Cyber Resilience Act (CRA): Wer betroffen ist, welche Pflichten gelten und was bis Dezember 2027 zu tun ist

Der Cyber Resilience Act (CRA), auf Deutsch Cyberresilienz-Verordnung, ist die EU-Verordnung 2024/2847 für die Cybersicherheit von Produkten mit digitalen Elementen. Er verpflichtet Hersteller, Hard- und Software sicher zu entwickeln, Schwachstellen über den gesamten Lebenszyklus zu beheben und Sicherheitsupdates bereitzustellen. Ab Dezember 2027 müssen Produkte mit digitalen Elementen die Anforderungen des CRA erfüllen und die vorgeschriebenen Konformitätsverfahren durchlaufen, bevor sie in der EU in Verkehr gebracht werden.

Das Wichtigste in Kürze:

• Betroffen: nahezu jede vernetzte Hard- und Software – vom Router über die Maschinensteuerung bis zur Fachanwendung.
• Verpflichtet: Hersteller, Importeure und Händler. Anwender sind mittelbar über Einkauf, Verträge und Lieferkette betroffen.
• Seit 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden.
• Ab 11. Dezember 2027: Alle Anforderungen gelten. Nicht konforme Produkte dürfen nicht mehr in der EU in Verkehr gebracht werden.
• Sanktionen: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, dazu Vertriebsverbote und Rückrufe.

Direkt verpflichtet sind Hersteller, Importeure und Händler. Mittelbar betrifft die Verordnung aber jedes Unternehmen, das IT einkauft, betreibt oder für Kunden anpasst – denn Supportzeiträume, Update-Zusagen und Konformitätsnachweise werden zum festen Bestandteil von Beschaffung, Verträgen und Ausschreibungen. Die MR Datentechnik unterstützt Unternehmen im Mittelstand und im Public Sector dabei, die eigene Betroffenheit zu klären und die Anforderungen pragmatisch in bestehende IT- und Sicherheitsprozesse zu integrieren.

Wichtiger Hinweis: Dieser Artikel bietet eine praxisnahe Orientierung für Unternehmen in Deutschland und der EU, ersetzt jedoch keine individuelle Rechtsberatung. Grundlage sind der Verordnungstext (EU) 2024/2847, die Informationen des BSI und der Leitfaden der EU-Kommission vom Juli 2026. Stand: Oktober 2026.

Einordnung: Warum der CRA jetzt auf die Agenda gehört

Lange war der CRA ein Thema für Verbände und Rechtsabteilungen. Das hat sich 2026 geändert: Die Verordnung ist in der operativen Phase angekommen, und die ersten Pflichten gelten bereits.

• Meldepflicht läuft: Seit dem 11. September 2026 melden Hersteller Schwachstellen und Vorfälle über die zentrale Plattform der ENISA.
• Prüfstellen stehen bereit: Seit dem 11. Juni 2026 können Konformitätsbewertungsstellen benannt werden, die Produkte der höheren Risikoklassen prüfen.
• Aufsicht wird aufgebaut: Mit dem CRA-Durchführungsgesetz, das sich derzeit im parlamentarischen Verfahren befindet, soll das BSI zur zentralen Marktüberwachungsbehörde für Produkte mit digitalen Elementen werden – inklusive Bußgeldzuständigkeit.
• Leitfaden liegt vor: Seit Juli 2026 gibt ein Leitfaden der EU-Kommission praktische Auslegungshilfen, etwa zu Supportzeiträumen und wesentlichen Änderungen.
• Der Markt zieht nach: Einkäufer, Konzerne und öffentliche Auftraggeber fragen CRA-Konformität, Supportzeiträume und Software-Stücklisten (SBOM) heute schon in Ausschreibungen ab – unabhängig davon, dass die Vollanwendung erst im Dezember 2027 greift.

Bis zur vollständigen Anwendung bleiben rund 14 Monate. Für Hersteller ist das knapp, denn sichere Entwicklungsprozesse, Schwachstellenmanagement und technische Dokumentation lassen sich nicht in wenigen Wochen nachrüsten. Für alle anderen ist es der richtige Zeitpunkt, Einkauf, Verträge und Lifecycle-Management auf die neue Lage einzustellen – als Teil einer durchgängigen IT-Compliance.

Ziel und Grundprinzipien der Cyberresilienz-Verordnung

Der Cyber Resilience Act verfolgt ein klares Ziel: Produkte mit digitalen Elementen sollen über ihren gesamten Lebenszyklus sicher sein – vom Entwurf bis zum Ende des Supports. Bisher gab es dafür keine einheitlichen Vorgaben. Viele Geräte kamen mit Standardpasswörtern, offenen Schnittstellen und ohne Update-Zusage auf den Markt, und Sicherheitslücken blieben oft jahrelang offen. Genau hier setzt die Verordnung an.

• Security by Design und by Default: Sicherheit muss von Anfang an in Entwicklung, Architektur und Standardkonfiguration eingeplant sein – nicht nachträglich ergänzt werden.
• Sicherheit über den Lebenszyklus: Hersteller müssen Schwachstellen aktiv behandeln und Sicherheitsupdates für einen definierten Supportzeitraum kostenlos bereitstellen – in der Regel mindestens fünf Jahre.
• Transparenz für Käufer: Supportzeitraum, Sicherheitsfunktionen und Kontaktstellen für Schwachstellenmeldungen müssen klar dokumentiert sein. Die CE-Kennzeichnung zeigt künftig auch die Konformität mit den Anforderungen des CRA an.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden innerhalb kurzer Fristen an Behörden gemeldet, damit andere Betroffene schneller reagieren können.

Wichtige Abgrenzung: Anders als die NIS-2-Richtlinie ist der CRA eine EU-Verordnung. Er gilt unmittelbar in allen Mitgliedstaaten und muss nicht erst in deutsches Recht übersetzt werden. Das nationale CRA-Durchführungsgesetz regelt lediglich Zuständigkeiten, Aufsicht und Bußgeldverfahren – an den inhaltlichen Pflichten ändert es nichts.

Anwendungsbereich: Produkte mit digitalen Elementen

Der Anwendungsbereich ist bewusst weit gefasst. Erfasst sind alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst. Dazu gehören Hardware ebenso wie Software – und auch Fernverarbeitungslösungen wie Cloud-Backends, ohne die ein Produkt seine Funktionen nicht erfüllen kann.

• Netzwerk und Infrastruktur: Router, Switches, Firewalls, WLAN-Access-Points, Modems
• Endgeräte und Peripherie: Notebooks, Smartphones, Drucker und Multifunktionsgeräte, IP-Kameras, Konferenz- und Medientechnik
• Industrie und Gebäude: Steuerungen (SPS), Industrie-PCs, Sensoren und Gateways, Zutritts- und Gebäudeleittechnik, IoT-Geräte
• Software: Betriebssysteme, Fachanwendungen, Apps, Firmware, Entwicklungsbibliotheken sowie Software-Komponenten in Maschinen und Anlagen

Was ist vom CRA ausgenommen?

Nicht erfasst sind Produkte, für die bereits eigene Cybersicherheitsregeln gelten oder die außerhalb des Binnenmarkts liegen:

• Sektorspezifisch geregelte Produkte: Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge, zivile Luftfahrt und Schiffsausrüstung sowie Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung entwickelt werden.
• Reine Cloud- und SaaS-Dienste: Sie fallen grundsätzlich nicht unter den CRA, sondern unter die NIS-2-Richtlinie – es sei denn, sie sind als Fernverarbeitung integraler Bestandteil eines Produkts mit digitalen Elementen. Für bestimmte Anbieter können stattdessen Anforderungen aus NIS-2 relevant sein.
• Nicht gewerbliche Open-Source-Software: Quelloffene Software, die nicht im Rahmen einer gewerblichen Tätigkeit bereitgestellt wird, ist ausgenommen. Organisationen, die solche Projekte dauerhaft unterstützen (Open-Source-Stewards), unterliegen einem abgespeckten Regelwerk.

Überschneidungen gibt es mit anderen Produktregeln: Für Funkprodukte gelten seit August 2025 bereits Cybersicherheitsanforderungen aus der Funkanlagenrichtlinie (Normenreihe EN 18031), und die neue Maschinenverordnung (EU) 2023/1230 enthält ab Januar 2027 eigene Vorgaben zum Schutz vor Manipulation. Hersteller im Maschinen- und Anlagenbau sollten diese Regelwerke gemeinsam mit dem CRA betrachten.

Drei Risikoklassen bestimmen den Prüfaufwand

Nicht jedes Produkt wird gleich behandelt. Der CRA unterscheidet nach Kritikalität, die „wichtigen“ und „kritischen“ Produkte sind in den Anhängen III und IV der Verordnung abschließend aufgeführt. Die Einstufung entscheidet, ob der Hersteller die Konformität selbst erklären darf oder eine unabhängige Prüfstelle einschalten muss.

Kategorie	Beispiele	Konformitätsbewertung
Standardprodukte (laut EU-Kommission rund 90 % aller Produkte)	Drucker, Office-Software, Smart-Home-Lampen, die meisten Apps und Fachanwendungen	Selbstbewertung durch den Hersteller (interne Kontrolle)
Wichtige Produkte, Klasse I	Betriebssysteme, Browser, Passwortmanager, VPN-Produkte, Router und Switches, Netzwerkmanagement- und SIEM-Systeme, Smart-Home-Geräte mit Sicherheitsfunktion	Selbstbewertung nur bei vollständiger Anwendung harmonisierter Normen, sonst Prüfung durch eine benannte Stelle
Wichtige Produkte, Klasse II	Firewalls, Intrusion-Detection- und -Prevention-Systeme, Hypervisoren und Container-Laufzeitumgebungen, manipulationssichere Mikroprozessoren	Prüfung durch eine benannte Stelle verpflichtend
Kritische Produkte	Hardware-Sicherheitsmodule, Smart-Meter-Gateways, Smartcards und Secure Elements	Prüfung durch eine benannte Stelle, künftig gegebenenfalls europäische Cybersicherheitszertifizierung

Die grundlegenden Cybersicherheitsanforderungen aus Anhang I – sichere Entwicklung, Schwachstellenmanagement, Updates, Dokumentation – gelten für alle Klassen gleichermaßen. Die Klasse entscheidet nur über den Nachweisweg.

Pflichten nach Rolle: Hersteller, Importeure, Händler und Anwender

Der CRA richtet sich an alle Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Welche Pflichten gelten, hängt von der Rolle in der Lieferkette ab.

Hersteller: Die Hauptlast der Verordnung

Als Hersteller gilt, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet – unabhängig davon, ob dafür Geld verlangt wird. Die Pflichten ergeben sich aus Artikel 13 und 14 sowie Anhang I der Verordnung, der in Teil I die Anforderungen an das Produkt und in Teil II die Schwachstellenbehandlung festlegt. Zusammengefasst haben Hersteller sechs Kernpflichten:

• Risiken bewerten: Für jedes Produkt eine Cybersicherheits-Risikobewertung durchführen, dokumentieren und über den Lebenszyklus aktuell halten.
• Sicher entwickeln und ausliefern: Produkte ohne bekannte ausnutzbare Schwachstellen in sicherer Standardkonfiguration bereitstellen – mit Zugriffsschutz, Verschlüsselung, Protokollierung und Härtung gegen Angriffe.
• Schwachstellen managen: Eine Software-Stückliste (SBOM) führen, Schwachstellen systematisch erfassen und beheben, eine Richtlinie zur koordinierten Offenlegung veröffentlichen und eine Kontaktstelle für Meldungen benennen.
• Updates liefern: Sicherheitsupdates kostenlos und zeitnah über den Supportzeitraum bereitstellen – grundsätzlich mindestens fünf Jahre; liegt die erwartete Nutzungsdauer des Produkts darunter, kann der Supportzeitraum entsprechend kürzer sein. Das Ende des Supportzeitraums muss beim Kauf erkennbar sein.
• Konformität nachweisen: Eine Konformitätsbewertung durchführen, die EU-Konformitätserklärung ausstellen, die CE-Kennzeichnung anbringen und die technische Dokumentation zehn Jahre aufbewahren – oder länger, wenn der Supportzeitraum länger dauert.
• Melden: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle fristgerecht an die Behörden melden und betroffene Nutzer informieren.

Importeure und Händler: Prüfpflichten statt Durchreichen

Importeure dürfen nur Produkte in die EU einführen, für die der Hersteller die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt und die CE-Kennzeichnung angebracht hat. Händler müssen vor der Bereitstellung prüfen, ob CE-Kennzeichnung, Konformitätserklärung und Nutzerinformationen vorliegen. Beide müssen Schwachstellen, von denen sie Kenntnis erlangen, an den Hersteller und bei erheblichem Risiko an die Marktüberwachung melden.

Besonders relevant für Systemhäuser, Integratoren und OEM-Partner: Wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt oder es wesentlich verändert – etwa durch angepasste Firmware oder tiefgreifende Software-Modifikationen –, übernimmt damit die vollen Herstellerpflichten.

Betreiber und Anwender: Mittelbar betroffen, aber nicht untätig

Unternehmen, die IT ausschließlich für den eigenen Betrieb einkaufen, treffen keine unmittelbaren CRA-Pflichten. Trotzdem verändert die Verordnung ihren Alltag:

• Beschaffung: Supportzeitraum, Update-Zusagen und CE-Kennzeichnung werden zu Auswahlkriterien. Produkte ohne Konformität dürfen ab Dezember 2027 nicht mehr neu in Verkehr gebracht werden.
• Lebenszyklus: Das Ende des Supportzeitraums ist künftig dokumentiert – und damit auch der Zeitpunkt, ab dem ein Gerät zum Risiko wird. Ein gepflegtes Asset-Inventar wird damit faktisch unverzichtbar.
• NIS-2-Schnittstelle: Wer unter NIS-2 fällt, muss die Sicherheit seiner Lieferkette nachweisen. CRA-konforme Produkte können dafür die wichtige Grundlage liefern.
• Eigenentwicklungen: Software, die ein Unternehmen Kunden oder Partnern bereitstellt – auch kostenlos –, kann es selbst zum Hersteller machen. Rein intern genutzte Software bleibt außen vor.

Meldepflichten seit dem 11. September 2026: Fristen und Ablauf

Die Meldepflichten sind der erste Teil des CRA, der scharf geschaltet wurde. Seit dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit der Produkte auswirken.

Die Meldung erfolgt über die Single Reporting Platform der ENISA (CRA-SRP). Dort wählt der Hersteller das zuständige nationale CSIRT – für Deutschland das CERT-Bund im BSI. Eine vorherige Registrierung ist laut BSI-Pressemitteilung vom 11. September 2026 nicht erforderlich. Rechtsgrundlage ist Artikel 14 der Verordnung.

Die Meldung läuft in drei Stufen mit festen Fristen:

Schritt	Frist	Inhalt
Frühwarnung	innerhalb von 24 Stunden nach Kenntnis	Erste Information: Was ist betroffen, besteht der Verdacht auf böswillige Ausnutzung, in welchen Mitgliedstaaten wurde das Produkt bereitgestellt
Meldung	innerhalb von 72 Stunden	Allgemeine Angaben zum Produkt, Art der Schwachstelle beziehungsweise des Vorfalls, bereits ergriffene Korrektur- und Abhilfemaßnahmen
Abschlussbericht	14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (Schwachstelle) beziehungsweise 1 Monat nach der Meldung (Vorfall)	Beschreibung von Schwere, Auswirkungen, Ursache und getroffenen Maßnahmen

Parallel müssen Hersteller betroffene Nutzer unverzüglich informieren – inklusive Hinweisen zu Korrektur- oder Schutzmaßnahmen. Wer ein Produkt in der EU nur vertreibt, ist nicht selbst meldepflichtig, muss Erkenntnisse über Schwachstellen aber an den Hersteller weitergeben.

In der Praxis bedeutet das: Eine 24-Stunden-Frist lässt sich nicht aus dem Stand erfüllen. Hersteller brauchen ein eingespieltes Product Security Incident Response Team (PSIRT), klare Zuständigkeiten, vorbereitete Meldevorlagen und einen direkten Draht zwischen Entwicklung, Support und Geschäftsführung. Wer bereits NIS-2-Meldeprozesse etabliert hat, kann diese Strukturen nutzen – die Fristenlogik ist bewusst ähnlich aufgebaut.

Zeitplan: Alle CRA-Fristen im Überblick

Der Cyber Resilience Act gilt gestaffelt. Diese vier Daten sind entscheidend:

Datum	Was gilt
10. Dezember 2024	Inkrafttreten der Verordnung (EU) 2024/2847
11. Juni 2026	Vorschriften zur Benennung von Konformitätsbewertungsstellen gelten – Prüfstellen können akkreditiert und notifiziert werden
11. September 2026	Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten
11. Dezember 2027	Vollständige Anwendung: alle Herstellerpflichten, Konformitätsbewertung und CE-Kennzeichnung sind Voraussetzung für das Inverkehrbringen

Was gilt für Produkte, die schon auf dem Markt sind?

Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten die neuen Anforderungen nur dann, wenn sie danach wesentlich verändert werden. Als wesentlich gilt eine Änderung, die die Cybersicherheit des Produkts beeinflusst oder seine Zweckbestimmung ändert und in der ursprünglichen Risikobewertung nicht vorgesehen war.

Die Meldepflichten greifen dagegen auch für Produkte, die bereits auf dem Markt sind. Für Hersteller heißt das: Jede Produktgeneration, die ab Ende 2027 auf den Markt kommt, muss die Anforderungen vollständig erfüllen. Der Entwicklungszyklus dafür hat längst begonnen.

Erleichterungen für KMU, Start-ups und Open Source

Der CRA gilt unabhängig von der Unternehmensgröße. Für kleine und mittlere Unternehmen sieht die Verordnung aber gezielte Unterstützung vor:

• Leitlinien und Helpdesks: Die EU-Kommission hat im Juli 2026 einen Leitfaden mit rund 80 Seiten veröffentlicht. Er klärt mit Praxisbeispielen, welche Produkte erfasst sind, wann ein Update als wesentliche Änderung gilt und wie Supportzeiträume zu bemessen sind. Für die Meldepflichten werden Helpdesks eingerichtet.
• Vereinfachte Dokumentation: Kleinst- und Kleinunternehmen können die technische Dokumentation in vereinfachter Form erstellen.
• Reallabore: In sogenannten Regulatory Sandboxes können Produkte unter Aufsicht getestet werden, bevor sie auf den Markt kommen.
• Mildere Sanktionen: Gegen Kleinst- und Kleinunternehmen werden keine Bußgelder verhängt, wenn sie allein die 24-Stunden-Frist für die Frühwarnung versäumen. Open-Source-Stewards sind von Bußgeldern ausgenommen.

Für Open Source gilt: Wer quelloffene Software ohne gewerbliche Absicht entwickelt oder beisteuert, fällt nicht unter den CRA. Wer sie in eigene Produkte einbaut, trägt dagegen die volle Verantwortung für diese Komponenten – inklusive SBOM, Schwachstellenbehandlung und Updates.

Bußgelder und Marktüberwachung: Was bei Verstößen droht

Artikel 64 des Cyber Resilience Act legt einen Sanktionsrahmen fest, der sich an der DSGVO orientiert:

• Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen sowie die zentralen Hersteller- und Meldepflichten
• Bis zu 10 Millionen Euro oder 2 Prozent bei Verstößen gegen die übrigen Pflichten, etwa von Importeuren, Händlern oder benannten Stellen
• Bis zu 5 Millionen Euro oder 1 Prozent für falsche, unvollständige oder irreführende Angaben gegenüber Behörden

Maßgeblich ist jeweils der höhere Betrag. Neben Bußgeldern kann die Marktüberwachung verlangen, dass nicht konforme Produkte nachgebessert, vom Markt genommen oder zurückgerufen werden. Für viele Unternehmen wiegt das schwerer als die Geldbuße selbst: Ein Vertriebsverbot trifft Umsatz, Kundenbeziehungen und Reputation gleichzeitig. In Deutschland soll das BSI diese Rolle übernehmen. Der Regierungsentwurf des CRA-Durchführungsgesetzes sieht dafür zusätzliche Stellen und ein eigenes Prüflabor vor.

CRA, NIS-2 und DORA: So hängen die Regelwerke zusammen

CRA, NIS-2 und DORA werden häufig in einem Atemzug genannt, verfolgen aber unterschiedliche Ansätze. NIS-2 nimmt Organisationen in die Pflicht, die wichtige Dienste betreiben. Der Digital Operational Resilience Act (DORA) regelt dasselbe speziell für den Finanzsektor und seine IT-Dienstleister. Der CRA setzt eine Stufe früher an – beim Produkt selbst.

Kriterium	NIS-2	Cyber Resilience Act
Rechtsform	EU-Richtlinie, in Deutschland umgesetzt im BSI-Gesetz	EU-Verordnung, gilt unmittelbar
Adressaten	Betreiber wichtiger und besonders wichtiger Einrichtungen in 18 Sektoren (vereinfacht: ab 50 Mitarbeitende oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme)	Hersteller, Importeure und Händler von Produkten mit digitalen Elementen
Gegenstand	Organisation und Betrieb: Risikomanagement, Lieferkette, Geschäftsführerhaftung	Produkt und Lebenszyklus: sichere Entwicklung, Updates, Dokumentation
Nachweis	Registrierung beim BSI, Nachweispflichten	CE-Kennzeichnung, EU-Konformitätserklärung, technische Dokumentation
Meldung	Erhebliche Sicherheitsvorfälle an das BSI (24 Stunden / 72 Stunden / 1 Monat)	Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die ENISA-Plattform (24 Stunden / 72 Stunden / 14 Tage bzw. 1 Monat)
Bußgeldrahmen	bis zu 10 Mio. Euro oder 2 % (besonders wichtige Einrichtungen), bis zu 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen)	bis zu 15 Mio. Euro oder 2,5 %

In der Praxis sind viele Unternehmen von beiden Regelwerken betroffen: als Betreiber unter NIS-2 und als Hersteller oder Händler unter dem CRA. Umgekehrt ergänzen sich beide Regelwerke – CRA-konforme Produkte können Unternehmen dabei unterstützen, Anforderungen an die Sicherheit ihrer Lieferkette im Rahmen von NIS-2 zu erfüllen.

Wie Sie Ihre eigene Betroffenheit prüfen, lesen Sie in unserem Beitrag NIS2 – Wer ist betroffen?. Welche Rolle ein ISMS dabei spielt, erläutert der Artikel ISO 27001 vs. NIS-2. Einen Überblick über alle 2026 wirksamen Regelwerke gibt unser Beitrag zu den IT-Gesetzen 2026.

Strategische Roadmap: In fünf Schritten zur CRA-Konformität

Schritt 1: Rolle und Betroffenheit klären

Erstellen Sie ein Inventar aller Produkte mit digitalen Elementen, die Ihr Unternehmen herstellt, importiert, vertreibt oder unter eigener Marke anbietet – einschließlich Software, Firmware und Cloud-Backends. Ordnen Sie jedes Produkt einer Rolle (Hersteller, Importeur, Händler) und einer Risikoklasse zu. Prüfen Sie dabei auch Eigenentwicklungen und individuelle Anpassungen, die an Kunden gehen.

Schritt 2: Gap-Analyse gegen die grundlegenden Anforderungen

Vergleichen Sie Entwicklungsprozesse, Produktarchitektur und Schwachstellenmanagement mit den Anforderungen des CRA. Die Anforderungen werden derzeit von den europäischen Normungsorganisationen CEN, CENELEC und ETSI in harmonisierte Normen übersetzt. Wer diese Normen vollständig anwendet, kann sich auf die Vermutung der Konformität stützen. Bis sie vorliegen, bieten die Technische Richtlinie TR-03183 des BSI, die Normenreihe IEC 62443 für industrielle Systeme und ein ISMS nach ISO 27001 belastbare Orientierung. Typische Lücken: fehlende SBOM, kein definierter Supportzeitraum, keine Richtlinie zur Schwachstellenoffenlegung, unvollständige technische Dokumentation.

Schritt 3: Meldefähigkeit herstellen – sofort

Die Meldepflichten gelten bereits. Benennen Sie Verantwortliche, definieren Sie den Eskalationsweg von der ersten Erkenntnis bis zur Frühwarnung binnen 24 Stunden, legen Sie Meldevorlagen bereit und testen Sie den Ablauf. Verzahnen Sie den Prozess mit Ihrem Incident Response und – sofern vorhanden – mit den NIS-2-Meldewegen.

Schritt 4: Einkauf, Verträge und Lieferkette anpassen

Nehmen Sie CE-Kennzeichnung, Supportzeitraum, Update-Zusagen und Anforderungen an die SBOM-Verfügbarkeit in Beschaffungsrichtlinien und Lieferantenverträge auf. Pflegen Sie das Ende des Supportzeitraums im Asset-Inventar, damit Geräte rechtzeitig ersetzt werden. Klären Sie mit Zulieferern, wer bei einer Schwachstelle in einer eingekauften Komponente wann meldet.

Schritt 5: Dokumentation und Konformitätsbewertung vorbereiten

Bauen Sie die technische Dokumentation produktbegleitend auf – Risikobewertung, Architektur, Testnachweise, SBOM, Nutzerinformationen. Klären Sie frühzeitig, ob eine benannte Stelle erforderlich ist, und reservieren Sie Prüfkapazitäten: Die Zahl notifizierter Stellen ist begrenzt, und Ende 2027 wollen viele Hersteller gleichzeitig durch die Prüfung.

Von der Pflicht zur Chance: Cyber-Resilienz als Wettbewerbsvorteil

Der CRA verursacht Aufwand, schafft aber einen Vorsprung für alle, die früh handeln. Produkte mit nachgewiesener Sicherheit, klaren Supportzeiträumen und transparenter SBOM gewinnen Ausschreibungen, erleichtern die NIS-2-Nachweise ihrer Kunden und senken das eigene Haftungsrisiko. Im Maschinenbau, in der Medien- und Gebäudetechnik und bei Softwarehäusern wird CRA-Konformität zum Qualitätsmerkmal, das Kunden voraussetzen.

CRA-Compliance ohne Umwege: MR Datentechnik als Ihr strategischer Partner

Der Cyber Resilience Act bringt viele Detailfragen mit sich. Wir sorgen dafür, dass daraus ein geordneter Plan wird. Als Systemhaus liefern und betreiben wir täglich genau die Produkte, um die es geht – Firewalls, Switches, Endgeräte, Drucker und Medientechnik – und kennen die Anforderungen deshalb aus Einkauf, Integration und Betrieb.

Als ISO-27001-zertifiziertes IT-Systemhaus begleitet die MR Datentechnik Unternehmen im Mittelstand und im Public Sector dabei, die Anforderungen von CRA und NIS-2 pragmatisch in die bestehende IT-Landschaft zu integrieren – ohne Doppelstrukturen und ohne bürokratischen Ballast.

• Betroffenheits- und Lieferkettenanalyse: Welche Produkte, Rollen und Pflichten betreffen Ihr Unternehmen konkret?
• Asset- und Lifecycle-Management: Inventar, Supportzeiträume und Austauschplanung für Ihre gesamte IT – vom Netzwerk bis zum Endgerät.
• Sichere Infrastruktur: Netzwerk- und Security-Lösungen führender Hersteller, die die neuen Anforderungen erfüllen, sowie Managed Security Services mit Monitoring und Incident Response.
• Prozesse und Nachweise: Unterstützung beim Aufbau von Melde- und Schwachstellenprozessen, abgestimmt auf Ihr ISMS und Ihre NIS-2-Pflichten.

Machen Sie Ihre Produkte und Ihre IT jetzt fit für den Cyber Resilience Act: Kontaktieren Sie uns für ein unverbindliches Erstgespräch – wir zeigen Ihnen, wo Sie stehen und was bis Dezember 2027 zu tun ist.

FAQ: Häufige Fragen zum CRA

Was besagt der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847 über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Er verpflichtet Hersteller, Hard- und Software von Anfang an sicher zu entwickeln, Schwachstellen über den gesamten Lebenszyklus zu beheben, kostenlose Sicherheitsupdates bereitzustellen und aktiv ausgenutzte Schwachstellen zu melden. Nur konforme Produkte dürfen künftig die CE-Kennzeichnung tragen.

Wann tritt der Cyber Resilience Act in Kraft?

Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Pflichten gelten gestaffelt: seit dem 11. Juni 2026 die Regeln für Konformitätsbewertungsstellen, seit dem 11. September 2026 die Meldepflichten für Hersteller und ab dem 11. Dezember 2027 alle übrigen Anforderungen einschließlich CE-Kennzeichnung.

Welche Produkte fallen unter den Cyber Resilience Act?

Grundsätzlich alle Hardware- und Softwareprodukte, die sich direkt oder indirekt mit einem Netzwerk oder einem anderen Gerät verbinden lassen – von Routern, Firewalls und Druckern über Industriesteuerungen und IoT-Geräte bis zu Betriebssystemen, Apps und Fachanwendungen. Ausgenommen sind unter anderem Medizinprodukte, Kraftfahrzeuge, Luftfahrt- und Schiffsausrüstung sowie reine Cloud- und SaaS-Dienste, die unter NIS-2 fallen.

Ist der Cyber Resilience Act ein deutsches Gesetz?

Nein. Der CRA ist eine EU-Verordnung und gilt unmittelbar in allen Mitgliedstaaten – eine Umsetzung in deutsches Recht ist nicht nötig. Deutschland regelt mit dem CRA-Durchführungsgesetz lediglich die Zuständigkeiten: Nach dem Regierungsentwurf vom 29. April 2026 soll das BSI Marktüberwachungsbehörde, notifizierende Behörde für Prüfstellen und Bußgeldbehörde werden. Im Deutschen ist die Kurzbezeichnung „Cyberresilienz-Verordnung“ gebräuchlich.

Wer ist vom CRA betroffen?

Unmittelbar verpflichtet sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen – unabhängig von Unternehmensgröße oder Branche. Mittelbar betroffen ist jedes Unternehmen, das solche Produkte einkauft und betreibt, weil sich Beschaffungskriterien, Supportzeiträume und Lieferantenanforderungen ändern. Wer Produkte unter eigener Marke vertreibt oder wesentlich verändert, gilt selbst als Hersteller.

Bis wann muss der CRA umgesetzt werden?

Hersteller müssen die Meldepflichten bereits seit dem 11. September 2026 erfüllen. Alle übrigen Anforderungen – sichere Entwicklung, Schwachstellenmanagement, Updates, Konformitätsbewertung und CE-Kennzeichnung – gelten ab dem 11. Dezember 2027 für jedes Produkt, das ab diesem Datum in Verkehr gebracht wird.

Wo finde ich den Text des Cyber Resilience Act auf Deutsch?

Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt der Europäischen Union veröffentlicht und ist in allen Amtssprachen, also auch auf Deutsch, kostenlos über das Rechtsportal EUR-Lex abrufbar. Der vollständige amtliche Titel lautet „Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“.

Was ist der Unterschied zwischen NIS-2 und dem CRA?

NIS-2 richtet sich an Betreiber wichtiger Einrichtungen und regelt deren organisatorische Cybersicherheit – Risikomanagement, Lieferkette, Meldepflichten. Der CRA richtet sich an Hersteller und Inverkehrbringer und regelt die Sicherheit des Produkts selbst. Viele Unternehmen sind von beiden Regelwerken gleichzeitig betroffen, und CRA-konforme Produkte erleichtern die Erfüllung der NIS-2-Lieferkettenpflichten.

Welche Strafen drohen bei Verstößen gegen den CRA?

Je nach Verstoß bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, bis zu 10 Millionen Euro oder 2 Prozent beziehungsweise bis zu 5 Millionen Euro oder 1 Prozent – maßgeblich ist der höhere Betrag. Hinzu kommen Maßnahmen der Marktüberwachung wie Nachbesserungsauflagen, Vertriebsverbote und Rückrufe.