Der Cyber Resilience Act (kurz: CRA) ist die erste EU-Verordnung, die einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen aufstellt. Vollständig gilt er ab dem 11. Dezember 2027. Doch der erste Schritt kommt deutlich früher. Bereits ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle den Behörden melden. Und das gilt für alle betroffenen Produkte – auch für solche, die schon länger auf dem Markt sind.
Wer muss hier weiterlesen?
Der CRA adressiert „Produkte mit digitalen Elementen“ und versteht diesen Begriff denkbar weit. Ein „Produkt mit digitalen Elementen“ ist jedes Software- oder Hardwareprodukt – einschließlich der zugehörigen Datenfernverarbeitungslösungen und einschließlich einzeln vermarkteter Software- oder Hardwarekomponenten (Art. 3 Nr. 1 CRA). Kurz: Nicht nur eigenständige Programme und Geräte sind erfasst, sondern auch die Steuerungssoftware in Geräten (Firmware) und einzeln verkaufte Bauteile.
Der Anwendungsbereich ist eröffnet, wenn die bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung des Produkts eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst (Art. 2 Abs. 1 CRA). „Indirekt“ heißt dabei: Die Verbindung erfolgt als Teil eines größeren Systems, das seinerseits mit dem Gerät oder Netz verbunden werden kann (Art. 3 Nr. 10 CRA). Erfasst ist also praktisch jedes vernetzbare Produkt; nur Produkte ganz ohne Verbindungsmöglichkeit bleiben außen vor.
Eine Besonderheit gilt für herstellerseitige Cloud-Dienste: Eine „Datenfernverarbeitungslösung“ – etwa ein Cloud-Backend, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte – ist Teil des Produkts und damit erfasst (Art. 3 Nr. 2 CRA). Reine Websites etwa fallen dagegen nicht darunter.
Hinzu kommt: Der CRA gilt nur für Produkte, die im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt werden (Art. 3 Nr. 22 CRA). Rein private oder nicht monetarisierte Open-Source-Software fällt daher grundsätzlich heraus.
An wen sich die Pflichten richten
Adressat ist in erster Linie der Hersteller. Das ist, wer ein Produkt entwickelt oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet – ob gegen Bezahlung oder unentgeltlich (Art. 3 Nr. 13 CRA). Ihn treffen die zentralen Pflichten aus Art. 13 und 14 CRA.
Aber nicht nur der Hersteller ist in der Pflicht:
- Einführer ist, wer ein Produkt eines außerhalb der EU ansässigen Herstellers erstmals in der EU in den Verkehr bringt (Art. 3 Nr. 16 CRA). Er darf nur Produkte in Verkehr bringen, die die Anforderungen erfüllen, und muss vorab prüfen, ob Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung vorliegen (Art. 19 CRA).
- Händler ist, wer ein Produkt in der Lieferkette bereitstellt, ohne seine Eigenschaften zu verändern (Art. 3 Nr. 17 CRA). Er muss mit gebührender Sorgfalt insbesondere die CE-Kennzeichnung und die erforderlichen Unterlagen kontrollieren (Art. 20 CRA).
Wichtig ist die Gleichstellung: Ein Einführer oder Händler wird selbst wie ein Hersteller behandelt – mit allen Pflichten aus Art. 13 und 14 CRA –, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder eine wesentliche Änderung an einem bereits vermarkteten Produkt vornimmt (Art. 21 CRA). Dasselbe gilt für jede andere Person, die eine wesentliche Änderung vornimmt und das Produkt bereitstellt (Art. 22 CRA).
Ausgenommen bleiben u. a. Medizinprodukte, In-vitro-Diagnostika und typgenehmigte Kraftfahrzeuge (Art. 2 Abs. 2 CRA) sowie Produkte ausschließlich für Verteidigungs- oder Sicherheitszwecke (Art. 2 Abs. 7 CRA).
Ab wann?
Für alle diese Adressaten gilt der volle Pflichtenkatalog ab dem 11. Dezember 2027; die Meldepflichten nach Art. 14 CRA greifen jedoch bereits ab dem 11. September 2026 – und zwar auch für Produkte, die vorher in den Verkehr gebracht wurden (Art. 71 i. V. m. Art. 69 Abs. 3 CRA).
Der erste Prüfschritt: In welche Risikoklasse fällt mein Produkt?
Der CRA teilt Produkte in drei Stufen ein. Entscheidend ist stets die Kernfunktion des Produkts. Sie bestimmt, wie aufwendig die Prüfung vor dem Verkauf bzw. der Vermietung oder anderweitigen Bereitstellung ausfällt. Welche Produkte genau zu welcher Kategorie gehören, hat die EU-Kommission in einer Durchführungsverordnung im November 2025 näher beschrieben.
- Standardprodukte (der Normalfall): Der Hersteller darf die Konformität selbst bewerten und dokumentieren.
- Wichtige Produkte, Klasse I: dazu zählen etwa Passwort-Manager, Browser, VPN-Software, Betriebssysteme, Router und Virenschutz. Hier reicht die Selbstbewertung nur, wenn der Hersteller anerkannte technische Normen einhält. Sonst muss eine unabhängige Prüfstelle eingebunden werden.
- Wichtige Produkte, Klasse II: dazu gehören unter anderem Firewalls und Systeme zur Angriffserkennung. Hier ist immer eine unabhängige Prüfstelle einzuschalten.
- Kritische Produkte: etwa Smart-Meter-Gateways oder Chipkarten mit Sicherheitsfunktionen. Für sie kann sogar eine förmliche europäische Zertifizierung vorgeschrieben werden.
Die „unabhängige Prüfstelle” ist im CRA die sogenannte notifizierte Stelle, ein staatlich zugelassener Prüfer. Sie stellt eine Bescheinigung aus, bevor das Produkt vertrieben werden darf. Nur bei Standardprodukten kommt man ohne sie aus.
Die wesentlichen Pflichten – vereinfacht zusammengefasst
Der Kern der wesentlichen Pflichten nach CRA lässt sich in drei Phasen einteilen: vor dem Verkauf (bzw. anderweitigem Vertrieb), nach dem Verkauf und im Ernstfall.
Jeder Hersteller muss zunächst die Sicherheitsrisiken seines Produkts bewerten und diese Bewertung dokumentieren. Das gilt für jedes Produkt, unabhängig von der Risikoklasse (Art. 13 CRA). Das Produkt selbst muss von Beginn an sicher gestaltet sein: mit einer sicheren Grundeinstellung und ohne bekannte, ausnutzbare Schwachstellen.
Nach dem Verkauf muss der Hersteller Schwachstellen laufend beobachten und ohne Verzögerung beheben. Diese Pflicht gilt für einen Zeitraum von mindestens fünf Jahren (den sogenannten Unterstützungszeitraum). Erst wenn all das erfüllt und geprüft ist, dürfen die CE-Kennzeichnung angebracht und das Produkt in den Verkehr gebracht werden.
Und schließlich – der Punkt, der bereits ab dem 11. September 2026 greift: Wird eine aktiv ausgenutzte Schwachstelle oder ein schwerer Vorfall bekannt, muss der Hersteller innerhalb von 24 Stunden eine erste Warnung und innerhalb von 72 Stunden eine Meldung an die zuständigen Behörden abgeben. Betroffene Nutzer sind ebenfalls zu informieren.
Im Einzelnen sind das die wichtigsten Pflichten des Herstellers:
- Risikobewertung durchführen und dokumentieren: Der Hersteller analysiert die Cybersicherheitsrisiken seines Produkts – ausgehend von der geplanten Nutzung – und hält das Ergebnis in der technischen Dokumentation fest. Diese Bewertung ist während des Unterstützungszeitraums aktuell zu halten (Art. 13 CRA).
- Produkt sicher gestalten („Security by Design”): Das Produkt wird so entwickelt, dass es von Anfang an ein angemessenes Sicherheitsniveau bietet – etwa mit sicherer Standardeinstellung und ohne bekannte ausnutzbare Schwachstellen (Anhang I Teil I CRA).
- Sorgfalt bei zugekauften Bestandteilen: Auch für fremde Komponenten – proprietär oder Open Source – trägt der Hersteller die Verantwortung. Er muss sie mit der gebotenen Sorgfalt prüfen. Das nötige Maß richtet sich nach dem Risiko der Komponente (Art. 13 Abs. 5 CRA).
- Schwachstellen laufend behandeln und Updates bereitstellen: Wird eine Schwachstelle bekannt, muss der Hersteller sie unverzüglich beheben, in der Regel durch ein Sicherheitsupdate. Sicherheitsupdates sind kostenlos und – soweit möglich – getrennt von Funktionsupdates bereitzustellen (Anhang I Teil II CRA).
- Technische Dokumentation erstellen: Vor dem Inverkehrbringen erstellt der Hersteller die technische Dokumentation und bewahrt sie mindestens zehn Jahre auf. Sie belegt, dass das Produkt die Anforderungen erfüllt (Art. 13, Art. 31 CRA).
- Konformität prüfen, CE-Kennzeichnung anbringen: Nach erfolgreicher Konformitätsbewertung stellt der Hersteller die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Erst dann darf das Produkt verkauft werden (Art. 13 Abs. 12, Art. 28 CRA).
- Nutzer informieren und Unterstützungszeitraum angeben: Dem Produkt sind verständliche Sicherheitsinformationen beizufügen (Anhang II CRA); zusätzlich muss das Enddatum des Unterstützungszeitraums beim Kauf bzw. anderweitigem Bezug klar erkennbar sein (Art. 13 Abs. 18, 19 CRA).
- Meldepflichten ab 11. September 2026: Bei einer aktiv ausgenutzten Schwachstelle oder einem schweren Vorfall gelten enge Fristen – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden an die Behörden – und die betroffenen Nutzer sind zu informieren (Art. 14 CRA).
- Markt beobachten und bei Problemen reagieren: Erkennt der Hersteller, dass sein Produkt nicht mehr sicher ist, muss er unverzüglich handeln – nachbessern oder das Produkt notfalls zurückrufen (Art. 13 Abs. 21 CRA).
Fünf beispielhafte Fragen aus der Praxis
Wie verschaffe ich mir intern einen Überblick, ob ich überhaupt vom CRA betroffen bin und für welche Produkte er gilt?
Am besten mit einem strukturierten Fragebogen, der im Unternehmen verteilt wird. In einem ersten Schritt erfassen Sie alle potentiell erfassten Produkte mit Name, Version und Typ. Dann klären Sie für jedes Produkt Ihre Rolle – Hersteller, Einführer oder Händler. Anschließend prüfen Sie, ob das Produkt überhaupt in den Anwendungsbereich fällt oder eine Ausnahme greift. Zuletzt ordnen Sie es einer Risikoklasse zu. Diese Bestandsaufnahme sollte früh erfolgen, denn sie entscheidet über den weiteren Aufwand und darüber, ob eine Prüfstelle eingebunden werden muss.
Wie sichere ich meine Lieferkette ab – welche Verträge und welche Dokumentation brauche ich?
Der Hersteller haftet für die Sicherheit des gesamten Produkts, also auch für zugekaufte oder quelloffene Bestandteile. Er kann die Verantwortung nicht einfach auf den Zulieferer abwälzen (Art. 13 CRA). In der Praxis heißt das: Die Sicherheit der zugelieferten Komponenten sollte vertraglich abgesichert und zusätzlich selbst überprüft werden.
Das zentrale Dokument dafür ist die Software-Stückliste, im Englischen „SBOM” genannt. Sie ist ein maschinenlesbares Verzeichnis aller Software-Bestandteile eines Produkts und ihrer Abhängigkeiten. Diese Liste muss bei jeder neuen Version aktualisiert werden; wegen des Umfangs empfiehlt sich der Einsatz automatischer Werkzeuge. Die SBOM gehört in die technische Dokumentation, muss aber nur auf begründetes behördliches Verlangen offengelegt werden – zum Schutz Ihrer Geschäftsgeheimnisse.
Wie sieht es mit Updates aus – und was ist der Unterschied zwischen On-Premise und Cloud?
Sicherheitsupdates müssen kostenlos sein. Nach Möglichkeit sollen sie getrennt von neuen Funktionen ausgeliefert werden, damit Nutzer sie einspielen können, ohne zugleich Funktionsänderungen in Kauf zu nehmen. Bei Produkten für Verbraucher sollen automatische Updates die Voreinstellung sein, was potentiell im Konflikt zu den Anforderungen des Verbrauchervertragsrechts steht – hier muss die weitere Diskussion noch einen Ausgleich bringen. Bei professionellen und industriellen Systemen gilt das nicht, weil ein automatisches Update dort den Betrieb stören könnte.
Der Unterschied zwischen lokal betriebener Software und Cloud-Lösungen liegt vor allem in der Kontrolle: Läuft die Software beim Kunden vor Ort (On-Premise), entscheidet oft der Kunde selbst, wann er das Update installiert. Betreibt dagegen der Hersteller einen Cloud-Dienst, der zum Funktionieren des Produkts nötig ist – etwa das Backend zur Fernsteuerung eines vernetzten Geräts –, so gehört dieser Dienst zum Produkt und unterliegt denselben Pflichten. Reine Hersteller-Websites oder unabhängige Cloud-Angebote fallen dagegen nicht darunter.
Für die Bereitstellung der Updates denkt der CRA nicht in Jahresintervallen, sondern in einem fortlaufenden Prozess. Hersteller müssen Schwachstellen während des Unterstützungszeitraums unverzüglich behandeln und beheben – unter anderem durch Sicherheitsaktualisierungen, die, soweit technisch machbar, getrennt von Funktionsupdates bereitgestellt werden. Wie schnell reagiert werden muss, richtet sich nach dem Risiko: Bei unkritischen Produkten kann eine Prüfung im Abstand von Wochen genügen, bei hochkritischen Systemen ist eine kontinuierliche Überwachung nötig.
Wir haben bereits Sicherheitszertifikate für unser Produkt. Ändert sich daran etwas, wenn wir eine neue Funktion nachrüsten?
Bestehende Bescheinigungen gelten nicht dauerhaft unverändert. Entscheidend ist der Begriff der wesentlichen Änderung: Eine Änderung nach dem Inverkehrbringen ist wesentlich, wenn sie sich auf die Konformität mit den grundlegenden Sicherheitsanforderungen auswirkt oder den geprüften Verwendungszweck ändert. Ein reines Sicherheits-Update, das nur das Risiko senkt, zählt nicht dazu – das Hinzufügen einer neuen Funktion, das die Angriffsfläche und damit das Cybersicherheitsrisiko erhöht, hingegen regelmäßig schon.
Liegt eine solche wesentliche Änderung vor, muss die Konformität erneut überprüft und das Produkt gegebenenfalls einer neuen Konformitätsbewertung unterzogen werden. Wurde eine Prüfstelle eingebunden – bei Klasse-II- und kritischen Produkten Pflicht –, ist ihr die Änderung mitzuteilen; sie prüft dann, ob eine erneute Bewertung erforderlich ist. Das kann die Gültigkeit der ausgestellten Bescheinigung berühren: Fallen deren Voraussetzungen weg, etwa weil das Zertifikat unwirksam wird, entfällt auch die Grundlage für die CE-Kennzeichnung, und diese darf nicht weiter angebracht werden. Wer also funktional erweitert, riskiert nicht nur internes Nachbessern, sondern unter Umständen eine komplette neue Prüfrunde.
Wie schnell muss ich die Sicherheit einer Software nachziehen, die ich schon heute auf dem Markt bereitstelle?
Hier ist zwischen zwei Ebenen zu unterscheiden.
Die vollständigen Produktanforderungen greifen für Ihre Bestandsprodukte zunächst nicht. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die CRA-Anforderungen grundsätzlich erst dann erfüllen, wenn sie nach diesem Datum wesentlich geändert werden (Art. 69 Abs. 2 CRA). Ohne wesentliche Änderung besteht insoweit Bestandsschutz. Ein reines Fehlerbehebungs-Update löst diese Pflicht nicht aus – wohl aber eine neue Funktion, die das Sicherheitsrisiko erhöht.
Die Meldepflichten gelten dagegen sofort – und zwar bereits ab dem 11. September 2026, auch für Altprodukte. Das ist die praktisch entscheidende Ausnahme: Für aktiv ausgenutzte Schwachstellen und schwere Vorfälle gelten die Meldepflichten (Art. 14 CRA) unabhängig davon, wann das Produkt in Verkehr gebracht wurde (Art. 69 Abs. 3 CRA). Wird eine aktiv ausgenutzte Schwachstelle bekannt, müssen Sie also auch bei einem heute schon vertriebenen Produkt reagieren: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
Auch müssen erkannte Sicherheitslücken geschlossen werden. Wie schnell die eigentliche technische Behebung erfolgen muss, richtet sich nach dem Risiko. Der CRA denkt hier nicht in festen Fristen, sondern verlangt eine Behebung während des Unterstützungszeitraums, orientiert an der Schwere der Schwachstelle. Bei einer aktiv ausgenutzten, kritischen Lücke bedeutet das in der Regel einen sofortigen Patch; bei geringem Risiko kann eine spätere Behebung oder bloße Dokumentation genügen.
Konkret bedeutet das, dass – jenseits der Meldepflichten – auch Jahre nach Geltungsbeginn des CRA noch Produkte mit digitalen Elementen ohne CE-Kennzeichnung im Markt vertriebsfähig sind, wenn diese schon vor dem 11. Dezember 2027 auf dem Markt verfügbar waren und seither nicht wesentlich verändert wurden. Dies bezieht sich allerdings immer nur auf ein Exemplar eines Produkts, nicht einen Produkttyp: Verkauft ein Hersteller Exemplare einer Software nach dem 11. Dezember 2027 erstmalig, spricht viel dafür, dass diese dann dem CRA entsprechen müssen, einschließlich der CE-Kennzeichnung. Schon im Markt befindliche Software und andere Produkte, die etwa beim Reseller liegen, müssen aber – ohne wesentliche Veränderung – nicht angepasst werden.
Was bei einem Verstoß droht – und was jetzt zu tun ist
Verstöße gegen die grundlegenden Sicherheits- und Meldepflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden. Falsche oder unvollständige Auskünfte an Behörden kosten bis zu 5 Millionen Euro. Zudem können die Behörden Produkte vom Markt nehmen oder zurückrufen lassen.
Wer erst 2027 anfängt, gerät in Zeitnot. Die Bestandsaufnahme der Produkte, der Aufbau der Software-Stückliste und – bei den höheren Risikoklassen – die Einbindung einer Prüfstelle brauchen einen erheblichen Vorlauf. Der sinnvolle erste Schritt ist deshalb eine strukturierte Betroffenheitsanalyse. Sie zeigt, welche Produkte betroffen sind, in welche Risikoklasse sie fallen und welche Fristen für Sie zuerst greifen.
Für alle Fragen zum CRA und seine Anforderungen stehen wir gerne zur Verfügung. Schreiben Sie uns gerne!
Dr. Kristina Schreiber, Loschelder Rechtsanwälte, kristina.schreiber@loschelder.de
https://www.linkedin.com/in/dr-kristina-schreiber
https://loschelder.de/de/rechtsanwaelte/anwaelte/dr-kristina-schreiber.html