Digitalisierung

Cyber Resilience Act (CRA): Digitale Dienste und Produkte müssen gesichert werden

Der Cyber Resilience Act (kurz CRA) ist eine EU-weite Vorgabe für mehr IT-Sicherheit in digitalen Produkten. Der CRA ist eine EU-Verordnung, die am 10. Dezember 2024 in Kraft getreten ist und direkt ohne nationale Umsetzung in allen Mitgliedsstaaten gilt. Die Pflichten für Unternehmen greifen jedoch schrittweise (siehe Fristen).
Mit dem CRA sollen in den Phasen Design, Entwicklung und Produktion sowie während des Inverkehrbringens und während der Nutzung risikoangemessene Cybersecurity-Maßnahmen etabliert werden.

Wer ist betroffen?

Die neuen Regelungen betreffen alle Unternehmen, die Produkte mit digitalen Elementen herstellen oder anbieten (z. B. Herstellende, Importierende, Handelnde). „Herstellende“ ist dabei, wer Software entwickelt oder auch für sich entwickeln lässt und sie unter eigenem Namen anbietet. Darunter fallen auch Unternehmen, die Hardware/Software für eine Dienstleistung oder ein neues Produkt nutzen. Für Herstellende gelten die umfangreichsten Pflichten. Größenbezogene Ausnahmen gibt es nicht.

Was sind digitale Produkte?

Dies sind Hardware- und Softwareprodukte aus dem Consumer- und industriellen Bereich, die miteinander oder dem Internet verbunden werden können. Dabei gelten die Regeln für in der EU-produzierten sowie importierten Produkte.
Bei den digitalen Produkten unterscheidet der CRA je nach Kritikalität:
Standard-Kategorie = nicht kritische Produkte mit digitalen Elementen
Dies umfasst typische Consumer Produkte wie zum Beispiel smarte Fernseher, Spielekonsolen, Hausautomatisierung oder Fotobearbeitungssoftware.
Kritische Produkte mit digitalen Elementen Klasse I
Dies sind digitale Produkte in der industriellen Automatisierung oder Gebäudeautomatisierungen. Beispiele sind Router, VPN-Produkte, Firewalls, Passwort-Manager oder Identitätsmanagement.
Kritische Produkte mit digitalen Elementen Klasse II
Dies sind digitale Produkte, die in einer kritischen Infrastruktur Verwendung finden. Beispielhaft sind dies IIoT-Produkte, Betriebssysteme oder ACS.
Hochkritische Produkte
Für diese Klasse werden derzeit noch Kriterien und Beispiele definiert.

Ausnahmen

Bereits regulierte Produkte
Ausgenommen sind nur wenige Produktkategorien (z. B. bereits streng regulierte Bereiche wie Medizinprodukte mit eigenen Regelwerken).
„Alte“ Produkte vor dem Stichtag
Entscheidend ist, wann einzelne Produkte auf den EU‑Markt gebracht werden („placing on the market“). Daraus ergeben sich die Regeln:
Stichtag: 11. Dezember 2027:
Ab diesem Datum müssen alle Produkte mit digitalen Elementen vollständig CRA‑konform sein. Unabhängig davon, wie alt das Produkt(design) ist.
Produkte vor 11. Dezember 2027 in Verkehr gebracht:
Keine nachträgliche Pflicht zur vollständigen CRA-Compliance. Allerdings besteht ab dem 11. September 2026 die Meldepflicht.

Was müssen Unternehmen tun?

Die genauen Maßnahmen und Pflichten hängen von den spezifischen Anforderungen und Rollen des Cyber Resilience Act ab.
Daher sollten Unternehmen, die digitale Produkte herstellen oder anbieten, die Vorgaben sorgfältig prüfen und Ihre Handlungsfelder bestimmen.
Als Pflichten sind unter anderem benannt (Auszug):

Herstellende

  • Durchführung eines Konformitätsbewertungsverfahrens
  • Erstellung der technischen Dokumentation
  • Überwachungs- und Abhilfepflichten
  • Korrektur- und Rückrufpflichten
  • Meldepflicht bei Schwachstellen gegenüber der Agentur der Europäischen Union für Cybersicherheit (ENISA) innerhalb von 24 Stunden und Nutzern (unverzüglich)

Einführende

  • Ein Konformitätsbewertungsverfahren vom Herstellenden
  • CE-Kennzeichnung sowie Informationen und Gebrauchsanweisung
  • Verpflichtung zum Ergreifen von Abhilfemaßnahmen bei Kenntnis oder begründeter Annahme der Nonkonformität

Handelnde

  • Sicherstellung, dass der Herstellende bzw. Einführende Abhilfemaßnahmen durchführt
  • Meldepflicht bei Schwachstellen gegenüber dem Herstellenden bzw. den nationalen Marktüberwachungsbehörden

Beispiele aus der Praxis

Herstellende müssen risikoangemessene Cybersecurity-Maßnahmen für einen kompletten Lebenszyklus des Produktes anbieten (z. B. Security-per-Default, Sicherheits-Updates, Schwachstellenbehebung, Schwachstellen-Infos für Nutzer, Softwarestücklisten, Komponenten-Prüfung).
Importierende und Handelnder müssen z. B. prüfen, ob gesetzliche Vorgaben und Kennzeichnungspflichten erfüllt sind (z. B. CE-Kennzeichnung, technische Dokumentation etc.).
Insgesamt gelten diverse Meldepflichten beim Auftreten von Schwachstellen bei der europäischen Behörde ENISA (z. B. 24 Stunden bei identifizieren Schwachstellen, 72 Stunden bei Vorlage von Korrektur- oder Risikominderungsmaßnahmen).

Was passiert bei Verstößen?

Bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten können Bußgelder bis zur Höhe von 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden. Zudem kann die Marktüberwachungsbehörde den Vertrieb des digitalen Produktes untersagen. Auch Abmahnungen auf Basis des UWG sind möglich.

Aktueller Stand und Fristen

Als deutsche Umsetzung mittels des „Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung)“ liegt seit dem 01.05.2026 ein Regierungsentwurf vor, der u. a. von der IHK-Organisation kommentiert (DIHK-Impulspapier zur Wirtschaftssicherheit in Europa) wurde.
Feststehende Termine:
11.06.2026: Konformitätsbewertungsstellen (KBS) können einen Antrag auf Notifizierung stellen. KBS sind unabhängige, staatlich benannte Prüfstellen, die eine zentrale Rolle bei der Umsetzung des Cyber Resilience Act spielen. Sie unterstützen dabei zu prüfen, ob ein Produkt die gesetzlichen Cybersicherheitsanforderungen erfüllt.
11.09.2026: Meldepflicht für Schwachstellen und Sicherheitsvorfälle. Dazu baut die EU Agency for Cybersecurity (ENISA) die
CRA Single Reporting Platform (SRP)
als zentrale Meldeplattform auf.
11.12.2027: Alle CRA-Anforderungen sind bei neuen Produkten eingehalten.
Die Umsetzungszeit für Maßnahmen des CRA beträgt 36 Monate nach dem Inkrafttreten (voraussichtlich 2027).

Position zum Cyber Resiliance Act

In einer Stellungnahme des DIHK werden vor allem die fehlenden klaren Definitionen, der weite Anwendungsbereich und die kurzen Umsetzungszeiträume kritisiert. KMU und Start-ups, für die es keine Ausnahmen im Cyber Resilience Act (CRA) gibt, dürfen zudem nicht überproportional belastet werden. Hier sollte spätestens in der Umsetzung durch entsprechende staatliche Unterstützungs- und Beratungsangebote nachgesteuert werden, damit auch kleinere Unternehmen den Konformitätsanforderungen in geeigneter Zeit und Weise entsprechen können. Weitere Anmerkungen finden Sie in der vollständigen Stellungnahme des DIHK.