Kurzdefinition: Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Er verpflichtet Hersteller, Cybersicherheit von der Konzeption über das Inverkehrbringen bis zur Wartung zu gewährleisten, Schwachstellen zu behandeln und aktiv ausgenutzte Schwachstellen zu melden. Der CRA trat am 10. Dezember 2024 in Kraft und gilt grundsätzlich ab dem 11. Dezember 2027. [N-CRA-1]
Der Normwortlaut
Der CRA (VO (EU) 2024/2847) legt einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und deren Bereitstellung auf dem Unionsmarkt fest. Nach Art. 3 Nummer 1 CRA ist ein „‚Produkt mit digitalen Elementen‘ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“. [N-CRA-3]
Was regelt der Cyber Resilience Act?
Die Cybersicherheit vernetzter Produkte. Der CRA stellt Anforderungen an Produkte mit digitalen Elementen — von der Software über vernetzte Geräte bis zu deren Komponenten. Er zielt darauf, dass solche Produkte bei Inverkehrbringen und über ihre Nutzungsdauer sicher sind und Schwachstellen behandelt werden. [N-CRA-1] [N-CRA-3]
Wen trifft der CRA?
Die Wirtschaftsakteure entlang der Lieferkette, vor allem die Hersteller. Der CRA gilt für Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden — unabhängig davon, ob der Hersteller innerhalb oder außerhalb der EU sitzt. Nicht kommerziell bereitgestellte freie und quelloffene Software ist unter bestimmten Voraussetzungen ausgenommen. [N-CRA-1]
Ab wann gilt der CRA?
Gestaffelt. Der CRA gilt grundsätzlich ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits ab dem 11. September 2026, die Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen ab dem 11. Juni 2026. [N-CRA-1] [N-CRA-14]
Welche Kernpflichten bringt der CRA für Hersteller?
Sicherheit, Schwachstellenbehandlung, Konformität. Hersteller müssen die grundlegenden Cybersicherheitsanforderungen einhalten, Schwachstellen während des Unterstützungszeitraums behandeln, eine EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen sowie aktiv ausgenutzte Schwachstellen melden. [N-CRA-13] [N-CRA-14]
Wie verhält sich der CRA zur DSGVO und zur KI-Verordnung?
Er ergänzt sie. Der CRA gilt unbeschadet der DSGVO; die Cybersicherheitsanforderungen sollen auch den Schutz personenbezogener Daten unterstützen. Für Produkte, die zugleich Hochrisiko-KI-Systeme sind, gelten die CRA-Anforderungen; das Konformitätsbewertungsverfahren richtet sich dabei grundsätzlich nach der KI-Verordnung. [N-CRA-1]
Häufige Fehlannahmen
- „Der CRA betrifft nur klassische IT-Produkte.“ Nein. Erfasst sind Produkte mit digitalen Elementen — Hardware, Software und deren Datenfernverarbeitungslösungen. [N-CRA-3]
- „Nur EU-Hersteller sind betroffen.“ Nein. Der CRA gilt für alle, die Produkte auf dem Unionsmarkt bereitstellen, auch aus Drittstaaten. [N-CRA-1]
- „Der CRA gilt schon vollständig.“ Nein. Er gilt grundsätzlich erst ab dem 11. Dezember 2027; einzelne Pflichten greifen früher. [N-CRA-1]
- „Freie und quelloffene Software ist immer ausgenommen.“ Nicht immer. Nur nicht kommerziell bereitgestellte freie und quelloffene Software ist unter Voraussetzungen ausgenommen. [N-CRA-1]
- „Cybersicherheit muss nur beim Verkauf stimmen.“ Nein. Der CRA verlangt Schwachstellenbehandlung über den Unterstützungszeitraum. [N-CRA-13]
- „Der CRA und die DSGVO schließen sich aus.“ Nein. Der CRA gilt unbeschadet der DSGVO und ergänzt den Datenschutz. [N-CRA-1]
Was die Geschäftsleitung tun sollte
- Produktbetroffenheit klären. Prüfen, ob eigene Produkte als Produkte mit digitalen Elementen erfasst sind.
- Fahrplan aufsetzen. Die gestaffelten Fristen — Meldepflichten ab 2026, volle Geltung ab 2027 — einplanen.
- Schwachstellenprozess etablieren. Behandlung und Meldung von Schwachstellen über den Unterstützungszeitraum organisieren.
- Konformität vorbereiten. EU-Konformitätserklärung, technische Dokumentation und CE-Kennzeichnung aufbauen.
Für die Geschäftsleitung
Der Cyber Resilience Act macht Cybersicherheit zur Produktvoraussetzung: Wer vernetzte Produkte in der EU verkauft, muss sie sicher gestalten, Schwachstellen pflegen und Konformität nachweisen. Für die Leitung zählt der frühe Start — die Meldepflichten greifen bereits ab September 2026, die volle Geltung folgt Ende 2027.
Quellen
- [N-CRA-1] Art. 1 CRA (VO (EU) 2024/2847, Gegenstand) sowie Anwendungs- und Geltungsbestimmungen. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-3] Art. 3 CRA (Begriffsbestimmungen, Nr. 1 Produkt mit digitalen Elementen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-13] Art. 13 CRA (Pflichten der Hersteller). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-14] Art. 14 CRA (Meldepflichten der Hersteller). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
