Cybersicherheit bei Produkten

Cyber Resilience Act: Neue Pflichten für Hersteller


Vernetzte Produkte und Software müssen künftig verbindliche Cybersicherheitsanforderungen erfüllen. Der Cyber Resilience Act betrifft damit viele Hersteller, Importeure und Händler von Produkten mit digitalen Elementen.
Der Cyber Resilience Act (CRA) schafft erstmals europaweit einheitliche Cybersicherheitsanforderungen für Hard- und Softwareprodukte. Er gilt grundsätzlich für sogenannte Produkte mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Dazu können sowohl fertige Produkte als auch separat angebotene Komponenten gehören.
Gerade für Industrieunternehmen ist der CRA deshalb relevant: Auch vernetzte Maschinen, Steuerungen, Software oder digitale Komponenten können in seinen Anwendungsbereich fallen.

Welche Produkte sind betroffen?

Der Begriff „Produkt mit digitalen Elementen“ ist weit gefasst. Dazu können beispielsweise gehören:
  • vernetzte Maschinen und Anlagen,
  • Steuerungen und elektronische Komponenten,
  • IoT-Geräte und Sensoren,
  • Software und Apps,
  • Betriebssysteme,
  • Netzwerkkomponenten,
  • vernetzte Spielzeuge
  • separat vertriebene digitale Komponenten.
Entscheidend ist, ob Hard- oder Software auf dem EU-Markt bereitgestellt wird und eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk vorgesehen ist. Nicht jedes Produkt fällt allerdings automatisch unter den CRA. Für einige Produktgruppen (z. B. Medizinprodukte, Kfz und Fahrzeugsysteme) gelten spezielle europäische Vorschriften, die ganz oder teilweise Vorrang haben können.

Wer muss die Anforderungen erfüllen?

Die umfangreichsten Pflichten treffen die Hersteller. Daneben enthält der CRA auch Anforderungen für Importeure und Händler.
Hersteller müssen insbesondere sicherstellen, dass Cybersicherheit bereits bei der Planung, Entwicklung und Herstellung berücksichtigt wird und Schwachstellen auch nach dem Verkauf behandelt werden.
Für Unternehmen ist daher wichtig, zunächst die eigene Rolle zu bestimmen:
  • Entwickeln oder produzieren wir das Produkt selbst?
    Dann sind wir in der Regel Hersteller.
  • Importieren wir ein Produkt aus einem Drittstaat in die EU?
    Dann können Importeurspflichten hinzukommen.
  • Vertreiben wir Produkte anderer Hersteller?
    Dann müssen auch Händler bestimmte Anforderungen beachten.

Was müssen Hersteller künftig beachten?

Der CRA verfolgt den Grundsatz „Security by Design“: Cybersicherheit soll nicht erst nach einem Sicherheitsvorfall ergänzt werden, sondern von Beginn an Bestandteil eines Produkts sein. Zu den Anforderungen gehören unter anderem:
  • Produkte müssen mit einem angemessenen Cybersicherheitsniveau entwickelt werden,
  • bekannte ausnutzbare Schwachstellen sollen bei der Markteinführung vermieden werden,
  • Zugänge und Daten müssen angemessen geschützt werden,
  • Sicherheitsupdates müssen über den gesamten Supportzeitraum bereitgestellt werden können,
  • Schwachstellen müssen während des vorgesehenen Unterstützungszeitraums behandelt werden,
  • Schwachstellen, Softwarekomponenten etc. müssen dokumentiert werden,
  • Nutzer müssen Informationen zur sicheren Installation und Verwendung erhalten.
Hersteller müssen außerdem dokumentieren, wie sie die Anforderungen erfüllen, und ein Konformitätsbewertungsverfahren durchführen. Anschließend kann das Produkt mit der CE-Kennzeichnung versehen und eine EU-Konformitätserklärung erstellt werden. Bei bestimmten besonders sicherheitsrelevanten Produkten können strengere Konformitätsbewertungsverfahren erforderlich sein.

Produktklassen

Der CRA unterscheidet vier Produktklassen:
Produktklasse Beispiele Konformitätsbewertung
Standardprodukte Smartphones, Tablets, Spielekonsolen, Fotobearbeitungssoftware durch den Hersteller selbst
wichtige Produkte Klasse 1 Smart-Home-Produkte, Passwortmanager, Virenscanner, Betriebssysteme, Router
harmonisierte Norm liegt vor und vollständige Anwendung: durch den Hersteller selbst
keine harmonisierte Norm: durch eine dritte Stelle (unabhängige Prüforganisation, die offiziell zugelassen ist)
wichtige Produkte Klasse 2 Firewalls, IIoT-Produkte, Betriebssysteme, ACS durch eine dritte Stelle
kritische Produkte Secure Elements, bestimmte Hardware-Sicherheitskomponenten, Smart-Meter-Gateways, Hardware-Geräte mit Sicherheitsboxen durch eine dritte Stelle (sehr strenge Prüfung)
Die Einteilung eines Produktes in die jeweilige Klasse ist relevant für die unterschiedlich strengen Anforderung einer zu erstellenden Konformitätsbewertung.

WICHTIG: Erste Meldepflichten gelten schon 2026

Die vollständigen Anforderungen des Cyber Resilience Acts gelten erst ab 11. Dezember 2027. Ein Teil der Verordnung wird jedoch bereits vorher wirksam.
Besonders wichtig für Hersteller: Ab 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle gemeldet werden.
Dabei gelten kurze Fristen:
Frist Meldung
innerhalb von 24 Stunden erste Frühwarnung
innerhalb von 72 Stunden vollständige Meldung
14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme Abschlussbericht nach den jeweiligen CRA-Vorgaben
Die Meldungen erfolgen über eine zentrale CRA-Meldeplattform bei der europäischen IT-Sicherheitsbehörde ENISA (European Network and Information Security Agency).
Besonders relevant: Diese Meldepflichten können auch Produkte betreffen, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden.

Was sollten Unternehmen jetzt tun?

Auch wenn die meisten Anforderungen erst Ende 2027 gelten, sollten Hersteller nicht bis dahin warten.
Für einen ersten CRA-Check helfen folgende Fragen:
  • Welche unserer Produkte enthalten Software oder digitale Komponenten?
  • Welche Produkte sind mit Netzwerken oder anderen Geräten verbunden?
  • Sind wir Hersteller, Importeur oder Händler?
  • Wie berücksichtigen wir Cybersicherheit bereits in der Produktentwicklung?
  • Wie erfassen und bewerten wir Schwachstellen?
  • Wie stellen wir Sicherheitsupdates bereit?
  • Wer ist für Meldungen von Schwachstellen und Sicherheitsvorfällen verantwortlich?
  • Wie lange unterstützen wir unsere Produkte mit Sicherheitsupdates?
Gerade Produktentwicklung, Dokumentation und das Schwachstellenmanagement benötigen häufig Vorlauf.

Die wichtigsten Termine

Zeitpunkt Was gilt?
10. Dezember 2024 Cyber Resilience Act ist in Kraft getreten
11. Juni 2026 erste Vorschriften zu Konformitätsbewertungsstellen
11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle
11. Dezember 2027 vollständige Anwendung des Cyber Resilience Acts

Leitlinien zum Cyber Resilience Act

Die EU-Kommission hat am 27. Juli 2026 Leitlinien zur Konkretisierung der Umsetzung des CRA veröffentlicht. Die Leitlinien sind für die Unternehmen nicht bindend. Sie sollen den Unternehmen Orientierung geben, um sich auf die neuen Anforderungen vorzubereiten. Darüber hinaus enthalten die Leitlinien praktische Beispiele und zahleiche Anwendungsfälle. Die Leitlinien unterstützen bei der Definition von Begriffen und Meldepflichten im CRA. Ein besonderer Schwerpunkt liegt auf der Unterstützung von KMU.

CRA und NIS2: Wo liegt der Unterschied?

Beide Regelwerke beschäftigen sich mit Cybersicherheit, setzen aber an unterschiedlichen Stellen an:
  • NIS2 betrifft vor allem die Cybersicherheit der Organisation bestimmter Unternehmen und Einrichtungen.
  • Der Cyber Resilience Act betrifft dagegen vor allem die Cybersicherheit von Produkten.
Ein Unternehmen kann daher durchaus von beiden Regelungen betroffen sein – beispielsweise ein Maschinenbauer, der selbst unter NIS2 fällt und gleichzeitig vernetzte Produkte herstellt.
Für Unternehmen bietet die DIHK kostenfreie Webinare zum Cyber Resilience Act an.
Weitere Informationen zum CRA stellen das BSI und die ENISA bereit.
Hinweis: Diese Informationen bieten eine erste Orientierung und ersetzen keine rechtliche Prüfung im Einzelfall.