Cyber Resilience Act: Was Hersteller vernetzter Produkte jetzt tun müssen

Bisher war Cybersicherheit bei vernetzten Produkten in der EU vor allem eine Frage des Marketings. Mit dem Cyber Resilience Act (CRA) wird sie zur Voraussetzung für den Marktzugang. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig, inklusive CE-Kennzeichnung für Cybersicherheit.

Dieser Leitfaden zeigt, wen der CRA betrifft, welche Fristen gelten und wie sich ein Hersteller ohne große Compliance-Abteilung vorbereiten kann.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Sie gilt unmittelbar in allen Mitgliedstaaten, eine nationale Umsetzung wie bei NIS2 ist nicht nötig. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten und wird schrittweise anwendbar.

Der CRA erfasst „Produkte mit digitalen Elementen“: Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Dazu gehören Router, Smart-Home-Geräte, Industriesteuerungen, Firmware, Apps und eigenständige Software. Ausgenommen sind Bereiche mit eigener Regulierung, etwa Medizinprodukte, Fahrzeuge und Luftfahrt.

Pflichten treffen vor allem Hersteller, in abgestufter Form aber auch Importeure und Händler.

Die wichtigsten Fristen

Wichtig: Die Meldepflicht gilt auch für Produkte, die schon vor Dezember 2027 auf dem Markt waren. Wer heute Geräte im Feld hat, ist also bereits betroffen.

Meldepflicht seit September 2026: 24 Stunden, 72 Stunden, Abschlussbericht

Meldepflichtig ist nicht jede gefundene Schwachstelle. Auslöser sind zwei Fälle:

1. Aktiv ausgenutzte Schwachstellen: Es gibt belastbare Hinweise, dass ein Angreifer die Lücke tatsächlich ausnutzt.
2. Schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen.

Ab Kenntnis läuft ein gestuftes Verfahren:

• Frühwarnung innerhalb von 24 Stunden mit den verfügbaren Basisinformationen;
• Meldung innerhalb von 72 Stunden mit einer ersten Bewertung und den ergriffenen Maßnahmen;
• Abschlussbericht: bei Schwachstellen spätestens 14 Tage, nachdem eine Korrektur oder Abhilfemaßnahme verfügbar ist; bei schwerwiegenden Vorfällen innerhalb eines Monats.

Gemeldet wird über die zentrale Meldeplattform der ENISA an das zuständige CSIRT. Zusätzlich müssen Hersteller betroffene Nutzer informieren und, wo nötig, Abhilfemaßnahmen beschreiben.

Diese Fristen lassen sich nur einhalten, wenn intern vorher geklärt ist, wer Hinweise entgegennimmt, wer bewertet und wer meldet. Ein Prozess, der erst im Ernstfall entsteht, ist zu langsam.

Grundlegende Anforderungen ab Dezember 2027

Ab der vollen Anwendung müssen Produkte die grundlegenden Anforderungen aus Anhang I erfüllen. Sie lassen sich in zwei Blöcke teilen.

Sicherheit des Produkts, unter anderem:

• keine bekannten ausnutzbaren Schwachstellen bei der Bereitstellung;
• sichere Standardkonfiguration, etwa ohne Standardpasswörter;
• Schutz vor unbefugtem Zugriff, Schutz der Daten durch Verschlüsselung;
• Minimierung der Angriffsfläche und Protokollierung sicherheitsrelevanter Ereignisse.

Umgang mit Schwachstellen, unter anderem:

• Komponenten identifizieren und dokumentieren, inklusive Software-Stückliste (SBOM);
• Schwachstellen zügig beheben und Sicherheitsupdates bereitstellen;
• eine Richtlinie zur koordinierten Offenlegung von Schwachstellen;
• regelmäßige Tests und Überprüfungen.

Hinzu kommt ein Support-Zeitraum, in dem der Hersteller Sicherheitsupdates liefert. Er soll der erwarteten Nutzungsdauer entsprechen und in der Regel mindestens fünf Jahre betragen.

SBOM und Firmware-Analyse: die Basis für alles Weitere

Wer nicht weiß, welche Komponenten in seinem Produkt stecken, kann weder Schwachstellen bewerten noch fristgerecht melden. Deshalb ist die SBOM der praktische Ausgangspunkt der CRA-Vorbereitung.

Für Hersteller von Embedded-Geräten kommt eine Besonderheit hinzu: Ein großer Teil der Software stammt von Zulieferern und liegt nur als Binärcode vor. Eine Firmware-Analyse kann Komponenten und bekannte Schwachstellen auch dann sichtbar machen, wenn kein Quellcode verfügbar ist.

Sinnvolle Reihenfolge:

1. SBOM für jedes Produkt und jede Firmware-Version erstellen.
2. Komponenten laufend gegen Schwachstellendatenbanken abgleichen.
3. Funde nach Ausnutzbarkeit priorisieren, nicht nur nach CVSS-Wert.
4. Ergebnisse in die technische Dokumentation übernehmen.

Produktkategorien und Konformitätsbewertung

Der CRA unterscheidet nach Risiko:

• Standardprodukte (die große Mehrheit): Der Hersteller bewertet die Konformität selbst.
• Wichtige Produkte der Klasse I und II (Anhang III), etwa Passwortmanager, VPN-Lösungen, Router oder Firewalls: strengere Verfahren, bei Klasse II mit Beteiligung einer benannten Stelle.
• Kritische Produkte (Anhang IV), etwa bestimmte Hardware-Sicherheitsmodule: mögliche europäische Zertifizierung.

Welche Kategorie zutrifft, sollte früh geklärt werden. Wer eine benannte Stelle braucht, muss mit Vorlaufzeit rechnen.

Bußgelder

Bei Verstößen gegen die grundlegenden Anforderungen und zentrale Herstellerpflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für andere Pflichtverstöße gelten niedrigere Obergrenzen. Die Bußgeldregeln greifen ab dem 11. Dezember 2027. Für Kleinst- und Kleinunternehmen gilt eine Erleichterung: Das Versäumen allein der 24-Stunden-Frühwarnung wird nicht mit Bußgeld belegt.

Fahrplan in 5 Schritten

1. Betroffenheit klären: Welche Produkte fallen unter den CRA, welche Kategorie gilt?
2. Meldeprozess aufsetzen: Zuständigkeiten, Eskalation, Zugang zur ENISA-Plattform, Vorlagen für Frühwarnung und Meldung.
3. SBOM und Schwachstellenmanagement etablieren: für alle Produkte im Feld, nicht nur für Neuentwicklungen.
4. Gap-Analyse gegen Anhang I: Was fehlt bis Dezember 2027? Maßnahmen priorisieren.
5. Dokumentation und Support-Zeitraum festlegen: technische Dokumentation, Konformitätserklärung, Update-Zusagen.

FAQ

Gilt der CRA auch für Software ohne Hardware?

Ja. Eigenständige Software, die mit einem Gerät oder Netzwerk verbunden werden kann, gilt als Produkt mit digitalen Elementen. Reine SaaS-Dienste fallen in der Regel nicht darunter, für sie ist eher NIS2 relevant.

Muss ich jede gefundene Schwachstelle melden?

Nein. Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Andere Schwachstellen müssen Sie im Rahmen Ihres Schwachstellenmanagements beheben, aber nicht an die ENISA melden.

Betrifft die Meldepflicht auch ältere Produkte?

Ja. Sie gilt seit dem 11. September 2026 auch für Produkte, die vor Dezember 2027 in Verkehr gebracht wurden.

Muss die SBOM veröffentlicht werden?

Nein. Die SBOM ist Teil der technischen Dokumentation und muss den Marktüberwachungsbehörden auf Anfrage vorgelegt werden. Eine Veröffentlichung schreibt der CRA nicht vor.

Wie hängen CRA und NIS2 zusammen?

NIS2 regelt die Cybersicherheit von Unternehmen und ihren Diensten, der CRA die Sicherheit von Produkten. Ein Hersteller kann von beiden betroffen sein: als Organisation von NIS2, mit seinen Produkten vom CRA.

Rechtsstand: 12. November 2026. Erstellt mit KI-Unterstützung und mehrstufig geprüft auf Struktur, Terminologie und Fakten. Dieser Artikel dient der Information und ist keine Rechtsberatung.