Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, macht Cybersicherheit zur Pflicht für Hardware und Software mit digitalen Elementen, die in der EU auf den Markt kommen. Er ist seit dem 10. Dezember 2024 in Kraft. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden, ab dem 11. Dezember 2027 gelten alle Pflichten.
Was ist der Cyber Resilience Act?
Der CRA ist laut BSI die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte auf dem EU-Markt festlegt. Er baut auf der bekannten CE-Kennzeichnung auf und erweitert sie um Cybersicherheit. Die EU-Kommission begründet ihn unter anderem mit dem unzureichenden Sicherheitsniveau vieler Produkte und fehlenden zeitnahen Sicherheitsupdates.
Ist er schon beschlossen? Ja. Der Rat hat die Verordnung im Oktober 2024 verabschiedet, am 20. November 2024 wurde sie im Amtsblatt der EU veröffentlicht und trat 20 Tage später in Kraft. Als Verordnung gilt der CRA in allen Mitgliedstaaten unmittelbar; ein nationales Umsetzungsgesetz ist nicht nötig. Die Mitgliedstaaten benennen die zuständigen Behörden, legen die Sanktionen fest und sollen Unternehmen, insbesondere KMU, unterstützen.
Den Gesetzestext findet ihr auf EUR-Lex, eine verständliche Zusammenfassung bietet die EU-Kommission.
Seit wann gilt der CRA? Alle Fristen im Überblick
Der CRA gilt gestaffelt. Drei Termine liegen schon hinter uns, der wichtigste kommt im Dezember 2027.
| Datum | Was gilt |
|---|---|
| 10. Dezember 2024 | Verordnung in Kraft getreten |
| 11. Juni 2026 | Regeln zur Notifizierung von Konformitätsbewertungsstellen (Kapitel IV); bis dahin mussten die Mitgliedstaaten notifizierende Behörden benennen |
| 11. September 2026 | Meldepflichten der Hersteller nach Art. 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle |
| 11. Dezember 2026 | Mitgliedstaaten sollen für genügend notifizierte Stellen sorgen (Art. 35 Abs. 2, laut BSI) |
| 11. Dezember 2027 | Alle übrigen Pflichten: grundlegende Anforderungen, Schwachstellenmanagement, Konformitätsbewertung, CE-Kennzeichnung, Marktüberwachung |
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen die übrigen Anforderungen nur erfüllen, wenn sie danach wesentlich geändert werden. Die Meldepflicht gilt dagegen schon jetzt für alle erfassten Produkte, auch für ältere. Maßgeblich ist dabei das einzelne Produkt, nicht die Baureihe: Nach dem Stichtag dürfen auch weitere Exemplare eines alten, nicht konformen Typs nicht mehr in Verkehr gebracht werden.
Wer ist vom Cyber Resilience Act betroffen?
Betroffen ist, wer Produkte mit digitalen Elementen im Rahmen einer Geschäftstätigkeit in der EU bereitstellt. Ein Produkt fällt unter den CRA, wenn es eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk haben soll oder vernünftigerweise haben kann. Pflichten haben drei Rollen:
- Hersteller: wer ein Produkt entwickelt oder herstellt oder entwickeln lässt und unter eigenem Namen vermarktet, gegen Bezahlung oder kostenlos. Auf ihn zielen die meisten Pflichten.
- Importeure: in der EU ansässig, bringen Produkte von Herstellern außerhalb der EU auf den Markt und müssen prüfen, dass der Hersteller seine Pflichten erfüllt hat.
- Händler: stellen Produkte bereit, ohne sie zu verändern, und prüfen unter anderem CE-Kennzeichnung, Kontaktangaben und Angabe des Supportzeitraums.
Das gilt laut BSI auch für Hersteller außerhalb der EU, sobald sie ihre Produkte hier verkaufen. Ausgenommen sind unter anderem Produkte, die bereits eigenen Regeln unterliegen (etwa Medizinprodukte, In-vitro-Diagnostika, Fahrzeuge, zivile Luftfahrt, Schiffsausrüstung), Produkte nur für die nationale Sicherheit, nicht kommerzielle Open-Source-Software und identische Ersatzteile.
Fällt eigenständige Software unter den CRA?
Ja. Ein Produkt mit digitalen Elementen ist ausdrücklich auch reine Software, etwa eine App aus dem App Store, ein herunterladbares Programm oder Firmware, die separat verkauft wird. Das BSI nennt Buchhaltungssoftware, Computerspiele und mobile Apps als Beispiele. Wer Software nur für den eigenen Gebrauch entwickelt, bringt sie dagegen nicht in Verkehr.
Und SaaS, Websites und Cloud-Dienste?
Eigenständige SaaS- oder Cloud-Angebote, die nicht in der Verantwortung eines Produktherstellers entwickelt wurden, sind laut FAQ der EU-Kommission selbst keine Produkte mit digitalen Elementen. Anders ist es bei der Datenfernverarbeitung: Hat der Hersteller oder jemand in seiner Verantwortung ein Backend so entwickelt, dass ohne es eine Funktion des Produkts ausfällt, gehört es zum Produkt und fällt unter den CRA. Für Websites gilt dasselbe Muster: Eine Website, die keine Produktfunktion unterstützt, ist kein Produkt; unterstützt sie eine, kann sie als Datenfernverarbeitung erfasst sein.
Was gilt für Individualsoftware?
Das BSI zählt auch Sonderanfertigungen und Individualsoftware zum Anwendungsbereich, unabhängig von der Stückzahl. Für maßgeschneiderte Produkte, die für einen bestimmten Geschäftskunden und Zweck gebaut werden, erlaubt der CRA laut Kommission Abweichungen bei genau zwei Anforderungen: sicheren Standardeinstellungen und kostenlosen Sicherheitsupdates. Voraussetzung ist, dass beide Seiten das ausdrücklich vertraglich vereinbaren. Eine CRM-Plattform, die viele Kunden mit kleinen Anpassungen nutzen, gilt nicht als maßgeschneidert. Wer bei einer Auftragsentwicklung Hersteller ist, solltet ihr vertraglich und im Zweifel rechtlich klären.
Welche Pflichten haben Hersteller?
Kurz: sicher entwickeln, Konformität nachweisen, Schwachstellen über den Supportzeitraum beheben und Vorfälle melden. Die Kommission ordnet die Pflichten entlang des Produktlebens:
- Vor dem Inverkehrbringen: Cybersicherheits-Risikobewertung, Umsetzung der grundlegenden Anforderungen aus Anhang I, Sorgfalt bei Komponenten von Dritten, technische Dokumentation und Konformitätsbewertung. Zu den Anforderungen gehören etwa sichere Standardeinstellungen ohne Standardpasswort, Zugriffskontrolle, Verschlüsselung und automatische Updates.
- Beim Inverkehrbringen: EU-Konformitätserklärung, CE-Kennzeichnung, Informationen und Anleitungen für Nutzer nach Anhang II und das Ende des Supportzeitraums mit Monat und Jahr, klar erkennbar beim Kauf.
- Danach: Schwachstellen während des Supportzeitraums wirksam behandeln, Sicherheitsupdates kostenlos bereitstellen und melden, was meldepflichtig ist.
Für das Schwachstellenmanagement verlangt der CRA laut BSI eine Software-Stückliste (SBOM), also eine Liste der verwendeten Bibliotheken und Komponenten. Veröffentlichen müsst ihr sie nicht.
Wie lang muss der Supportzeitraum sein?
Mindestens fünf Jahre (Art. 13 Abs. 8). Kürzer darf er nur sein, wenn das Produkt voraussichtlich kürzer genutzt wird; dann entspricht er der erwarteten Nutzungsdauer. Wird ein Produkt erwartbar länger eingesetzt, etwa Betriebssysteme, Router oder Industriesteuerungen, sollen Hersteller laut FAQ der Kommission entsprechend länger unterstützen. Für die Kalkulation heißt das: Ein Produkt bindet nach dem Verkauf über Jahre Entwicklungs- und Betriebskapazität.
Selbstbewertung oder Prüfstelle?
Welcher Weg zur CE-Kennzeichnung führt, hängt von der Produktkategorie ab. Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.
| Kategorie | Beispiele (EU-Kommission) | Konformitätsbewertung |
|---|---|---|
| Standardprodukt | mobile Apps, Computerspiele, Smart Speaker, Speicherchips | Selbstbewertung durch den Hersteller (Modul A) |
| Wichtig, Klasse I (Anhang III) | z. B. Antivirensoftware, Bootmanager, Netzwerkmanagementsysteme | Selbstbewertung nur mit harmonisierten Normen, gemeinsamen Spezifikationen oder EU-Zertifizierung, sonst notifizierte Stelle |
| Wichtig, Klasse II (Anhang III) | z. B. Firewalls, Hypervisoren | notifizierte Stelle oder, wo verfügbar, europäisches Zertifizierungsschema |
| Kritisch (Anhang IV) | Smartcards, Secure Elements, Smart-Meter-Gateways | notifizierte Stelle oder, wo verfügbar, europäisches Zertifizierungsschema |
Die harmonisierten Normen, die die Selbstbewertung erleichtern, werden laut BSI derzeit von den europäischen Normungsorganisationen erarbeitet.
Was gilt seit September 2026? Die Meldepflicht
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit ihrer Produkte betreffen. Gemeldet wird einmal über die Single Reporting Platform (SRP) der ENISA an das CSIRT des Mitgliedstaats der Hauptniederlassung; in Deutschland ist das CERT-Bund im BSI. Eine vorherige Registrierung auf der Plattform ist laut BSI nicht nötig.
| Meldung | Frist |
|---|---|
| Frühwarnung | 24 Stunden nach Kenntnis |
| Meldung | 72 Stunden nach Kenntnis |
| Abschlussbericht Schwachstelle | spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist |
| Abschlussbericht Vorfall | binnen eines Monats nach der 72-Stunden-Meldung |
Die Pflicht gilt auch für Produkte, die vor dem 11. Dezember 2027 auf den Markt kamen. Bei solchen Altprodukten verlangt der CRA laut Kommission die Meldung, aber nicht die übrigen Pflichten wie das Schwachstellenmanagement. Betroffene Nutzer müsst ihr außerdem über die Schwachstelle oder den Vorfall informieren (Art. 14 Abs. 8).
Ein 24-Stunden-Fenster lässt keinen Spielraum für Zuständigkeitsfragen. Legt deshalb vorher fest, wer meldepflichtige Fälle erkennt, entscheidet und meldet, auch in Urlaubszeiten.
Was bedeutet der CRA für KMU?
Ob ein Produkt unter den CRA fällt, entscheidet sich am Produkt, nicht an der Unternehmensgröße: Digitale Elemente, Datenverbindung und Bereitstellung auf dem EU-Markt sind die Kriterien. Erleichterungen gibt es an einzelnen Stellen:
- Kleinst- und Kleinunternehmen können für das Versäumen der 24-Stunden-Frist nicht mit einem Bußgeld belegt werden. Melden müssen sie trotzdem.
- Die Kommission kann ein vereinfachtes Formular für die technische Dokumentation von Kleinst- und Kleinunternehmen festlegen.
- Notifizierte Stellen müssen die Größe von Unternehmen berücksichtigen, auch bei den Gebühren.
- Mitgliedstaaten können gezielte Angebote machen, etwa Schulungen, Tests und Reallabore (Regulatory Sandboxes). Die EU fördert Projekte über das Programm Digitales Europa.
- Am 27. Juli 2026 hat die Kommission eine nicht verbindliche Leitlinie mit 67 Praxisbeispielen veröffentlicht, mit besonderem Blick auf kleine Unternehmen.
CRA und NIS2: Was ist der Unterschied?
Der CRA regelt Produkte, NIS2 regelt Unternehmen und Organisationen. Die Kommission beschreibt den CRA als Ergänzung zur NIS2-Richtlinie. Ein Softwarehersteller kann beiden unterliegen: dem CRA für seine Produkte und NIS2 als Unternehmen, wenn er etwa als Cloud-Anbieter die Größenschwellen überschreitet.
| Cyber Resilience Act | NIS2 (in Deutschland: BSIG) | |
|---|---|---|
| Rechtsform | EU-Verordnung, gilt unmittelbar | EU-Richtlinie, umgesetzt im BSI-Gesetz |
| Gegenstand | Produkte mit digitalen Elementen | Sicherheit der eigenen Systeme und Dienste einer Einrichtung |
| Verpflichtet | Hersteller, Importeure, Händler | besonders wichtige und wichtige Einrichtungen nach Sektor und Größe |
| Meldungen | aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Produktbezug, über die ENISA-SRP | erhebliche Sicherheitsvorfälle an die Meldestelle von BSI und BBK |
| Gilt seit | Meldepflicht 11.9.2026, vollständig ab 11.12.2027 | 6.12.2025 |
Ob euer Unternehmen selbst unter NIS2 fällt, prüft ihr mit unserem Beitrag NIS2 für KMU: Bin ich betroffen? Die Fristen beider Regelwerke neben AI Act, Data Act und DORA zeigt der Compliance-Fahrplan 2026–2028; den aktuellen Stand verfolgt der Regulierungs-Radar.
Wie setzt Deutschland den CRA um?
Über ein Durchführungsgesetz, das Behörden und Verfahren regelt; zusätzlichen Erfüllungsaufwand für die Wirtschaft sieht der Gesetzentwurf nicht vor. Das BSI soll Marktüberwachungsbehörde und notifizierende Behörde werden. Das Artikelgesetz ändert dazu das BSI-Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz und enthält Vorschriften für das Bußgeldverfahren.
Der Bundesrat erhob am 12. Juni 2026 keine Einwendungen gegen den Regierungsentwurf. Der Bundestag beriet ihn am 11. Juni 2026 in erster Lesung und nahm ihn am 15. Oktober 2026 in der vom Innenausschuss geänderten Fassung an. In einer Entschließung forderte er, dass das BSI bei der Marktüberwachung vorrangig Router prüft. Eine Verkündung im Bundesgesetzblatt haben wir bis zum 4. November 2026 nicht gefunden. Die Pflichten aus dem CRA selbst gelten davon unabhängig.
Checkliste: Was Softwarehersteller und KMU jetzt tun sollten
- Produkte inventarisieren: Welche Produkte haben digitale Elemente und eine Datenverbindung? Was ist reines SaaS, was Datenfernverarbeitung eines Produkts?
- Rolle klären: Hersteller, Importeur oder Händler, je Produkt. Bei Auftragsentwicklungen die Herstellerrolle vertraglich festhalten.
- Meldeweg einrichten: Zuständigkeiten, Vertretung und Ablauf für die 24-Stunden-Frühwarnung über die ENISA-SRP, inklusive Information der Nutzer.
- Kategorie bestimmen: Standard, wichtig (Klasse I oder II) oder kritisch, danach den Konformitätsweg planen.
- SBOM und Schwachstellenprozess aufbauen: Komponenten erfassen, Drittkomponenten prüfen, Updates bereitstellen können.
- Supportzeitraum festlegen: mindestens fünf Jahre oder die erwartete Nutzungsdauer, Enddatum kommunizieren, Kosten einplanen.
- Dokumentation beginnen: Risikobewertung und technische Dokumentation anlegen, die Leitlinie der Kommission und die Normung verfolgen.
Plant ihr eine neue Web-App, ein Kundenportal oder ein internes Tool, gehören Update-Weg, Dokumentation und Wartung von Anfang an ins Konzept. Unsere Softwareentwicklung übernimmt auf Wunsch auch Hosting und Wartung. Die rechtliche Einordnung eures Produkts nach dem CRA ersetzt das nicht.
Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung im Einzelfall.
Quellen
- The Cyber Resilience Act – Summary of the legislative text – Europäische Kommission, abgerufen am 4. November 2026
- FAQs on the Cyber Resilience Act (Version 1.4) – Europäische Kommission, 4. September 2026
- Cyber Resilience Act – Reporting obligations – Europäische Kommission, abgerufen am 4. November 2026
- Cyber Resilience Act – Conformity assessment – Europäische Kommission, abgerufen am 4. November 2026
- Commission publishes new guidance to support timely Cyber Resilience Act implementation – Europäische Kommission, 27. Juli 2026
- Cyber Resilience Act – Bundesamt für Sicherheit in der Informationstechnik (BSI), abgerufen am 4. November 2026
- Cyber Resilience Act: Meldepflicht startet – BSI, Pressemitteilung vom 11. September 2026
- Bundestag stimmt Gesetzentwurf zur Cybersicherheit zu – Deutscher Bundestag, 15. Oktober 2026
Verantwortlich
Mehdi Bornak, KI-Manager (IHK)
Mehdi Bornak ist Inhaber von Rocket-Monkeys und IHK-zertifizierter KI-Manager. Rocket-Monkeys wurde 2022 gegründet und entwickelt individuelle Software und KI-Lösungen für Unternehmen.
Mehr über uns