Cyber Resilience Act: Was Hersteller, Softwarehäuser und Web-Entwickler jetzt wissen müssen

Wenn du Hardware mit Netzwerkanschluss baust, Software verkaufst oder vernetzte Produkte auf den EU-Markt bringst, dann gilt für dich der Cyber Resilience Act (CRA) — die Verordnung (EU) 2024/2847. Sie ist seit dem 10. Dezember 2024 in Kraft und schreibt erstmals EU-weit verbindliche Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen“ fest. Die Anwendung läuft gestaffelt: Die ersten Reporting-Pflichten greifen ab dem 11. September 2026, die vollen materiellen Anforderungen (Security-by-Design, Konformitätsbewertung, CE-Kennzeichnung) ab dem 11. Dezember 2027. Du hast also keine offene Deadline — du hast einen Countdown.

TL;DR

• Was: Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, regelt Cybersicherheit für vernetzte Hardware und eigenständige Software auf dem EU-Markt. In Kraft seit 10.12.2024, Anwendung gestaffelt.
• Wer: Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen“ — alles mit direkter oder indirekter Daten-/Netzwerkverbindung.
• Erste harte Frist: Ab 11.9.2026 Melde-/Reporting-Pflichten (Art. 14) für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle — Frühwarnung in 24 h, Meldung in 72 h, Abschlussbericht.
• Vollanwendung: Ab 11.12.2027 gelten Security-by-Design, Konformitätsbewertung und CE-Kennzeichnung verpflichtend.
• Kernpflichten: Security-by-Design/Default, Schwachstellen-Management über den gesamten Supportzeitraum, kostenlose Sicherheitsupdates, ein definierter Supportzeitraum mit Enddatum.
• In Deutschland: Ein CRA-Durchführungsgesetz (Änderung des BSI-Gesetzes) setzt die Verordnung um — 1. Lesung im Bundestag am 11.6.2026. Dies ist keine Rechtsberatung.

Was ist der Cyber Resilience Act überhaupt?

Der CRA ist die erste EU-weite Verordnung, die Cybersicherheit zu einer Produkteigenschaft macht — so wie es bei Produktsicherheit oder elektromagnetischer Verträglichkeit längst Standard ist. Bisher konntest du ein unsicheres vernetztes Gerät oder eine löchrige Software verkaufen, und niemand zwang dich, das zu beheben. Mit dem CRA ändert sich das: Cybersicherheit wird zur Voraussetzung dafür, ein Produkt überhaupt auf dem EU-Markt bereitstellen zu dürfen.

Wichtig ist die Wortwahl „Produkt mit digitalen Elementen“. Gemeint ist nicht nur klassische Hardware, sondern Hardware und Software mit direkter oder indirekter Daten- oder Netzwerkverbindung. Das umfasst viele vernetzte Geräte — vom smarten Sensor bis zum Industrie-Gateway — aber ausdrücklich auch eigenständige Software-Produkte. Wenn du also denkst „ich baue keine Geräte, mich betrifft das nicht“: Das stimmt vermutlich nicht.

Bin ich überhaupt betroffen?

Betroffen sind drei Rollen entlang der Lieferkette:

• Hersteller — wer das Produkt entwickelt oder herstellen lässt und unter eigenem Namen vermarktet. Hier liegt die Hauptlast der Pflichten.
• Importeure — wer ein Produkt aus einem Drittland auf den EU-Markt bringt.
• Händler — wer Produkte in der Lieferkette bereitstellt.

Das Kriterium ist nicht „Hardware oder Software“, sondern „digitales Element mit Verbindung, das auf dem EU-Markt bereitgestellt wird“. Für den deutschen Mittelstand heißt das konkret: Maschinenbauer mit vernetzten Komponenten, Anbieter von Embedded-Software, SaaS-nahe Produktanbieter und Softwarehäuser, die fertige Software-Produkte ausliefern, sollten genau prüfen, in welche Rolle sie fallen. Die Einordnung ist im Einzelfall nicht trivial — und genau deshalb ist sie eine der ersten Aufgaben, die du nicht aufschieben solltest.

Welche Pflichten kommen konkret auf mich zu?

Der CRA bündelt mehrere Pflichten, die zusammen ein Produkt „resilient“ machen sollen:

Pflicht	Was dahintersteckt
Security-by-Design & Security-by-Default	Die grundlegenden Cybersicherheitsanforderungen aus Anhang I müssen ab Werk erfüllt sein — sichere Standardeinstellungen, keine bekannten ausnutzbaren Schwachstellen beim Inverkehrbringen.
Schwachstellen-Management	Über den gesamten Supportzeitraum, inklusive kostenloser Sicherheitsupdates.
Definierter Supportzeitraum	Du musst einen Supportzeitraum festlegen, ein Enddatum bestimmen und es kommunizieren.
Konformitätsbewertung + CE-Kennzeichnung	Selbstbewertung (Modul A) bei Standardprodukten; Dritt-/Notified-Body bei wichtigen oder kritischen Produkten. Danach CE-Kennzeichnung.
Meldung von Schwachstellen & Vorfällen	Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen gemeldet werden (Art. 14).

Der Punkt mit den kostenlosen Sicherheitsupdates über den gesamten Supportzeitraum ist der, den viele unterschätzen. Er verändert dein Geschäftsmodell und deine Kalkulation: Ein Produkt ist nach dem Verkauf nicht „fertig“, sondern bindet Ressourcen, solange der Supportzeitraum läuft. Wer das nicht von Anfang an einplant, baut sich eine Kostenfalle.

Die Fristen — was wann gilt

Der CRA gibt dir kein einzelnes Stichdatum, sondern eine Staffelung. Das ist gut, weil du Luft zum Atmen hast — und gefährlich, weil man die früheren Termine leicht übersieht.

• 11.6.2026 — Regeln zur Benennung und Notifizierung von Konformitätsbewertungsstellen treten in Kraft. Relevant vor allem für die Infrastruktur der Prüfstellen, weniger für dein Tagesgeschäft.
• 11.9.2026 — Die Melde-/Reporting-Pflichten nach Art. 14 greifen: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen gemeldet werden. Das ist die erste Frist, die dich operativ trifft.
• 11.12.2027 — Volle materielle Anforderungen: Security-by-Design, Konformitätsbewertung und CE-Kennzeichnung werden verpflichtend.

Mehr zu diesem und anderen anstehenden EU-Vorgaben findest du gebündelt auf unserer Übersichtsseite, dem Regulierungs-Radar. Dort halten wir die Termine fest, die für den Mittelstand wirklich zählen.

Was bedeutet die Meldepflicht ab September 2026 praktisch?

Ab dem 11.9.2026 musst du in der Lage sein, schnell zu melden — und „schnell“ ist hier wörtlich zu nehmen. Die Reporting-Pflicht nach Art. 14 sieht ein dreistufiges Verfahren vor:

1. Frühwarnung innerhalb von 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls.
2. Meldung innerhalb von 72 Stunden.
3. Abschlussbericht, wenn die Sache aufgeklärt und behoben ist.

Diese Taktung lässt sich nicht improvisieren. Du brauchst vorab geklärte Prozesse: Wer entscheidet, ob ein Vorfall meldepflichtig ist? Wer formuliert die Frühwarnung? Wo liegen die technischen Informationen, die du brauchst? Eine 24-Stunden-Frist ist erbarmungslos, wenn der zuständige Mensch gerade im Urlaub ist und niemand weiß, wo die Zugangsdaten liegen. Genau deshalb lohnt es sich, diesen Ablauf jetzt — und nicht im Ernstfall — einmal durchzuspielen.

Wie wird das in Deutschland umgesetzt?

Eine EU-Verordnung gilt grundsätzlich unmittelbar, aber Details der nationalen Durchführung — etwa Zuständigkeiten und Aufsicht — werden national geregelt. In Deutschland geschieht das über ein CRA-Durchführungsgesetz, das als Änderung des BSI-Gesetzes umgesetzt wird. Die 1. Lesung im Bundestag fand am 11.6.2026 statt. Das heißt: Der nationale Rahmen ist noch in Bewegung, und es lohnt sich, den Gesetzgebungsprozess im Auge zu behalten — vor allem, was Zuständigkeiten und konkrete Meldewege angeht.

Was du jetzt sinnvoll tun kannst

Du musst am 11. Dezember 2027 fertig sein, nicht heute. Aber die Vorbereitung ist Arbeit, die sich nicht in zwei Wochen erledigen lässt. Sinnvolle erste Schritte:

• Produkte inventarisieren. Welche deiner Produkte sind „Produkte mit digitalen Elementen“? Welche haben eine direkte oder indirekte Netzwerkverbindung?
• Rolle klären. Bist du bei einem bestimmten Produkt Hersteller, Importeur oder Händler? Die Pflichten unterscheiden sich.
• Supportzeitraum festlegen. Definiere für jedes betroffene Produkt einen Supportzeitraum mit Enddatum — und überlege, wie du kostenlose Sicherheitsupdates über diese Zeit organisierst.
• Meldeprozess aufsetzen. Für die Frist 11.9.2026: Wer meldet was, an wen, in welchem Zeitfenster? Spiel den 24/72-Stunden-Ablauf einmal durch.
• Konformitätsweg bestimmen. Reicht die Selbstbewertung (Modul A), oder fällt dein Produkt in die Kategorie wichtig/kritisch und braucht eine Drittprüfung?

Ehrlich gesagt: Wo sind die Grenzen?

Wir sind kein Anwaltsbüro, und dieser Artikel ist keine Rechtsberatung. Ob ein konkretes Produkt unter den CRA fällt, in welche Konformitätskategorie es gehört und wie die deutsche Umsetzung im Detail aussieht, lässt sich seriös nur im Einzelfall und mit Blick auf den finalen Gesetzestext beurteilen — und der deutsche Durchführungsrahmen war zum Zeitpunkt dieses Artikels noch im Gesetzgebungsverfahren. Was wir können: dir helfen, deine Produkte technisch CRA-fest zu machen — Security-by-Design in der Architektur, ein belastbares Schwachstellen-Management, ein sauberer Update-Mechanismus und Prozesse, die die Meldefristen tatsächlich einhalten.

Genau hier setzt Rocket-Monkeys an: Wir entwickeln Web- und Software-Produkte und integrieren KI — und wir denken Sicherheit von Anfang an mit, statt sie nachträglich draufzuschrauben. Wenn du wissen willst, was der CRA konkret für deine Produkte bedeutet und wie du dich technisch vorbereitest, lass uns unverbindlich darüber sprechen. Schreib uns einfach an info@rocket-monkeys.com — ein erstes Gespräch kostet dich nichts außer einer halben Stunde.