Cyber Resilience Act (CRA): Was Hersteller jetzt wissen und tun müssen

Was ist der Cyber Resilience Act?

Der CRA ist eine EU-Verordnung und gilt damit unmittelbar in allen Mitgliedstaaten. Er regelt die Cybersicherheit von Produkten mit digitalen Elementen – also von Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Hersteller müssen ihre Produkte sicher entwickeln, Schwachstellen über den gesamten Unterstützungszeitraum behandeln und die Konformität mit der CE-Kennzeichnung bestätigen.

Der CRA ergänzt NIS-2: NIS-2 regelt die Sicherheit im Betrieb von Unternehmen, der CRA die Sicherheit der Produkte, die sie herstellen und verkaufen.

Die Fristen im Überblick

Wie die Meldung abläuft, mit welchen Fristen (24 Stunden, 72 Stunden, Abschlussbericht) und über welche Plattform, erklären wir ausführlich auf der Seite CRA-Meldepflicht.

Die Umsetzung in Deutschland: das BSI als Marktaufsicht

Mit dem deutschen Durchführungsgesetz zum CRA wird das BSI die zuständige Marktüberwachungsbehörde. Es kann Produkte prüfen, die Beseitigung von Mängeln verlangen, Bußgelder verhängen und Produkte vom Markt nehmen. Außerdem wird das BSI notifizierende Behörde für Konformitätsbewertungsstellen. Als Meldestelle (CSIRT) für Schwachstellen und Vorfälle ist das BSI bereits seit dem 11.09.2026 zuständig.

Der Bundestag hat das Gesetz im Oktober 2026 verabschiedet. Der Bundesrat befasst sich am 20.11.2026 abschließend damit. Die neuen Aufgaben des BSI gelten ab dem Tag nach der Verkündung, die Bußgeldvorschriften ab dem 11.12.2027.

Welche Produkte sind betroffen?

Betroffen ist fast jedes vernetzte Produkt, das in der EU auf den Markt kommt – unabhängig von der Größe des Herstellers. Typische Beispiele aus dem Mittelstand:

• Maschinen und Anlagen mit Steuerung, Firmware oder Fernwartung
• Vernetzte Geräte, Sensoren und Steuergeräte
• Software, die als Produkt verkauft wird – Desktop-, Mobile- oder Embedded-Software
• Produkte, die ein Importeur oder Händler unter eigenem Namen vertreibt oder wesentlich verändert – er gilt dann selbst als Hersteller

Der CRA unterscheidet nach Risiko: Die meisten Produkte fallen in die Standardkategorie und können vom Hersteller selbst bewertet werden. Für wichtige Produkte (Anhang III, Klasse I und II) und kritische Produkte (Anhang IV) gelten strengere Verfahren, teils mit einer Konformitätsbewertungsstelle.

Ausgenommen sind unter anderem Medizinprodukte, Luftfahrt- und Schiffsausrüstung sowie typgenehmigte Fahrzeuge, weil dafür eigene Regeln gelten. Reine Software-as-a-Service fällt nicht unter den CRA, solange sie keine Datenverarbeitungslösung eines Produkts ist. Für Automotive-Zulieferer ist je Produkt zu prüfen, ob es auch außerhalb eines typgenehmigten Fahrzeugs verkauft wird.

Die Pflichten der Hersteller

• Sichere Entwicklung: Produkte werden nach den grundlegenden Cybersicherheitsanforderungen aus Anhang I entwickelt – etwa sichere Standardeinstellungen, Schutz vor unbefugtem Zugriff und Updates für Sicherheitslücken.
• Risikobewertung: Für jedes Produkt wird eine Cybersicherheits-Risikobewertung erstellt und aktuell gehalten.
• Schwachstellenbehandlung: Schwachstellen werden während des Unterstützungszeitraums erkannt, dokumentiert und mit Sicherheitsupdates behoben. Der Unterstützungszeitraum beträgt in der Regel mindestens fünf Jahre.
• SBOM: Eine Liste der Softwarekomponenten (Software Bill of Materials) gehört zur technischen Dokumentation.
• Melden: Aktiv ausgenutzte Schwachstellen und schwere Vorfälle werden binnen 24 Stunden gemeldet – seit dem 11.09.2026.
• Konformität und CE: Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung – ab dem 11.12.2027.

Bei Verstößen gegen die grundlegenden Anforderungen drohen Bußgelder von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes.

In 4 Schritten zum CRA-konformen Hersteller

1. Betroffenheit je Produkt klären

Welche Produkte fallen unter den CRA, in welche Kategorie, und wer ist im Sinne des CRA Hersteller? Das Ergebnis ist eine Produktliste mit Einstufung.

2. Meldeprozess aufsetzen

Die Meldepflicht gilt schon. Rollen, Erreichbarkeit, Eingangskanäle für Schwachstellen und den Zugang zur Meldeplattform jetzt festlegen – siehe CRA-Meldepflicht.

3. Lücken zu Anhang I schließen

Sichere Entwicklung, Schwachstellenbehandlung, Update-Prozess und SBOM gegen die Anforderungen prüfen und die Lücken bis Ende 2027 schließen.

4. Konformität nachweisen

Technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung vorbereiten. Wer bereits ein ISMS nach ISO 27001 oder TISAX® betreibt, nutzt dessen Prozesse für Risikomanagement, Lieferanten und Vorfälle mit.

Kostenloses Erstgespräch vereinbaren

Häufige Fragen zum Cyber Resilience Act