Cyber Resilience Act (CRA)

Der Cyber Resilience Act (CRA) ist die EU-Verordnung mit verbindlichen Cybersecurity-Mindestanforderungen für Produkte mit digitalen Elementen. Ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen, ab dem 11. Dezember 2027 alle Anforderungen inklusive CE-Kennzeichnung. Der CRA ist die erste EU-Verordnung, die Cybersecurity produkt- und branchenübergreifend zur Marktzugangsvoraussetzung macht.

Für wen gilt der CRA?

Betroffen sind Produkte mit digitalen Elementen — also Hardware und Software mit Datenverbindung. Die Faustregel: Software mit externer Schnittstelle fällt unter den CRA. Die Pflichten treffen in erster Linie Hersteller, aber auch Importeure und Distributoren, die solche Produkte in der EU bereitstellen. Ausgenommen sind Produkte ohne digitale Elemente, sektorspezifisch regulierte Bereiche (z. B. Medizin, Automotive) und Sonderfälle wie Open-Source-Software ohne kommerzielle Absicht.

Die drei kritischen Daten

Welche Pflichten bringt der CRA?

Der CRA verlangt technische und organisatorische Maßnahmen über den gesamten Produktlebenszyklus:

• Security by Design und Security by Default: Sicherheit von der Konzeptphase an mitdenken und Produkte in sicherer Grundkonfiguration ausliefern.
• Cyber-Risikobewertung: Grundlage jeder Maßnahme ist eine dokumentierte Risikoanalyse des Produkts — methodisch leistet das eine TARA.
• Schwachstellenmanagement: Vulnerability Handling über den gesamten Support-Zeitraum, inklusive einer veröffentlichten CVD-Policy (Coordinated Vulnerability Disclosure) mit benanntem Ansprechpartner.
• SBOM: Eine maschinenlesbare Software Bill of Materials aller Softwarekomponenten ist zu erstellen und zu pflegen.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwere Vorfälle sind parallel an ENISA und das nationale CSIRT zu melden.
• Lifecycle-Pflege: Kostenlose Sicherheitsupdates über die erwartete Produktlebensdauer, mindestens aber fünf Jahre; technische Dokumentation ist mindestens zehn Jahre aufzubewahren.

Das Konformitätsbewertungsverfahren richtet sich nach der Risikoklasse: Standardprodukte bewerten sich selbst, wichtige Produkte (Klasse I und II) unterliegen strengeren Anforderungen — teils mit Drittbewertung durch eine benannte Stelle — und kritische Produkte benötigen eine obligatorische Zertifizierung. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.

CRA in der Praxis: Die Frist heißt 2026, nicht 2027

Das häufigste Missverständnis ist der Termin: Die Meldepflichten aus Artikel 14 greifen fünfzehn Monate vor der vollen Anwendbarkeit — und sie erfassen über Artikel 69 Absatz 3 auch Bestandsprodukte, die bereits im Markt sind. Wer erst 2027 startet, hat den kritischen Meilenstein verpasst. Die tragfähige Reihenfolge: zuerst Melde- und Disclosure-Prozesse aufbauen, dann Risikobewertung, SBOM und Security-Engineering in die Entwicklungsprozesse integrieren. Eine strukturierte Roadmap dazu liefert unser 7-Schritte-Leitfaden zum CRA.