Cyber Resilience Act einfach erklärt: Pflichten, Fristen & CE-Kennzeichnung

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847, offiziell „Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen") ist die erste EU-weite Regulierung, die verbindliche Cybersicherheitsanforderungen für nahezu alle vernetzten Hardware- und Softwareprodukte festlegt. Bislang gab es für die meisten vernetzten Produkte – von der IoT-Kamera bis zur Industriesteuerung – keine verbindliche EU-weite Pflicht, Schwachstellen zu beheben oder Sicherheitsupdates bereitzustellen; der CRA schließt diese Lücke. Während NIS2 Organisationen in die Pflicht nimmt, adressiert der CRA das Produkt selbst – von der intelligenten Steckdose über die Industriesteuerung bis zur Business-Software. Diese Seite erklärt, wer betroffen ist, welche Fristen gelten und wie sich der CRA zur NIS2-Richtlinie verhält.

Was ist der Cyber Resilience Act?

Der CRA wurde am 23. Oktober 2024 vom EU-Parlament und Rat verabschiedet, am 20. November 2024 im Amtsblatt der EU veröffentlicht und trat am 10. Dezember 2024 in Kraft. Anders als die NIS2-Richtlinie ist der CRA eine Verordnung und gilt daher unmittelbar in allen EU-Mitgliedstaaten – ohne nationales Umsetzungsgesetz. Der CRA folgt einem gestaffelten Zeitplan: Erste Pflichten (Benennung von Konformitätsbewertungsstellen) greifen ab 11. Juni 2026, die Meldepflichten für Schwachstellen und Vorfälle ab 11. September 2026, und die vollständige Anwendung aller Anforderungen – inklusive CE-Kennzeichnung – ab 11. Dezember 2027.

Wer ist vom Cyber Resilience Act betroffen?

Der CRA gilt für alle Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen" (PDE), die auf dem EU-Markt bereitgestellt werden – unabhängig vom Sitz des Herstellers. Ein Produkt mit digitalen Elementen ist jedes Hard- oder Softwareprodukt, dessen bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk einschließt. Das reicht von Consumer-IoT (smarte Lautsprecher, Kameras, Wearables) über Standardsoftware und Betriebssysteme bis zu industriellen Steuerungssystemen. Auch reine Softwareprodukte – etwa Firewalls, Passwort-Manager oder VPN-Clients – fallen darunter.

Ausgenommen sind Produktkategorien, die bereits durch eigene EU-Regelwerke mit vergleichbar strengen Cybersicherheitsanforderungen abgedeckt sind: Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746), Kraftfahrzeuge im Rahmen der Typgenehmigung (Verordnung (EU) 2019/2144), zivile Luftfahrtprodukte (Verordnung (EU) 2018/1139) sowie Schiffsausrüstung (Richtlinie 2014/90/EU). Wichtig: Diese Ausnahme gilt nur für die typgenehmigten Kernkomponenten – ein nachgerüsteter OBD-Dongle oder eine Diagnose-App für ein Fahrzeug unterliegt trotzdem dem CRA.

Eine weitere wichtige Ausnahme betrifft nicht-kommerzielle Open-Source-Software: Wird ein Open-Source-Projekt ohne kommerzielle Aktivität entwickelt und bereitgestellt (keine bezahlte Support-Leistung, keine Premium-Version, kein Unternehmen dahinter), fällt es nicht unter den CRA. Sogenannte „Open-Source-Stewards" – meist Stiftungen, die Infrastruktur für Open-Source-Projekte bereitstellen – unterliegen einem abgeschwächten Pflichtenkatalog und sind von Bußgeldern ausgenommen, müssen aber dennoch angemessene Cybersicherheits-Sorgfaltspflichten erfüllen.

Risikoklassen und CE-Kennzeichnung

Nicht jedes Produkt wird gleich streng geprüft: Der CRA staffelt die Prüftiefe nach dem Risiko, das von einem Produkt ausgeht, und unterscheidet dabei drei Risikoklassen mit unterschiedlich strengen Konformitätsbewertungsverfahren:

Klasse	Beispielprodukte	Bewertungsverfahren
Standard (Default)	z. B. Textverarbeitung, Smart-Home-Lautsprecher ohne sicherheitskritische Funktion	Selbstbewertung durch den Hersteller
Wichtig – Klasse I (Anhang III)	Passwort-Manager, Antivirensoftware, VPN-Clients, Heimrouter	Harmonisierte Normen oder externe Konformitätsbewertung
Wichtig – Klasse II (Anhang III)	Industrielle Firewalls, Intrusion-Detection-Systeme, Smartcard-Lesegeräte	Verpflichtend externe Konformitätsbewertungsstelle
Kritisch (Anhang IV)	z. B. Hardware-Sicherheitsmodule, Smart-Meter-Gateways	Verpflichtende Zertifizierung nach EU-Schema

Nach erfolgreicher Konformitätsbewertung erhält das Produkt die CE-Kennzeichnung – zusätzlich zu ggf. bereits bestehenden CE-Anforderungen aus anderen Richtlinien und Verordnungen, etwa der Funkanlagenrichtlinie oder der Maschinenverordnung. Für Hersteller bedeutet das in der Praxis: Die Einstufung sollte so früh wie möglich im Produktentwicklungsprozess erfolgen, da sie über den nötigen Prüfaufwand und die Wahl der Konformitätsbewertungsstelle entscheidet.

Kernpflichten für Hersteller

Anhang I des CRA definiert „wesentliche Anforderungen", die sich grob in zwei Gruppen einteilen lassen:

• Produkteigenschaften (Security-by-Design & -Default): keine bekannten ausnutzbaren Schwachstellen bei Markteinführung, sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Minimierung der Angriffsfläche, Protokollierung sicherheitsrelevanter Ereignisse.
• Schwachstellenmanagement-Prozesse: eine Software Bill of Materials (SBOM) in maschinenlesbarem Format, ein dokumentierter Prozess zur Identifikation und Behebung von Schwachstellen, eine Politik zur koordinierten Schwachstellenveröffentlichung (Coordinated Vulnerability Disclosure), eine öffentliche Kontaktadresse für Sicherheitsmeldungen sowie Sicherheitsupdates über einen definierten Unterstützungszeitraum – in der Regel mindestens 5 Jahre, orientiert an der erwarteten Nutzungsdauer des Produkts.

Für Unternehmen, die bereits NIS2-Risikomanagementprozesse aufgebaut haben, überschneidet sich vor allem die Anforderung an ein dokumentiertes Schwachstellen- und Patch-Management mit Art. 21 Abs. 2 lit. e NIS2 – unser IT-Sicherheitsrichtlinien Kit → bietet dafür eine Vorlagenbasis, ersetzt aber keine CRA-spezifische SBOM- und Konformitätsdokumentation.

Meldepflichten ab 11. September 2026

Für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gilt ab dem 11. September 2026 ein dreistufiges Meldemodell an ENISA (über die „Single Reporting Platform") und die zuständige nationale CSIRT:

• Frühwarnung binnen 24 Stunden: erste Meldung ab Kenntnisnahme, mit vorläufigen Informationen zu betroffenem Produkt und Art der Schwachstelle.
• Meldung binnen 72 Stunden: aktualisierte Bewertung mit detaillierteren technischen Informationen und erster Folgenabschätzung.
• Abschlussbericht: bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme, bei schwerwiegenden Vorfällen spätestens 1 Monat nach der Frühwarnung.

Diese Fristen ähneln dem 24-72-1-Monats-Modell aus Art. 23 NIS2 – laufen aber an eine andere Behörde (ENISA statt nationale CSIRT) und betreffen das Produkt statt die Organisation. Details zum Zusammenspiel beider Meldewege in unserem Artikel Cyber Resilience Act ab September 2026: Was Hersteller zusätzlich zu NIS2 beachten müssen.

Sanktionen bei Verstößen

Art. 64 CRA sieht ein dreistufiges Bußgeldmodell vor:

• Verstöße gegen die wesentlichen Anforderungen (Anhang I) oder die Herstellerpflichten nach Art. 13/14: bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
• Verstöße gegen sonstige Pflichten von Wirtschaftsakteuren (z. B. Importeure, Händler) oder die EU-Konformitätserklärung: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
• Falsche, unvollständige oder irreführende Angaben gegenüber der Marktüberwachungsbehörde: bis zu 5 Mio. € oder 1 % des weltweiten Jahresumsatzes.

In Deutschland ist das BSI als Marktüberwachungs- und notifizierende Behörde für die CRA-Aufsicht zuständig und kann bei Verstößen Produkte vom Markt nehmen oder Rückrufe anordnen.

Unterstützung für kleine und mittlere Hersteller

Gerade kleinere Hersteller unterschätzen häufig den Aufwand für SBOM-Erstellung und Konformitätsbewertung. ENISA hat daher gezielt Unterstützungsangebote für KMU aufgebaut, u. a. ein „SME Cyber Resilience Maturity Assessment Model" zur Selbsteinschätzung des eigenen Reifegrads sowie praxisnahe Leitfäden zur Umsetzung der Anhang-I-Anforderungen. Umfragen von ENISA zeigen, dass ein erheblicher Teil der europäischen KMU noch am Anfang der CRA-Vorbereitung steht – wer frühzeitig beginnt, vermeidet Zeitdruck kurz vor dem 11. September 2026.

Verhältnis zu NIS2

Praktische nächste Schritte

1. Prüfen, ob Ihre Produkte unter die CRA-Definition „Produkt mit digitalen Elementen" fallen und welcher Risikoklasse sie zuzuordnen sind.
2. Bestehende Entwicklungs- und Patch-Prozesse gegen die Anhang-I-Anforderungen abgleichen (Gap-Analyse).
3. SBOM-Erstellung und Coordinated-Vulnerability-Disclosure-Prozess aufbauen, sofern noch nicht vorhanden.
4. Meldeprozesse für den 11. September 2026 vorbereiten und mit bestehenden NIS2-Meldeprozessen abgleichen, um Doppelarbeit zu vermeiden.
5. Bei paralleler NIS2-Pflicht: kostenlosen NIS2-Check nutzen, um beide Pflichtenkataloge gemeinsam zu planen.

Häufig gestellte Fragen zum Cyber Resilience Act