Cyber Resilience Act: was Ihr Unternehmen tun muss, und bis wann

Auf einen Blick

• Was: die Verordnung (EU) 2024/2847, am 20. November 2024 im Amtsblatt veröffentlicht, seit dem 10. Dezember 2024 in Kraft.
• Für wen: Hersteller, Einführer und Händler von Produkten mit digitalen Elementen auf dem EU-Markt.
• Bereits Pflicht: die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, seit dem 11. September 2026.
• Alles Weitere: grundlegende Anforderungen, technische Dokumentation, CE-Kennzeichnung, ab dem 11. Dezember 2027.
• Sanktionen: bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.

Wer ist betroffen?

Der CRA gilt für Produkte mit digitalen Elementen: jede Software oder Hardware, die sich direkt oder indirekt mit einem anderen Gerät oder einem Netz verbindet. Lizenzierte Software, eine beim Kunden installierte Anwendung, ein Agent, eine Firmware, ein Router oder eine vernetzte Kamera fallen darunter.

Die meisten Pflichten treffen den Hersteller: wer das Produkt entwickelt oder entwickeln lässt und unter eigenem Namen vertreibt. Einführer und Händler haben Prüfpflichten.

Ausgenommen, weil andere Vorschriften gelten: Medizinprodukte, Fahrzeuge, Luftfahrt, Schiffsausrüstung sowie Produkte für Verteidigung und nationale Sicherheit. Ein reiner SaaS-Dienst ist kein Produkt im Sinne des CRA, außer er übernimmt die Datenfernverarbeitung, die ein Produkt zum Funktionieren braucht (etwa das Cloud-Backend eines vernetzten Geräts). Freie und quelloffene Software, die außerhalb jeder Geschäftstätigkeit entwickelt wird, ist ausgenommen; Stiftungen, die kommerziell genutzte Open-Source-Software dauerhaft unterstützen, haben ein vereinfachtes Regime.

Produkte werden eingestuft: Die große Mehrheit fällt in die Standardkategorie (Selbstbewertung durch den Hersteller). „Wichtige“ Produkte (Klassen I und II: Browser, Passwortmanager, VPN, Firewalls…) und „kritische“ Produkte erfordern eine strengere Bewertung, teils durch eine benannte Stelle.

Zeitplan

Die Meldepflicht gilt ab September 2026 für alle Produkte auf dem Markt, auch für bereits verkaufte. Die übrigen Anforderungen betreffen nur Produkte, die ab Dezember 2027 in Verkehr gebracht werden; ein weiterhin verkauftes Produkt unterliegt ihnen ab diesem Datum.

Die vier Pflichten des Herstellers

1. Sicherheit durch Design. Das Produkt wird nach den grundlegenden Anforderungen des Anhangs I entwickelt und ausgeliefert: keine bekannte ausnutzbare Schwachstelle bei Auslieferung, sichere Standardkonfiguration, Datenschutz, reduzierte Angriffsfläche, Sicherheitsupdates möglich. Eine Risikobewertung wird dokumentiert.

2. Schwachstellenbehandlung. Der Hersteller erfasst und dokumentiert die Komponenten des Produkts, insbesondere in einer maschinenlesbaren Software-Stückliste (SBOM), die mindestens die direkten Abhängigkeiten abdeckt. Er behebt Schwachstellen unverzüglich, stellt kostenlose Sicherheitsupdates bereit, betreibt eine Richtlinie zur koordinierten Offenlegung und eine Kontaktstelle für Meldungen.

3. Meldung innerhalb von 24 Stunden. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall am Produkt wird der ENISA und dem koordinierenden CSIRT gemeldet, in drei Schritten: 24 Stunden, 72 Stunden, dann Abschlussbericht. Siehe den Meldeablauf Schritt für Schritt.

4. Support während der gesamten Nutzungsdauer. Der Hersteller legt einen Unterstützungszeitraum fest (mindestens fünf Jahre, außer das Produkt ist für eine kürzere Nutzung vorgesehen), nennt ihn beim Kauf deutlich und liefert in dieser Zeit Sicherheitsupdates. Technische Dokumentation und EU-Konformitätserklärung werden zehn Jahre aufbewahrt.

Sanktionen

Marktüberwachungsbehörden können zudem Korrekturmaßnahmen, Rücknahme oder Rückruf eines Produkts anordnen. Kleinst- und Kleinunternehmen können nicht allein wegen Überschreitung der 24-Stunden-Frist der Frühwarnung sanktioniert werden; die übrigen Fristen und Pflichten gelten für sie.

Checkliste für KMU

• Betroffene Produkte und ihre Kategorie (Standard, wichtig, kritisch) auflisten.
• Für jede Version ein SBOM erzeugen (CycloneDX oder SPDX), direkt aus der CI.
• Täglich die Schwachstellen dieser Komponenten überwachen, ausgenutzte zuerst (KEV-Katalog der CISA, europäische Datenbank EUVD).
• Eine Sicherheitskontaktstelle veröffentlichen, zum Beispiel eine Datei /.well-known/security.txt, und eine Richtlinie zur koordinierten Offenlegung.
• Den Meldeablauf jetzt vorbereiten: Wer entscheidet, wer sendet, innerhalb von 24 Stunden, auch am Wochenende.
• Den Unterstützungszeitraum jedes Produkts festlegen und angeben.
• Entscheidungen zu nicht ausnutzbaren Schwachstellen dokumentieren (VEX-Erklärungen), um sie belegen zu können.
• Die technische Dokumentation zusammenstellen: Risikobewertung, SBOM, Testergebnisse, Update-Verfahren.

Wie CheckOps hilft

CheckOps nimmt Ihre SBOMs und Scannerergebnisse entgegen, gleicht sie täglich mit den Datenbanken EUVD, OSV, KEV und EPSS ab und warnt Sie, wenn eine ausgenutzte Schwachstelle eines Ihrer Produkte betrifft. Es bereitet die drei CRA-Meldeschritte mit ihren Fristen vor, speichert die Historie Ihrer VEX-Entscheidungen und erzeugt die technische Akte und den PDF-Bericht jeder Version. Gehostet in Frankreich, ohne Abhängigkeit von einer US-Cloud.

Häufige Fragen