sicherheitsupdates
- Erkennung, Bewertung und Behebung von Schwachstellen
- Erstellung und Pflege einer Software-Stückliste (SBOM)
- Bereitstellung erforderlicher Sicherheitsupdates
- Einrichtung eines Verfahrens zur koordinierten Offenlegung von Schwachstellen
- Festlegung und Kommunikation des Unterstützungszeitraums
Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Die Verordnung sieht jedoch besondere Regelungen vor, insbesondere wenn die erwartete Nutzungsdauer eines Produkts weniger als fünf Jahre beträgt.
Konformitätsbewertung und CE-Kennzeichnung
- Durchführung des anwendbaren Konformitätsbewertungsverfahrens
- Einbeziehung einer notifizierten Stelle, sofern erforderlich
- Erstellung der EU-Konformitätserklärung
- Anbringung der CE-Kennzeichnung gemäß den geltenden Anforderungen
- Aufbewahrung der Dokumentation für die Marktüberwachung
Meldung von Schwachstellen und Sicherheitsvorfällen
Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken, nach den Vorgaben des CRA melden.
- Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung
- Meldung innerhalb von 72 Stunden nach Kenntniserlangung
- Abschlussbericht innerhalb der jeweils geltenden Frist
Die Meldungen erfolgen über die von ENISA betriebene einheitliche Meldeplattform.
Zeitplan zur Anwendung des CRA
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die einzelnen Bestimmungen werden jedoch schrittweise anwendbar.
Besonders relevant sind die seit September 2026 geltenden Meldepflichten sowie die allgemeine Anwendung der wesentlichen Anforderungen ab Dezember 2027.
Inkrafttreten des CRA
Die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ist in Kraft getreten.
Bestimmungen über notifizierte Stellen
Kapitel IV der Verordnung über die Notifizierung von Konformitätsbewertungsstellen ist anwendbar geworden.
Beginn der verpflichtenden Meldungen
Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind für Hersteller anwendbar geworden.
Allgemeiner Geltungsbeginn des CRA
Die wesentlichen Bestimmungen des CRA werden anwendbar. Dazu gehören insbesondere die Cybersicherheitsanforderungen, Konformitätsbewertungsverfahren und Vorgaben zur CE-Kennzeichnung.
Warum Unternehmen frühzeitig handeln sollten
Die seit dem 11. September 2026 geltenden Meldepflichten erfassen auch Produkte, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden.
Hersteller sollten daher geeignete Prozesse für das Schwachstellenmanagement und die Meldung von Sicherheitsvorfällen eingerichtet haben.
Unternehmen, die ab Dezember 2027 betroffene Produkte in der EU in Verkehr bringen möchten, sollten außerdem die notwendigen Konformitätsbewertungen und die technische Dokumentation rechtzeitig vorbereiten.
So bereiten Sie sich auf den CRA vor
Die Umsetzung des CRA umfasst mehrere miteinander verbundene Aufgaben: von der Prüfung des Anwendungsbereichs über die Umsetzung technischer Sicherheitsanforderungen bis hin zur Konformitätsbewertung und fortlaufenden Betreuung der Produkte.
Ein strukturiertes Vorgehen hilft Unternehmen dabei, die relevanten Pflichten zu identifizieren, erforderliche Maßnahmen zu priorisieren und langfristig tragfähige Prozesse zu etablieren.
Anwendungsbereich und Anforderungen klären
Prüfen Sie, welche Ihrer Produkte unter den CRA fallen. Bestimmen Sie die jeweilige Produktklassifizierung, Ihre Rolle als Wirtschaftsakteur und die daraus resultierenden gesetzlichen Anforderungen.
Bestehende Prozesse und Handlungsbedarf prüfen
Analysieren Sie Ihre bisherigen Entwicklungsprozesse, Sicherheitsmaßnahmen, das Schwachstellenmanagement und die technische Dokumentation. Vergleichen Sie den aktuellen Stand mit den Anforderungen des CRA, um mögliche Lücken zu erkennen.
Sicherheitsmaßnahmen und Prozesse umsetzen
Schließen Sie identifizierte Lücken durch geeignete technische und organisatorische Maßnahmen. Dazu gehören die Verbesserung der Produktsicherheit, die Erstellung technischer Dokumentation und Software-Stücklisten sowie Prozesse für Sicherheitsupdates, Schwachstellenbehandlung und Vorfallmeldungen.
Konformität nachweisen und dauerhaft sicherstellen
Führen Sie die erforderlichen Konformitätsbewertungsverfahren durch, erstellen Sie die EU-Konformitätserklärung und erfüllen Sie die Vorgaben zur CE-Kennzeichnung. Stellen Sie anschließend sicher, dass Schwachstellen auch nach dem Inverkehrbringen behandelt und erforderliche Sicherheitsupdates bereitgestellt werden.
Häufig gestellte Fragen
Gilt der CRA auch für Unternehmen außerhalb der EU?
Ja. Der CRA kann auch Hersteller mit Sitz außerhalb der Europäischen Union betreffen, wenn sie Produkte im Anwendungsbereich der Verordnung auf dem EU-Markt bereitstellen. Welche Pflichten gelten, hängt vom jeweiligen Produkt und der Rolle des Unternehmens innerhalb der Lieferkette ab.
Fallen auch Softwareprodukte unter den CRA?
Ja. Der CRA erfasst sowohl Hardware als auch Softwareprodukte mit digitalen Elementen. Ob ein bestimmtes Softwareprodukt betroffen ist, hängt unter anderem von seiner Funktion, seinem Verwendungszweck und der Art der Bereitstellung auf dem Markt ab.
Ab wann müssen Unternehmen die Anforderungen erfüllen?
Die meisten Anforderungen des CRA gelten ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten jedoch bereits seit dem 11. September 2026.
Wie sollten Unternehmen mit der CRA-Umsetzung beginnen?
Zunächst sollte geprüft werden, welche Produkte in den Anwendungsbereich des CRA fallen und welche Anforderungen für das jeweilige Unternehmen gelten.
Anschließend empfiehlt es sich, die bestehenden Entwicklungs- und Sicherheitsprozesse zu bewerten, mögliche Lücken zu identifizieren und die erforderlichen Maßnahmen nach ihrer Dringlichkeit zu priorisieren.
Ist nach dem CRA eine CE-Kennzeichnung erforderlich?
Ja. Für Produkte, die unter den CRA fallen, ist grundsätzlich eine Konformitätsbewertung nach dem jeweils anwendbaren Verfahren erforderlich, bevor die CE-Kennzeichnung angebracht wird.
Welche Bewertungsverfahren zulässig oder erforderlich sind, hängt unter anderem von der Produktklassifizierung ab. In bestimmten Fällen muss eine notifizierte Stelle einbezogen werden.
Verlangt der CRA die Erstellung einer Software-Stückliste (SBOM)?
Ja. Hersteller müssen die in ihren Produkten enthaltenen Komponenten identifizieren und dokumentieren. Dazu gehört die Erstellung und Pflege einer Software-Stückliste (Software Bill of Materials, SBOM), die mindestens die obersten Abhängigkeitsebenen erfasst.
Eine generelle Pflicht, die vollständige SBOM öffentlich zugänglich zu machen, besteht jedoch nicht. Die Informationen müssen entsprechend den geltenden Dokumentations- und Offenlegungspflichten verwaltet werden.
Cyber Resilience Act – Gesetzestext
Für ein umfassendes Verständnis der gesetzlichen Anforderungen und Pflichten ist es wichtig, die einzelnen Bestimmungen der Verordnung (EU) 2024/2847 zu kennen.
Enobyte stellt den Text des Cyber Resilience Act in deutscher Sprache bereit. Über das Inhaltsverzeichnis können Sie die einzelnen Artikel gezielt aufrufen und die relevanten Vorschriften nachlesen.
Cyber Resilience Act (CRA) – Verordnung (EU) 2024/2847
Lesen Sie den vollständigen Verordnungstext in deutscher Sprache. Das übersichtliche Inhaltsverzeichnis ermöglicht den direkten Zugriff auf die einzelnen Artikel.
CRA-Verordnung im Wortlaut lesen →Fragen zur Umsetzung des CRA?
Die Vorbereitung auf den Cyber Resilience Act erfordert eine sorgfältige Prüfung der betroffenen Produkte, der bestehenden Cybersicherheitsmaßnahmen und der einschlägigen gesetzlichen Anforderungen.
Enobyte steht Unternehmen bei Fragen zu europäischen Cybersicherheitsvorschriften als Ansprechpartner zur Verfügung. Dies umfasst insbesondere Fragen zum Anwendungsbereich des CRA, zu regulatorischen Pflichten und zu praktischen Umsetzungsmöglichkeiten.
Wenn Sie klären möchten, welche Auswirkungen der CRA auf Ihre Produkte oder Geschäftsprozesse haben kann, können Sie sich gerne an uns wenden.
Diese Seite bietet einen allgemeinen Überblick über den Cyber Resilience Act. Sie stellt keine individuelle rechtliche oder regulatorische Bewertung dar. Die konkreten Pflichten müssen anhand der jeweiligen Produkteigenschaften und des Geschäftsmodells geprüft werden.