Der Cyber Resilience Act (CRA) ist die erste EU-Verordnung, die verbindliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen stellt. Dazu zählen Software, vernetzte Geräte, industrielle Steuerungssysteme sowie smarte Consumer-Produkte. Für Hersteller, Entwickler, Importeure und Händler bedeutet das: Cybersicherheit wird zur Pflicht. Sie muss von der Produktentwicklung über die Markteinführung bis hin zur Wartung umfassend berücksichtigt werden. Ziel der Verordnung ist es, Sicherheitslücken frühzeitig zu erkennen und zu beheben, um ein dauerhaft hohes Schutzniveau im gesamten EU-Binnenmarkt sicherzustellen. Der CRA schafft einheitliche Standards, stärkt die Verbrauchersicherheit und ist ein wesentlicher Bestandteil der digitalen Resilienzstrategie der Europäischen Union. Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat am 10. Dezember 2024 in Kraft. Die meisten Pflichten gelten ab dem 11. Dezember 2027; die Meldepflichten bereits ab dem 11. September 2026.

Der Cyber Resilience Act (CRA) definiert für Hersteller von Produkten mit digitalen Elementen einen umfangreichen Pflichtenkatalog, der den gesamten Produktlebenszyklus abdeckt – von der Konzeption und Entwicklung über das Inverkehrbringen bis hin zur Wartung und Nachbetreuung. Dabei ist zwischen den allgemeinen Produktanforderungen des CRA und den bereits früher einsetzenden Meldepflichten zu unterscheiden. Die vollständigen Anforderungen des CRA gelten grundsätzlich ab dem 11. Dezember 2027. Produkte mit digitalen Elementen, die bereits vor diesem Zeitpunkt in Verkehr gebracht wurden, unterliegen diesen Anforderungen grundsätzlich nur dann, wenn sie ab diesem Zeitpunkt wesentlich geändert werden. Eine wichtige Ausnahme bilden jedoch die Meldepflichten: Sie gelten bereits ab dem 11. September 2026 und erfassen ausdrücklich auch Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, sofern sie in den Anwendungsbereich des CRA fallen.

Für Produkte, die den vollständigen CRA-Anforderungen unterliegen, müssen Hersteller bereits vor dem Inverkehrbringen eine systematische Bewertung der Cybersicherheitsrisiken durchführen. Dabei sind potenzielle Schwachstellen, Bedrohungen und mögliche Angriffsvektoren zu identifizieren, zu bewerten und durch geeignete technische und organisatorische Maßnahmen abzumildern. Die Ergebnisse dieser Bewertung sind zu dokumentieren und während des vorgesehenen Supportzeitraums bei Bedarf zu aktualisieren.

Ein zentrales Element des Schwachstellenmanagements ist zudem die Erstellung einer Software Bill of Materials (SBOM). Sie schafft Transparenz über die im Produkt enthaltenen Softwarekomponenten und Abhängigkeiten und erleichtert es, neu bekannt gewordene Schwachstellen bestimmten Produkten und Komponenten schnell zuzuordnen. Während des festgelegten Supportzeitraums müssen Hersteller sicherstellen, dass Schwachstellen wirksam behandelt und erforderliche Sicherheitsupdates beziehungsweise andere geeignete Abhilfemaßnahmen bereitgestellt werden. Nutzer sind über relevante Sicherheitsupdates und erforderliche Maßnahmen angemessen zu informieren. Eine zentrale Plattform wie IoTree kann hierbei unterstützen, indem Updates, Schwachstelleninformationen, Ereignismeldungen und Gerätezustände zentral überwacht und nachvollziehbar dokumentiert werden – ein wesentlicher Vorteil im Hinblick auf CRA-Compliance und operative Effizienz.

Die Konzeption und Entwicklung von Produkten, die den vollständigen CRA-Anforderungen unterliegen, muss nach dem Prinzip „Security by Design“ erfolgen. Sicherheitsaspekte wie Authentifizierung, Verschlüsselung, Zugriffskontrolle und die Reduzierung der Angriffsfläche müssen von Beginn an in die Produktarchitektur einbezogen werden. Zugleich verlangt der CRA sichere Standardeinstellungen („Secure by Default“). Ein weiterer zentraler Bestandteil ist die Konformitätsbewertung. Abhängig von der Einstufung des Produkts und den anwendbaren Konformitätsbewertungsverfahren kann diese durch den Hersteller selbst oder unter Einbeziehung einer notifizierten Stelle erfolgen. Ziel ist der Nachweis, dass das Produkt die einschlägigen Cybersicherheitsanforderungen des CRA erfüllt.

Von besonderer Bedeutung ist, dass die Meldepflichten nicht nur neu in Verkehr gebrachte Produkte betreffen. Die Pflichten gelten ab dem 11. September 2026 für alle Produkte mit digitalen Elementen im Anwendungsbereich des CRA, einschließlich solcher Produkte, die bereits zuvor in Verkehr gebracht wurden und sich beispielsweise bereits bei Kunden im Einsatz befinden. Damit können auch Schwachstellen oder Sicherheitsvorfälle bei einem bestehenden Produktbestand eine Meldepflicht des Herstellers auslösen.

Meldepflichtig sind insbesondere aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen. Für beide Fallgruppen sieht der CRA ein gestuftes Meldeverfahren vor. Hersteller müssen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, eine Frühwarnung über die einheitliche Meldeplattform abgeben. Innerhalb von spätestens 72 Stunden nach Kenntniserlangung ist eine ergänzende Meldung mit detaillierteren Informationen nachzureichen.

Bei einer aktiv ausgenutzten Schwachstelle muss diese 72-Stunden-Meldung insbesondere verfügbare Informationen über das betroffene Produkt, die Art der Schwachstelle und deren Ausnutzung sowie bereits ergriffene oder für Nutzer verfügbare Korrektur- und Risikominderungsmaßnahmen enthalten. Darüber hinaus ist spätestens 14 Tage nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, ein Abschlussbericht vorzulegen. Dieser enthält unter anderem eine Beschreibung der Schwachstelle einschließlich ihrer Auswirkungen und ihres Schweregrads sowie Angaben zu bereitgestellten Sicherheitsupdates oder sonstigen Abhilfemaßnahmen.

Bei einem schwerwiegenden Sicherheitsvorfall sind innerhalb der 72-Stunden-Meldung insbesondere die Art des Vorfalls, eine erste Bewertung seiner Auswirkungen sowie bereits ergriffene oder mögliche Abhilfemaßnahmen mitzuteilen. Der entsprechende Abschlussbericht ist spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung einzureichen und muss insbesondere eine detaillierte Beschreibung des Vorfalls und seiner Auswirkungen, die wahrscheinliche Ursache beziehungsweise Art der Bedrohung sowie die bereits umgesetzten und laufenden Abhilfemaßnahmen enthalten.

Neben der Meldung an die zuständigen Stellen müssen Hersteller die betroffenen Nutzer über aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle informieren, wenn dies erforderlich ist. Dabei sind gegebenenfalls auch geeignete Maßnahmen zu kommunizieren, mit denen Nutzer die Auswirkungen der Schwachstelle oder des Sicherheitsvorfalls begrenzen können.

Der Cyber Resilience Act richtet sich an eine breite Zielgruppe innerhalb und außerhalb der Europäischen Union. Im Zentrum stehen Hersteller digitaler Produkte, unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht. Denn auch außereuropäische Unternehmen unterliegen den Anforderungen des CRA, sofern ihre Produkte in der EU auf den Markt gebracht werden. Darüber hinaus betrifft die Verordnung auch Importeure und Händler innerhalb der EU, die für die Einhaltung der Cybersicherheitsanforderungen der von ihnen vertriebenen Produkte mitverantwortlich sind.

Auch Betreiber kritischer Infrastrukturen, wie etwa Energieversorger, Wasserwerke oder Verkehrsbetriebe, müssen sich auf die neuen Vorgaben einstellen. Insbesondere dann, wenn sie digitale Komponenten oder IoT-Systeme einsetzen, die unter den Anwendungsbereich des CRA fallen. Für kleine und mittelständische Unternehmen (KMU) sowie Start-ups gelten grundsätzlich dieselben sicherheitsbezogenen Anforderungen wie für große Konzerne. Allerdings sieht der CRA für sie eine Erleichterung bei der Dokumentation und bei bestimmten administrativen Pflichten vor, um den bürokratischen Aufwand zu reduzieren.

Der CRA gilt grundsätzlich für auf dem Unionsmarkt bereitgestellte Hardware- und Softwareprodukte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst. Diese Definition umfasst sowohl Hardwareprodukte mit vernetzten Funktionen als auch reine Softwareprodukte. Ausgenommen vom CRA hingegen sind nicht-kommerzielle Open-Source-Softwareprodukte und bestimmte regulierte Bereiche, sowie bestimmte sicherheits- und verteidigungsbezogene Produkte. Diese müssen demnach die Anforderungen des CRA nicht erfüllen.

Beispiele für Produkte, die vom CRA betroffen sind:

• Smartphones

• Laptops

• Smarthomeprodukte

• Smartwatches

• Firewalls

• Mikroprozessoren

• Smarte Zähler

• Sensoren

• Computerspiele

• Apps

Der Cyber Resilience Act (CRA) enthält einheitliche grundlegende Anforderungen an die Cybersicherheit, die für alle Produkte mit digitalen Elementen gelten – unabhängig vom Preis, der Zielgruppe oder dem Nutzungskontext. Hersteller müssen Schwachstellen während des festgelegten Supportzeitraums behandeln und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden. Diese Basisanforderungen gelten produktübergreifend.

Gleichzeitig differenziert der CRA beim Verfahren zur Konformitätsbewertung. Denn nicht jedes Produkt ist gleich sicherheitskritisch. Deshalb unterscheidet die Verordnung zwischen Standardprodukten, wichtigen Produkten und kritischen Produkten. Während Standardprodukte vom Hersteller in einem internen Verfahren selbst bewertet werden dürfen, gelten für die anderen beiden Produktkategorien strengere Vorgaben.

Produkte, die unter dem Aspekt der Cybersicherheit als besonders sensibel eingestuft werden, finden sich in den Anhängen III und IV des CRA. In Anhang III sind sogenannte wichtige Produkte aufgeführt, wie beispielsweise Passwortmanager, Firewalls, VPN-Software oder Netzwerküberwachungstools.

Innerhalb dieses Anhangs gibt es zwei Klassen: Bei wichtigen Produkten der Klasse I ist eine Selbstbewertung möglich. Für Klasse II ist grundsätzlich eine Drittbewertung erforderlich; soweit verfügbar und anwendbar, kann auch ein europäisches Cybersicherheitszertifizierungsschema genutzt werden.

Noch eine Stufe höher stehen die sogenannten kritischen Produkte, die in Anhang IV gelistet sind. Dazu gehören etwa Smart-Meter-Gateways, Smartcards/Secure Elements und bestimmte Hardwaregeräte für fortgeschrittene Sicherheitszwecke. Für diese Produktkategorie ist eine Drittbewertung über eine notifizierte Stelle erforderlich. 

Die Verfahren zur Konformitätsbewertung basieren auf dem bestehenden europäischen Produktrechtsrahmen (New Legislative Framework – NLF).
 

Der Cyber Resilience Act und die NIS-2-Richtlinie verfolgen das gemeinsame Ziel, das Sicherheitsniveau im digitalen Raum zu erhöhen – allerdings mit unterschiedlichen Schwerpunkten. Während der CRA vor allem produktbezogene Cybersicherheit adressiert, liegt der Fokus von NIS-2 auf der organisatorischen und prozessualen Cybersicherheit in Unternehmen und kritischen Infrastrukturen. Der CRA richtet sich in erster Linie an Hersteller digitaler Produkte, darunter Softwareanbieter, IoT-Hersteller oder Systemintegratoren. NIS-2 betrifft Betreiber wesentlicher Dienste, wie Energieversorger, Verkehrsunternehmen, Gesundheitsdienstleister oder große IT-Dienstleister (typischerweise ab einer bestimmten Unternehmensgröße).

Auch die Pflichten unterscheiden sich: Der CRA fordert von Herstellern die Bereitstellung einer Software Bill of Materials (SBOM), eine strukturierte Risikobewertung, regelmäßige Sicherheitsupdates und die Einhaltung konkreter Konformitäts- und Kennzeichnungsvorgaben (z. B. CE-Kennzeichnung). Die NIS-2-Richtlinie hingegen verpflichtet Organisationen zur Einführung und Pflege eines Informationssicherheitsmanagementsystems (ISMS), zur Durchführung regelmäßiger Risikoanalysen und zur Meldung von Sicherheitsvorfällen innerhalb definierter Fristen. Beide Regulierungen ergänzen sich: Der CRA legt die Anforderungen an das Produkt fest – wie sicher ein Gerät oder eine Software in sich ist. NIS-2 hingegen definiert, wie Unternehmen mit diesen Produkten sicher umgehen, sie betreiben und Schwachstellen organisatorisch beherrschen. Wer beide Regulierungen im Zusammenspiel berücksichtigt, stärkt sowohl die Produktsicherheit als auch die betriebliche Resilienz gegenüber Cyberbedrohungen.