CRA (Cyber Resilience Act): Pflichten für Hersteller

Kurzdefinition: Der CRA (Cyber Resilience Act, VO (EU) 2024/2847) ist die EU-Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Er verpflichtet Hersteller zu sicheren Produkteigenschaften, zur Behandlung von Schwachstellen und zur Meldung aktiv ausgenutzter Schwachstellen. [N-CRA-1]

Der Normwortlaut

Art. 1 CRA („Gegenstand“) bestimmt: „Mit dieser Verordnung wird Folgendes festgelegt“ — insbesondere Vorschriften für das Bereitstellen von Produkten mit digitalen Elementen auf dem Markt, grundlegende Cybersicherheitsanforderungen an ihre Konzeption, Entwicklung und Herstellung sowie Pflichten der Wirtschaftsakteure und Vorschriften zur Marktüberwachung. [N-CRA-1]

Was regelt der CRA?

Produktsicherheit über den Lebenszyklus. Der CRA verlangt, dass Produkte mit digitalen Elementen grundlegende Cybersicherheitsanforderungen erfüllen und Schwachstellen über den Unterstützungszeitraum behandelt werden. [N-CRA-1]

Für wen gilt der CRA?

Für Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden. Die meisten Pflichten treffen den Hersteller. [N-CRA-1]

Was sind die Kernpflichten?

Sichere Produkteigenschaften nach Anhang I, Schwachstellenbehandlung, Bereitstellung von Sicherheitsupdates, Konformitätsbewertung und CE-Kennzeichnung sowie Meldung aktiv ausgenutzter Schwachstellen. [N-CRA-1]

Was gilt für wichtige und kritische Produkte?

Strengere Verfahren. Produkte mit Kernfunktionen der Anhänge III und IV unterliegen als wichtige bzw. kritische Produkte strengeren Konformitätsbewertungsverfahren. [N-CRA-1]

Ab wann gilt der CRA?

Gestaffelt. Der CRA gilt schrittweise; einzelne Pflichten (etwa die Schwachstellenmeldung) und die volle Anwendbarkeit treten zu unterschiedlichen Zeitpunkten in Kraft. Der jeweils geltende Anwendungszeitpunkt ist zu beachten. [N-CRA-1]

Häufige Fehlannahmen

„Der CRA betrifft nur Software.“ Nein. Er erfasst Hard- und Softwareprodukte mit digitalen Elementen. [N-CRA-1]
„Nur der Händler ist verantwortlich.“ Nein. Die meisten Pflichten treffen den Hersteller. [N-CRA-1]
„Alle Produkte werden gleich bewertet.“ Nein. Wichtige und kritische Produkte unterliegen strengeren Verfahren. [N-CRA-1]
„Nach dem Verkauf enden die Pflichten.“ Nein. Schwachstellen sind über den Unterstützungszeitraum zu behandeln. [N-CRA-1]
„Der CRA gilt sofort vollständig.“ Nein. Die Anwendbarkeit ist gestaffelt. [N-CRA-1]

Was die Geschäftsleitung tun sollte

Produkte einordnen. Prüfen, ob eigene Produkte unter den CRA fallen.
Anforderungen umsetzen. Sichere Eigenschaften und Schwachstellenbehandlung aufbauen.
Meldewege bauen. Meldung ausgenutzter Schwachstellen vorbereiten.
Fristen beachten. Die gestaffelten Anwendungszeitpunkte einplanen.

Für die Geschäftsleitung

Der CRA macht Cybersicherheit für erfasste Produkte mit digitalen Elementen zur Produktanforderung — von sicheren Eigenschaften über Updates bis zur Meldung ausgenutzter Schwachstellen. Wer Produkte mit digitalen Elementen herstellt, sollte früh Einordnung, Konformitätsweg und Meldeprozesse aufsetzen.