Cyber Resilience Act (CRA)
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) ist eine unmittelbar geltende EU-Verordnung für Produkte mit digitalen Elementen. Er verpflichtet Hersteller, Importeure und Händler zu Cybersicherheit über den gesamten Produktlebenszyklus, von sicherer Entwicklung und CE-Konformität bis zu Sicherheitsupdates und Meldungen aktiv ausgenutzter Schwachstellen. Die meisten Vorgaben gelten ab 11. Dezember 2027.
Der Cyber Resilience Act (CRA) schafft erstmals einheitliche, horizontale Cybersicherheitsanforderungen für vernetzte Hardware und Software im EU-Binnenmarkt. Die deutsche Bezeichnung lautet Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Rechtsgrundlage ist die Verordnung (EU) 2024/2847.
Was regelt der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) setzt bereits bei der Entwicklung eines digitalen Produkts an. Hersteller müssen Cybersicherheitsrisiken bewerten, Schutzmaßnahmen in das Produkt integrieren, bekannte Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen. Diese Pflichten enden nicht mit dem Verkauf, sondern gelten während des festgelegten Unterstützungszeitraums.
Ein verbreiteter Denkfehler besteht darin, den Cyber Resilience Act (CRA) als reine Meldeverordnung für Sicherheitsvorfälle zu behandeln. Die Meldepflicht ist nur ein Teil. Der Schwerpunkt liegt auf überprüfbarer Produktsicherheit: technische Dokumentation, Risikobewertung, Konformitätsverfahren, Schwachstellenmanagement und sichere Standardeinstellungen müssen zusammenpassen. Prüfe deshalb den gesamten Produktlebenszyklus und nicht nur den Incident-Response-Prozess.
Welche Produkte fallen unter den CRA?
Der Cyber Resilience Act (CRA) erfasst grundsätzlich Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk besitzen. Dazu gehören beispielsweise Router, Kameras, Smart-Home-Geräte, Betriebssysteme, Unternehmenssoftware, Apps und Softwarekomponenten.
Eine gewöhnliche Unternehmenswebsite fällt nicht allein deshalb unter den Cyber Resilience Act (CRA), weil sie online erreichbar ist. Auch ein vollständig unabhängiger Cloud-Dienst ist nicht automatisch ein Produkt mit digitalen Elementen. Anders kann die Bewertung ausfallen, wenn eine cloudbasierte Funktion für den Betrieb eines vernetzten Produkts erforderlich ist und als zugehörige Fernverarbeitungslösung bereitgestellt wird. Prüfe bei Software-as-a-Service deshalb die technische Verbindung zum konkreten Produkt.
Bestimmte Bereiche unterliegen eigenen spezialgesetzlichen Regeln und sind ganz oder teilweise ausgenommen. Dazu können Medizinprodukte, Kraftfahrzeuge, Luftfahrtprodukte, Schiffsausrüstung sowie Produkte für Verteidigung oder nationale Sicherheit gehören. Freie und quelloffene Software ist ausgenommen, wenn sie außerhalb einer kommerziellen Tätigkeit entwickelt oder bereitgestellt wird.
Cyber Resilience Act (CRA): Fristen 2026
Der Cyber Resilience Act (CRA) ist am 10. Dezember 2024 in Kraft getreten. Die meisten materiellen Anforderungen gelten ab dem 11. Dezember 2027. Für die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle gilt bereits der 11. September 2026 als maßgeblicher Starttermin.
| Zeitpunkt | Bedeutung |
|---|---|
| 10. Dezember 2024 | Inkrafttreten der EU-Verordnung |
| 11. Juni 2026 | Beginn ausgewählter Vorschriften zu Konformitätsbewertungsstellen |
| 11. September 2026 | Beginn der Meldepflichten für Schwachstellen und Sicherheitsvorfälle |
| 11. Dezember 2027 | Allgemeine Anwendung der meisten CRA-Anforderungen |
Die Übergangszeit bedeutet nicht, dass Unternehmen bis Ende 2027 warten können. Eine belastbare technische Dokumentation setzt voraus, dass Anforderungen, Entwicklungsprozesse und Lieferketten früh angepasst werden. Bei Produkten mit langen Entwicklungszyklen muss die CRA-Prüfung deshalb bereits in Lastenhefte, Einkaufsvorgaben und Release-Prozesse einfließen.
Pflichten für Hersteller und Händler
Hersteller tragen die Hauptverantwortung
Hersteller müssen eine Cybersicherheitsrisikobewertung durchführen und die Ergebnisse bei Entwicklung, Produktion, Bereitstellung und Wartung berücksichtigen. Der Cyber Resilience Act (CRA) verlangt außerdem eine technische Dokumentation, eine EU-Konformitätserklärung und je nach Risikoklasse ein geeignetes Konformitätsbewertungsverfahren.
Der Unterstützungszeitraum muss die erwartete Nutzungsdauer des Produkts berücksichtigen und beträgt grundsätzlich mindestens fünf Jahre. Eine kürzere Dauer kommt infrage, wenn das Produkt voraussichtlich weniger als fünf Jahre genutzt wird. Während dieses Zeitraums müssen Hersteller Sicherheitslücken bearbeiten und erforderliche Sicherheitsupdates ohne zusätzliche Kosten bereitstellen.
Importeure und Händler prüfen die Konformität
Importeure dürfen ein erfasstes Produkt nur in der EU bereitstellen, wenn der Hersteller die relevanten Anforderungen erfüllt hat. Importeure müssen unter anderem prüfen, ob die CE-Kennzeichnung, die erforderlichen Unterlagen und die Herstellerangaben vorhanden sind. Ein Importeur darf ein erkennbar nicht konformes Produkt nicht unverändert vertreiben.
Händler müssen mit angemessener Sorgfalt kontrollieren, ob Kennzeichnungen und vorgeschriebene Informationen vorliegen. Verändert ein Händler ein Produkt wesentlich oder bringt er es unter eigenem Namen auf den Markt, kann der Händler rechtlich selbst als Hersteller gelten. Diese Rollenverschiebung ist besonders bei White-Label-Produkten und angepasster Software zu prüfen.
Meldepflichten bei Sicherheitslücken
Bei einer aktiv ausgenutzten Schwachstelle muss der Hersteller grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung abgeben. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit verfügbaren Informationen zur Schwachstelle, zur Ausnutzung und zu bereits ergriffenen Maßnahmen. Die Meldung erfolgt über die vorgesehene europäische Infrastruktur an die zuständigen Stellen.
Eine aktiv ausgenutzte Schwachstelle ist mehr als eine theoretisch mögliche Sicherheitslücke. Es müssen verlässliche Hinweise darauf vorliegen, dass ein Angreifer die Schwachstelle tatsächlich ausnutzt. Unternehmen benötigen deshalb einen Prozess, der Sicherheitsmeldungen technisch bewertet, intern eskaliert und den Zeitpunkt der Kenntniserlangung dokumentiert.
CE-Kennzeichnung und Risikoklassen
Die CE-Kennzeichnung bestätigt, dass ein Produkt die einschlägigen EU-Anforderungen erfüllt. Beim Cyber Resilience Act (CRA) ist die CE-Kennzeichnung jedoch kein einmaliger Sicherheitstest. Neue Schwachstellen, Updates und Änderungen am Produkt können während des Unterstützungszeitraums weitere Maßnahmen erfordern. Prüfe die Konformität deshalb bei sicherheitsrelevanten Releases erneut.
Der Cyber Resilience Act (CRA) unterscheidet reguläre Produkte, wichtige Produkte der Klassen I und II sowie kritische Produkte. Für die meisten regulären Produkte kann eine interne Konformitätsbewertung ausreichen. Bei erhöhtem Risiko gelten strengere Verfahren, bei denen harmonisierte Normen, eine externe Prüfstelle oder eine europäische Cybersicherheitszertifizierung relevant werden können.
Unterschied zu NIS2 und Cybersecurity Act
Der Unterschied zwischen dem Cyber Resilience Act (CRA) und NIS2 liegt im Regelungsgegenstand. Der CRA richtet sich hauptsächlich an die Sicherheit digitaler Produkte und deren wirtschaftliche Akteure. NIS2 verpflichtet dagegen bestimmte wichtige und wesentliche Einrichtungen zu organisatorischem Risikomanagement, Sicherheitsmaßnahmen und Vorfallmeldungen im laufenden Betrieb.
Der EU Cybersecurity Act regelt unter anderem europäische Zertifizierungsrahmen und die Aufgaben der EU-Agentur für Cybersicherheit. Der Cyber Resilience Act (CRA) legt dagegen verbindliche Produktanforderungen fest. Zertifizierungen nach dem Cybersecurity Act können bei bestimmten CRA-Konformitätsverfahren Bedeutung erhalten, ersetzen die produktbezogene Prüfung aber nicht automatisch.
Bedeutung für SEO, SEA und GEO
Der Cyber Resilience Act (CRA) ist kein direkter Ranking-Faktor für Google und keine eigenständige Vorgabe für GEO, also Generative Engine Optimization. Relevant wird die Verordnung für das digitale Marketing, sobald Unternehmen vernetzte Produkte oder Software vermarkten. Produktseiten, technische Datenblätter, Supportbereiche und Update-Hinweise müssen dann mit den tatsächlich dokumentierten Eigenschaften übereinstimmen.
Ungeprüfte Aussagen wie dauerhaft sicher, vollständig geschützt oder wartungsfrei können rechtlich und kommunikativ riskant sein. Marketing-Verantwortliche sollten Cybersicherheitsangaben deshalb mit Produktentwicklung und Rechtsberatung abstimmen. Das gilt für organische Landingpages ebenso wie für Google Ads, Produktfeeds und Inhalte, die KI-Systeme als Quelle verwenden.
Sicherheitsupdates, veränderte Produktfunktionen und eingestellte Supportzeiträume können außerdem Anpassungen an Websites erfordern. Ein dokumentierter Prozess für technische Website-Prüfungen verhindert, dass veraltete Produktinformationen, defekte Downloads oder widersprüchliche Versionsseiten dauerhaft erreichbar bleiben.
So bereitest du die Umsetzung vor
Eine CRA-Bestandsaufnahme beginnt mit einem vollständigen Produktverzeichnis. Für jedes Produkt solltest du Rolle, Zielmarkt, digitale Komponenten, Netzwerkfunktionen, Risikoklasse, Lieferanten, Unterstützungszeitraum und verantwortliche Ansprechpartner dokumentieren. Erst diese Zuordnung zeigt, welche Produkte und Prozesse angepasst werden müssen.
Bei einem Relaunch oder einer neuen Produktplattform sollten CRA-relevante Inhalte direkt in die Informationsarchitektur einfließen. Eine Website-Entwicklung mit technischer und inhaltlicher Planung kann Versionshinweise, Supportzeiträume, Sicherheitskontakte und Update-Downloads strukturiert abbilden. Die rechtliche Bewertung bleibt dabei Aufgabe eines spezialisierten Rechtsberaters.
Der CRA reiht sich in weitere europäische Vorgaben für digitale Angebote ein. Unternehmen, die parallel Website-Anforderungen prüfen, finden in der Checkliste für barrierefreie Websites eine separate Einordnung zum Barrierefreiheitsstärkungsgesetz. Beide Regelwerke verfolgen unterschiedliche Ziele und benötigen deshalb getrennte Prüfprozesse.
Häufige Fragen zum Cyber Resilience Act (CRA)
Für wen gilt der Cyber Resilience Act?
Der Cyber Resilience Act richtet sich vor allem an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Entscheidend sind die Funktion des Produkts, seine Bereitstellung auf dem EU-Markt und die Rolle des jeweiligen Unternehmens.
Gilt der CRA auch für reine Software?
Ja, auch eigenständig angebotene Software kann unter den CRA fallen. Dazu zählen beispielsweise Betriebssysteme, Anwendungen und kommerziell bereitgestellte Softwarekomponenten, sofern keine spezielle Ausnahme greift.
Sind Onlineshops vom CRA betroffen?
Ein Onlineshop fällt nicht allein wegen seines Webshops unter den CRA. Verkauft oder importiert der Betreiber jedoch erfasste digitale Produkte, können ihn Händler- oder Importeurspflichten treffen.
Gilt der CRA für Open-Source-Software?
Freie und quelloffene Software ist grundsätzlich ausgenommen, wenn sie außerhalb einer kommerziellen Tätigkeit entwickelt oder bereitgestellt wird. Kommerzielle Dienstleistungen, bezahlte Produktintegration oder eine geschäftsmäßige Bereitstellung können eine andere Bewertung erfordern.
Welche Strafen drohen bei CRA-Verstößen?
Bei bestimmten Verstößen sind Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen. Maßgeblich ist der jeweils höhere Betrag und die konkrete Art des Verstoßes.
Müssen bestehende Produkte nachgerüstet werden?
Produkte, die bereits vor dem allgemeinen Anwendungsbeginn auf dem EU-Markt bereitgestellt wurden, fallen nicht automatisch vollständig unter alle neuen Vorgaben. Wesentliche Änderungen nach diesem Zeitpunkt oder neu bereitgestellte Produktversionen können jedoch eine erneute Prüfung auslösen.
Wer prüft die Einhaltung des CRA?
Die Marktüberwachungsbehörden der Mitgliedstaaten kontrollieren die Einhaltung. Je nach Produktklasse und Konformitätsverfahren können zusätzlich unabhängige Konformitätsbewertungsstellen eingebunden sein.
Wenn der Cyber Resilience Act Änderungen an Produktseiten, Kampagnen oder technischen Plattformen auslöst, kann eine abgestimmte Digitalstrategie die Umsetzung strukturieren. Das Erstgespräch ist kostenlos, unverbindlich und kein Ersatz für eine rechtliche Beratung.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
