Cyber Resilience Act – Pflichten für Hersteller

Hintergrund und Ziel

Bin ich betroffen?

• es digitale Elemente enthält oder eine Software ist,
• es ab Ende 2027 neu auf den EU-Markt gebracht wird,
• es nicht zu den ausgenommenen Sektoren gehört (Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt, nationale Sicherheit),
• es keine kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht ist.

Welche Produkte sind betroffen?

• Hardware: Smartphones, Laptops, Smartwatches, Smarthome-Geräte, Firewalls, Mikroprozessoren, intelligente Zähler
• Software: Buchhaltungssoftware, Apps, Computerspiele
• B2B- und High-End-Systeme ebenso wie günstige Verbraucherprodukte

Welche Fristen gelten?

• 11. Juni 2026: Konformitätsbewertungsstellen (KBS) werden autorisiert.
• 11. September 2026: Meldepflicht für Schwachstellen und Sicherheitsvorfälle tritt in Kraft.
• 11. Dezember 2027: Alle neuen Produkte müssen vollständig CRA-konform sein.

Was sind meine Pflichten als Hersteller?

Was ist eine Konformitätserklärung?

Wie bekomme ich diese Erklärung?

• Standardprodukte: Selbstprüfung und eigene Konformitätserklärung
• Wichtige Produkte: Prüfung durch externe Stelle oder Zertifizierung
• Kritische Produkte: Zertifizierung durch offizielle Stelle verpflichtend

Konkrete Handlungsempfehlungen

• Risikobewertung durchführen
• Sicherheitsfunktionen einbauen
• SBOM erstellen (Software Bill of Materials)
• Supportzeitraum festlegen (mind. 5 Jahre)
• Meldepflicht beachten (24h Frühwarnung, 72h vollständige Meldung)

Meldepflichten

Schwachstellenmanagement

Wo bekomme ich Unterstützung?

Wenn Sie selbst prüfen möchten:

• Technische Richtlinien des BSI: z. B. TR-03183
• Hinweise zur SBOM, Schwachstellenmeldung und Sicherheitsmaßnahmen auf der BSI-Infoseite oder im BSI-Leitfaden

Wenn Sie externe Hilfe brauchen:

• wenden Sie sich an notifizierte Stellen (z. B. TÜV, DEKRA).
• Das BSI richtet eine zentrale Meldeplattform für Sicherheitsvorfälle und Schwachstellen ein, das voraussichtlich ab August 2026 aktiv sein wird.
• Für Fragen zur Umsetzung und zur Konformität wird es Helpdesks geben, die insbesondere KMU beraten sollen. Diese werden laut BSI im Zuge der CRA-Umsetzung eingerichtet.
• Das BSI plant sogenannte Regulatory Sandboxes: Das sind Testumgebungen, in denen Unternehmen ihre Produkte vorab prüfen und CRA-konform weiterentwickeln können – ohne sofortige Marktverpflichtung.Diese Sandboxes sollen insbesondere Innovationen fördern und rechtssichere Produktentwicklung ermöglichen.

Weitere Anlaufstellen und Projekte:

• OT-CRAft – Sichere Geräte. Resiliente Anlagen.

  OT-CRAft unterstützt kleine und mittlere Unternehmen sowie Start-ups kostenfrei dabei, ihre OT-Sicherheit zu stärken und sich auf die Anforderungen des Cyber Resilience Act vorzubereiten. Das Angebot richtet sich insbesondere an Hersteller und Betreiber industrieller Komponenten und Anlagen.
  Zur Verfügung stehen praxisnahe Unterstützungsangebote zu Bedrohungs- und Risikoanalysen, Schwachstellenmanagement sowie eine interaktive Lernplattform zur OT-Sicherheit. Ergänzt werden diese durch Schulungen und weitere Materialien. Die Angebote sind kostenfrei und werden durch das Bundesministerium für Wirtschaft und Energie (BMWE) gefördert.
  Weitere Informationen: OT-CRAft – Sichere Geräte. Resiliente Anlagen.

• EASY.CRA

  EASY.CRA unterstützt kleine und mittlere Unternehmen dabei, die Anforderungen des Cyber Resilience Act verständlich und praxisnah umzusetzen. Das Fokusprojekt ist Teil von Mittelstand-Digital, dem Förderschwerpunkt des Bundesministeriums für Wirtschaft und Energie (BMWE), und wird von der ibi research an der Universität Regensburg GmbH sowie der OTH Regensburg umgesetzt.
  Unter www.easycra.net stehen bereits ein Blog, eine Veranstaltungsübersicht sowie Praxisbeispiele zur Umsetzung des CRA zur Verfügung. Unternehmen können sich zudem mit konkreten Fragen rund um den CRA an das Projekt wenden.

• CRA-COMPASS

  Ziel von CRA-COMPASS ist es, kleine und mittlere Unternehmen praxisnah auf dem Weg zur CRA-Compliance zu unterstützen. CRA-COMPASS ist ein 18-monatiges Forschungsprojekt der Technischen Universität München (TUM) und des Fraunhofer AISEC. Bis Dezember 2027 sollen gemeinsam mit KMU ein kostenloses Tool sowie praxistaugliche Prozessstandards entwickelt werden, mit denen sich die Anforderungen des CRA strukturiert, KI-gestützt und kosteneffizient umsetzen lassen.
  Hierfür sucht das Projekt vom CRA betroffene Unternehmen für ein etwa 90-minütiges Experteninterview. Eine besondere Vorbereitung ist nicht erforderlich. Im Mittelpunkt stehen die praktischen Erfahrungen, Herausforderungen und Unterstützungsbedarfe der Unternehmen im Zusammenhang mit dem CRA.
  Interessierte Unternehmen können sich an Robin Singh, Lehrstuhl für Strategie und Organisation der Technischen Universität München, wenden: robin.singh@tum.de

Webinare zum CRA