iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Der Cyber Resilience Act (CRA) führt EU-weit verbindliche Cybersicherheitsanforderungen für viele Produkte mit digitalen Elementen ein. Für Unternehmen sind vor allem zwei Dinge entscheidend: Die Meldepflichten für bestimmte Schwachstellen und Sicherheitsvorfälle beginnen früher als die meisten übrigen Anforderungen, und die Europäische Kommission hat inzwischen praktische, aber unverbindliche Anwendungshinweise veröffentlicht.
Der Titel verweist auf einen Workshop von secIT digital. Die folgenden Informationen erklären die gesetzlichen Vorgaben und die offiziellen EU-Leitlinien; sie schreiben dem Workshop keine konkreten Inhalte oder Empfehlungen zu.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Er legt Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest, die auf dem EU-Markt bereitgestellt werden. Dazu können Hardware und Software gehören, auch wenn eine Komponente separat vermarktet wird. Die Verordnung ist seit dem 10. Dezember 2024 in Kraft; ihre Pflichten werden jedoch stufenweise anwendbar.
Do these 3 things before closing this tab:
1Repair Windows errors before they cause bigger problems2Scan for outdated or missing drivers - takes under a minute3Clear out junk files and repair common Windows errorsDer CRA soll Sicherheit nicht auf eine einmalige Prüfung vor dem Verkauf reduzieren. Hersteller müssen Risiken über den Produktlebenszyklus hinweg berücksichtigen – von Planung, Entwicklung und Produktion bis zu Bereitstellung und Wartung. Welche Anforderungen im Einzelfall gelten, hängt unter anderem von Produkt, Rolle des Unternehmens und einschlägigen EU-Regeln ab.
#1 Best Overall
Für welche Produkte und Unternehmen gilt der CRA?
Produkte mit digitalen Elementen
Der Anwendungsbereich umfasst Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Dazu zählen eigenständige Software und Hardware sowie separat angebotene digitale Komponenten. Nicht jedes Produkt fällt automatisch darunter: Die Verordnung enthält Ausnahmen, und bestimmte Produkte können stattdessen oder zusätzlich unter andere EU-Rechtsvorschriften fallen. Die Kommission behandelt in ihren Anwendungshinweisen auch Fragen zu Fernverarbeitung von Daten und zum Status freier und quelloffener Software.
Unternehmen sollten deshalb nicht allein anhand der Bezeichnung eines Produkts entscheiden, ob der CRA greift. Relevant ist, was das Produkt leistet, wie es auf den Markt gebracht wird und ob andere Vorschriften einschlägig sind. Für eine belastbare Einordnung kann eine produktbezogene rechtliche Prüfung erforderlich sein.
Die Rolle im Markt ist entscheidend
Der CRA unterscheidet unter anderem zwischen Herstellern, Importeuren, Händlern und Open-Source-Software-Stewards. Die Pflichten unterscheiden sich je nach Rolle. Hersteller tragen die im CRA beschriebenen Pflichten für Produktgestaltung, Risikomanagement, Dokumentation, Konformität und den Umgang mit Schwachstellen. Wer Produkte importiert oder vertreibt, sollte daher zunächst klären, welche rechtliche Rolle das eigene Unternehmen für das jeweilige Produkt tatsächlich übernimmt.
The Tool Desk
Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Freie und quelloffene Software
Open-Source-Software ist nicht pauschal vom CRA ausgenommen und auch nicht automatisch in jeder Bereitstellung gleich zu behandeln. Entscheidend sind unter anderem die Bereitstellung auf dem Markt und die Rolle des Beteiligten. Ein Hersteller, der ein Produkt mit digitalen Elementen auf den Markt bringt, das freie und quelloffene Software ist, unterliegt den Herstellerpflichten. Für Open-Source-Software-Stewards sieht der CRA eigene Pflichten vor; ihre Meldepflichten gelten ab dem 11. Dezember 2027.
Welche CRA-Fristen gelten?
Die Verordnung ist bereits in Kraft, doch verschiedene Vorschriften beginnen zu unterschiedlichen Zeitpunkten. Die Europäische Kommission nennt folgenden Zeitplan:
| Datum | Bedeutung |
|---|---|
| 10. Dezember 2024 | Der CRA tritt in Kraft. |
| 11. Juni 2026 | Die Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen gelten. |
| 27. Juli 2026 | Die Kommission veröffentlicht praktische, nicht verbindliche Anwendungshinweise zum CRA. |
| 11. September 2026 | Die Meldepflichten für Hersteller gelten; die CRA Single Reporting Platform ist betriebsbereit. |
| 11. Dezember 2027 | Die wesentlichen CRA-Anforderungen gelten. Produkte, die früher auf den Markt gebracht wurden, fallen ab diesem Datum unter den CRA, wenn sie wesentlich verändert werden. Die Meldepflichten erfassen laut Kommissionsübersicht auch bereits auf dem Markt befindliche Produkte. |
Stand dieses Artikels ist der 9. Oktober 2026. Die Meldepflichten beginnen somit in wenigen Tagen; die meisten übrigen Anforderungen folgen 2027. Der Zeitplan für weitere Umsetzungsmaßnahmen kann sich ändern. Maßgeblich ist die jeweils aktuelle Übersicht der Kommission sowie der Verordnungstext.
Rank #4
Was müssen Hersteller für die Umsetzung vorbereiten?
Die Anforderungen sind keine Einheits-Checkliste für jedes Produkt. Eine praktikable Reihenfolge für die Vorbereitung ist:
Free tools Windows power users keep installed
One-click scans. No signup required.
- Produkt und Rolle einordnen: Prüfen, ob das Produkt mit digitalen Elementen in den Anwendungsbereich fällt, ob Ausnahmen oder andere EU-Regeln relevant sind und ob das Unternehmen als Hersteller, Importeur, Händler oder Open-Source-Software-Steward handelt.
- Cybersicherheitsrisiken bewerten: Eine Risikobewertung erstellen und aufbewahren. Sie soll die Umsetzung der wesentlichen Sicherheitsanforderungen über den Produktlebenszyklus hinweg leiten.
- Entwicklung und Komponenten einbeziehen: Sicherheitsrisiken bei Planung, Design, Entwicklung, Produktion, Lieferung und Wartung behandeln. Dazu gehört auch, Drittanbieterkomponenten und den Umgang mit Schwachstellen in die Abläufe einzubeziehen.
- Supportzeitraum festlegen: Einen Supportzeitraum bestimmen und Verfahren vorsehen, mit denen Schwachstellen während dieses Zeitraums bearbeitet werden. Die erforderlichen Nutzerinformationen müssen unter anderem das Ende des Supportzeitraums nennen.
- Konformität und Unterlagen vorbereiten: Technische Dokumentation erstellen und den zutreffenden Konformitätsbewertungsweg bestimmen. Für bestimmte wichtige oder kritische Produktkategorien können Anforderungen an eine Bewertung durch Dritte gelten.
- Produktinformationen und Kennzeichnung erledigen: Die erforderlichen Nutzerinformationen bereitstellen und, soweit anwendbar, die Konformitätserklärung und CE-Kennzeichnung abschließen.
- Meldungen organisatorisch absichern: Eingänge zu Schwachstellen und Vorfällen erfassen, bewerten und intern eskalieren können. Zuständigkeiten und Prozesse müssen schnelle Meldungen innerhalb der CRA-Fristen ermöglichen.
Die konkrete Konformitätsbewertung hängt von der Produktkategorie und dem einschlägigen Verfahren ab. Eine allgemeine Checkliste ersetzt daher keine produkt- und rollenbezogene Prüfung.
Best Value
Was müssen Hersteller melden und bis wann?
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, sofern sie die Sicherheit des Produkts betreffen. Die Meldung erfolgt einmal über die CRA Single Reporting Platform und wird an das CSIRT des Mitgliedstaats geleitet, in dem der Hersteller seine Hauptniederlassung hat. Die Informationen werden vorbehaltlich der in der Kommissionsdarstellung genannten Ausnahmen auch der ENISA bereitgestellt.
- Frühwarnung: innerhalb von 24 Stunden.
- Hauptmeldung: innerhalb von 72 Stunden.
- Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.
- Abschlussbericht zu einem schwerwiegenden Sicherheitsvorfall: innerhalb eines Monats nach Einreichung der 72-Stunden-Meldung.
Da die Meldepflichten vor den meisten übrigen CRA-Anforderungen beginnen, sollten Hersteller ihre Erkennung, Zuständigkeiten, Eskalationswege und Meldedaten rechtzeitig darauf ausrichten. Die Fristen beziehen sich auf unterschiedliche Meldeschritte; ein einziger später Bericht erfüllt sie nicht automatisch.
Wie helfen die EU-Leitlinien bei der Anwendung?
Die Kommission veröffentlichte am 27. Juli 2026 praktische, nicht verbindliche Leitlinien. Sie behandeln unter anderem den Anwendungsbereich, wesentliche Änderungen, Supportzeiträume, Meldepflichten und Risikobewertungen. Die Veröffentlichung umfasst 67 praktische Beispiele sowie Anwendungsfälle, Flussdiagramme und Grafiken.
Die Leitlinien sollen schwierige Anwendungsfragen verständlicher machen, ändern aber nicht den verbindlichen Verordnungstext. Sie sind besonders hilfreich, um eine erste Einordnung zu strukturieren und konkrete Prüffragen für ein Produkt zu entwickeln. Bei Unsicherheit bleibt der CRA selbst maßgeblich; die Kommissionsmaterialien sind als Auslegungshilfe zu verstehen, nicht als Ersatz für eine Rechtsprüfung.
Was sollten kleinere Unternehmen zuerst tun?
Die Kommission hebt die Unterstützung von Kleinstunternehmen und KMU ausdrücklich hervor. Dazu können Schulungen, Sensibilisierung, Informationen, Tests, Konformitätsbewertung durch Dritte und regulatorische Sandboxes gehören, die Mitgliedstaaten entwickeln können. Die Leitlinien vom Juli 2026 richten sich ebenfalls besonders an kleinere Organisationen.
Quick Recap
- Erstellen Sie ein Inventar der Produkte mit digitalen Elementen, die Ihr Unternehmen auf dem EU-Markt bereitstellt.
- Ordnen Sie für jedes Produkt die Rolle Ihres Unternehmens und mögliche Ausnahmen oder andere einschlägige EU-Regeln ein.
- Beginnen Sie mit den kurzfristig relevanten Meldeprozessen und legen Sie Verantwortliche für Eingang, Bewertung und Eskalation fest.
- Nutzen Sie die Kommissionsleitlinien, um offene Fragen zu Risikobewertung, Supportzeitraum und Konformitätsbewertung gezielt zu bearbeiten.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
