Wer muss den Cyber Resilience Act einhalten?

Wenn Sie herausfinden wollen, wer den Cyber Resilience Act einhalten muss, lautet die kurze Antwort: Der Geltungsbereich folgt dem Produkt. Die Verordnung (EU) 2024/2847, der Cyber Resilience Act oder CRA, setzt horizontale Cybersicherheitsregeln für Produkte mit digitalen Elementen, die in der EU verkauft werden. Sie ist am 10. Dezember 2024 in Kraft getreten. Ihre Pflichten zur Meldung von Schwachstellen und Vorfällen gelten ab dem 11. September 2026, ihr vollständiger Pflichtenkatalog ab dem 11. Dezember 2027. Ob sie Sie erreicht, hängt davon ab, was Sie herstellen oder verkaufen und wo es auf den Markt gelangt. Der Sektor, unter dem Sie Ihre Bilanz einreichen, ist dabei zweitrangig.

Dieser Leitfaden geht die Frage nach dem Geltungsbereich der Reihe nach durch: was ein Produkt mit digitalen Elementen ist, welche drei Rollen von Wirtschaftsakteuren Pflichten tragen, wie die Klassifizierung Ihren Konformitätsweg bestimmt, was ausgenommen ist und was ein Hersteller konkret tun muss. Zunächst die Fakten im Überblick.

Was als Produkt mit digitalen Elementen zählt

Der CRA erfasst jedes Produkt mit digitalen Elementen, also jede Hardware oder Software, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder einem Netz einschließt. Diese Definition ist bewusst breit. Sie reicht weit über offensichtliche Internet-of-Things-Geräte hinaus und zieht Firmware, Betriebssysteme, Bibliotheken und als Produkt verkaufte Software mit hinein. Wenn Ihr Produkt mit einem anderen Gerät oder einem Netz sprechen kann und Sie es im Rahmen einer gewerblichen Tätigkeit auf dem EU-Markt bereitstellen, lautet die Ausgangsannahme, dass der CRA gilt.

Es gibt Grenzen. Ein Produkt ohne Datenverbindung oder eines, das außerhalb jeder gewerblichen Tätigkeit bereitgestellt wird, liegt außerhalb der Verordnung. Software as a Service liegt für den CRA in der Regel außerhalb des Geltungsbereichs und wird stattdessen unter NIS2 behandelt, es sei denn, sie ist die Fernverarbeitungskomponente eines Produkts, das Sie ebenfalls vertreiben. Freie und quelloffene Software, die außerhalb einer gewerblichen Tätigkeit bereitgestellt wird, wird milder behandelt, mit einem eigenen, leichteren Pflichtenkatalog für Verwalter quelloffener Software, die diese monetarisieren oder systematisch unterstützen. Das Diagramm oben führt durch die Weichenfragen, an denen die Definition hängt.

Die Breite dieser Definition ist gewollt und aus unserer Sicht richtig. Ein großer Teil der unsicheren vernetzten Produkte auf dem EU-Markt wurde von Firmen verkauft, die sich nie als Softwareunternehmen verstanden haben, und eine enge Definition hätte genau diese verfehlt. Der Preis dieser Entscheidung: Viele Organisationen sind jetzt im Geltungsbereich, ganz ohne eine Produktsicherheitsfunktion, und die ehrliche erste Frage für sie lautet, wer das intern verantworten wird, namentlich, bevor irgendetwas anderes entschieden wird.

Die drei Wirtschaftsakteure, die den CRA einhalten müssen

Der CRA weist Wirtschaftsakteuren entlang der Lieferkette Pflichten zu. Drei Rollen tragen das Gewicht, und ein Produkt kann alle drei betreffen. Klären Sie Ihre Position, bevor Sie die Pflichten lesen.

Der Hersteller ist der primäre Pflichtenträger. Er entwirft oder produziert das Produkt oder lässt es fertigen und vermarktet es unter eigenem Namen oder eigener Marke. Der Hersteller trägt die grundlegenden Anforderungen, führt die Konformitätsbewertung durch, bringt die CE-Kennzeichnung an und meldet Schwachstellen und Vorfälle. Der Einführer bringt ein Produkt eines Herstellers aus einem Drittland auf den EU-Markt und muss prüfen, dass der Hersteller die Konformitätsbewertung abgeschlossen hat, dass die CE-Kennzeichnung angebracht ist und dass die technische Dokumentation vorliegt. Der Händler stellt das Produkt weiter unten in der Kette bereit und muss kontrollieren, dass CE-Kennzeichnung und Dokumentation vorhanden sind, und mit der gebotenen Sorgfalt handeln. Entscheidend: Ein Einführer oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke vermarktet oder ein bereits auf dem Markt befindliches Produkt wesentlich verändert, übernimmt die vollen Herstellerpflichten.

Die Produktklassifizierung bestimmt Ihren Konformitätsweg

Die Bewertung fällt je nach Produkt unterschiedlich aus. Der CRA sortiert Produkte in Risikostufen, und die Stufe entscheidet, ob Sie sich selbst bewerten dürfen oder einen Dritten hinzuziehen müssen. Die Standardkategorie deckt die meisten Produkte ab, und der Hersteller kann sich per interner Kontrolle selbst gegen die grundlegenden Anforderungen bewerten. Die wichtigen Kategorien, Klasse I und Klasse II, sind in Anhang III aufgeführt. Die kritische Kategorie steht in Anhang IV und kann eine europäische Cybersicherheitszertifizierung erfordern.

Die Beispiele machen die Stufen greifbar. Anhang III Klasse I umfasst Produkte wie Identitäts- und Passwortmanager, eigenständige Browser, VPN-Produkte, Netzwerkmanagementsysteme, SIEM-Systeme, Bootmanager, Router, Modems und Switches für den nicht-industriellen Einsatz, Betriebssysteme sowie vernetzte Heim- oder Kinderüberwachungsprodukte mit sensiblen Funktionen. Klasse II umfasst Produkte mit hochbedeutsamen Sicherheitsfunktionen, etwa Hypervisoren und Container-Laufzeitsysteme, Firewalls, Systeme zur Angriffserkennung und -abwehr sowie manipulationssichere Mikroprozessoren und Mikrocontroller. Kritische Produkte nach Anhang IV sind Vertrauensanker wie Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Smartcards und Secure Elements sowie, nach den Durchführungsrechtsakten, Hardware-Sicherheitsmodule und manipulationssichere Chips.

Der Weg eskaliert mit der Stufe. Standardprodukte können per interner Kontrolle selbst bewertet werden. Wichtige Produkte der Klasse I dürfen nur dann selbst bewertet werden, wenn der Hersteller die einschlägigen harmonisierten Normen oder ein europäisches Zertifizierungsschema vollständig anwendet; andernfalls ist eine Bewertung durch Dritte nötig. Produkte der Klasse II brauchen eine Bewertung durch Dritte. Kritische Produkte müssen unter Umständen ein Zertifikat nach einem europäischen Cybersicherheits-Zertifizierungsschema halten. Wer jedes Produkt früh klassifiziert, weiß, wie viel externe Bewertung zu budgetieren ist.

Erledigen Sie die Klassifizierung vor allem anderen, denn sie ist die einzige Entscheidung hier, die Ihre Kosten um eine Größenordnung verändert. Die Selbstbewertung ist interner Aufwand, den Sie kontrollieren. Eine Bewertung durch Dritte schiebt eine notifizierte Stelle, deren Vorlaufzeiten und deren Preis in einen Release-Zeitplan, den Sie gerade nicht kontrollieren. Bei einem breiten Katalog sollten Sie damit rechnen, dass die Grenzfälle wirklich unangenehm werden: Ob ein Verwaltungsfeature ein Produkt eine Stufe nach oben kippt, ist diskutabel, und diskutabel ist ein ungemütlicher Ort, wenn die CE-Kennzeichnung von der Antwort abhängt.

Was aus dem Geltungsbereich ausgenommen ist

Einige Produkte mit digitalen Elementen sind unter eigenen EU-Regeln bereits auf Cybersicherheit reguliert, und der CRA tritt zurück, um Doppelregulierung zu vermeiden. Produkte, die unter diese sektoralen Regime fallen, liegen außerhalb des CRA.

Die wichtigsten Ausnahmen sind Medizinprodukte unter den Verordnungen (EU) 2017/745 und 2017/746, Kraftfahrzeuge unter dem EU-Typgenehmigungsrecht, Produkte der zivilen Luftfahrt unter dem EASA-Rahmen und Schiffsausrüstung. Ausgenommen sind außerdem Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt wurden, sowie Produkte, die speziell für die Verarbeitung von Verschlusssachen ausgelegt sind. Fällt Ihr Produkt eindeutig in eines dieser Regime, regeln die sektoralen Vorschriften seine Cybersicherheit, und der CRA legt keine zweite Schicht darüber. Prüfen Sie die Grenze sorgfältig, denn eine Komponente oder ein Zubehörteil erbt die Ausnahme des übergeordneten Produkts unter Umständen nicht. Wenn Sie in einen ausgenommenen Sektor zuliefern, statt das fertige Gerät selbst zu bauen, gehen Sie davon aus, dass Sie im Geltungsbereich sind, bis jemand mit rechtlicher Autorität schriftlich begründet, warum Sie es nicht sind. Sich auf die Ausnahme eines Kunden zu verlassen ist die Art Annahme, die genau so lange hält, bis eine Marktüberwachungsbehörde danach fragt.

Hersteller, Einführer, Händler: Wer macht was

Am klarsten liest man seine Pflichten im direkten Vergleich. Der Hersteller trägt den vollen Satz der materiellen Pflichten. Einführer und Händler tragen Prüf- und Sorgfaltspflichten, die nicht-konforme Produkte vom Markt fernhalten sollen.

In der Praxis entlastet ein Hersteller, der sein eigenes Haus in Ordnung bringt, die gesamte nachgelagerte Kette, denn Einführer und Händler prüfen im Wesentlichen, dass der Hersteller seine Arbeit gemacht hat. Genau hier verdient sich CRA-Compliance-Software ihren Platz: Sie hält Risikobewertung, technische Dokumentation, Konformitätserklärung und Schwachstellenaufzeichnungen in einem prüffähigen System, auf das die ganze Kette zeigen kann.

Was ein Hersteller tun muss, um den CRA einzuhalten

Für Hersteller sind die Pflichten konkret. Beginnen Sie mit einer produktbezogenen Cybersicherheits-Risikobewertung, die in Design und Dokumentation einfließt. Erfüllen Sie die grundlegenden Anforderungen aus Anhang I Teil I: sicher voreingestellt ausliefern, ohne bekannte ausnutzbare Schwachstellen, mit Schutz vor unbefugtem Zugriff, Vertraulichkeit und Integrität der Daten, Datenminimierung, Verfügbarkeit und Widerstandsfähigkeit gegen Denial-of-Service, einer begrenzten Angriffsfläche und der Fähigkeit, sicher aktualisiert zu werden. Betreiben Sie die Prozesse zur Schwachstellenbehandlung aus Anhang I Teil II: Komponenten in einer Software-Stückliste (SBOM) identifizieren und dokumentieren, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen betreiben, Sicherheitsupdates mit Hinweisen veröffentlichen und regelmäßig testen.

Nach echtem Aufwand geordnet sind diese Pflichten alles andere als gleich. Eine Offenlegungsrichtlinie ist ein Nachmittag und ein überwachtes Postfach. Eine Software-Stückliste zu erzeugen ist eine Woche Build-Pipeline-Arbeit auf einer modernen Codebasis und erheblich mehr auf allem mit einkopierten oder geerbten Abhängigkeiten. Die wirklich teure Zusage ist der Unterstützungszeitraum, denn er verwandelt ein ausgeliefertes Produkt in eine stehende Patch-Verpflichtung, und die muss mit Ressourcen hinterlegt werden, lange nachdem der Vertrieb zum nächsten Release weitergezogen ist.

Dann die Pflichten rund um das Inverkehrbringen. Bieten Sie einen Unterstützungszeitraum, in dem Schwachstellen behandelt werden; er spiegelt die erwartete Nutzungsdauer des Produkts wider und beträgt mindestens fünf Jahre, es sei denn, die Lebensdauer des Produkts ist kürzer. Schließen Sie die Konformitätsbewertung für die Stufe Ihres Produkts ab, bringen Sie die CE-Kennzeichnung an und stellen Sie eine EU-Konformitätserklärung aus. Führen Sie die technische Dokumentation nach Anhang VII und bewahren Sie sie zusammen mit der Erklärung mindestens zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum auf, je nachdem, welcher Zeitraum länger ist. Geben Sie Nutzern klare Informationen und Anleitungen, einschließlich des Enddatums der Unterstützung.

Die Meldeuhr nach Artikel 14, präzise

Sobald die Meldepflichten am 11. September 2026 gelten, müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an das als Koordinator benannte CSIRT im Mitgliedstaat ihrer Hauptniederlassung und an die ENISA melden, über die zentrale Meldeplattform, die die ENISA betreibt. Die Uhr läuft in drei Schritten, und der letzte Schritt unterscheidet sich je nach Meldungstyp:

Das Frühwarnfenster ist dasjenige, das die Leute kalt erwischen wird, und es ist der Grund, warum das frühere der beiden Anwendungsdaten wichtiger ist als das spätere. Es beginnt mit Ihrer Kenntniserlangung, was in den meisten Unternehmen der Moment ist, in dem ein Support-Ingenieur eine Mail eines Forschers öffnet, und es läuft, ob Ihre Rechtsabteilung wach ist oder schläft. Die Abhilfe ist langweilig und wirksam: Entscheiden Sie jetzt, wer befugt ist, eine Frühwarnung ohne Eskalation abzugeben, und stellen Sie sicher, dass diese Person am Wochenende erreichbar ist.

Häufig gestellte Fragen

Gilt der CRA für Software, die als eigenständiges Produkt verkauft wird?

Ja. Software, die im Rahmen einer gewerblichen Tätigkeit auf dem EU-Markt bereitgestellt wird, ist ein Produkt mit digitalen Elementen, wenn ihre bestimmungsgemäße oder vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung einschließt. Software as a Service, die rein als Dienst erbracht wird, wird in der Regel unter NIS2 behandelt; Software, die Sie vertreiben - einschließlich Firmware, Anwendungen und als Produkt verkaufter Bibliotheken -, ist im Geltungsbereich.

Ist Open-Source-Software erfasst?

Freie und quelloffene Software, die außerhalb einer gewerblichen Tätigkeit bereitgestellt wird, liegt außerhalb der Herstellerpflichten. Für Verwalter quelloffener Software, also Organisationen, die Open-Source-Komponenten monetarisieren oder systematisch unterstützen, gilt ein eigenes, leichteres Regime. Ein kommerzielles Produkt, das Open-Source-Komponenten bündelt, ist vollständig im Geltungsbereich, und der Hersteller, der es ausliefert, trägt die Pflichten für das gesamte Produkt.

Wann muss ich tatsächlich compliant sein?

In zwei Stufen. Die Pflichten aus Artikel 14, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, gelten ab dem 11. September 2026 für alle erfassten Produkte, die bereits auf dem Markt sind. Der vollständige Pflichtenkatalog - grundlegende Anforderungen, Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation - gilt ab dem 11. Dezember 2027.

Müssen Einführer und Händler eine Konformitätsbewertung durchführen?

Nein. Die Konformitätsbewertung führt der Hersteller durch. Einführer prüfen, dass sie erfolgt ist, dass die CE-Kennzeichnung angebracht ist und dass die technische Dokumentation vorliegt; Händler kontrollieren dasselbe mit der gebotenen Sorgfalt. Ein Einführer oder Händler, der ein Produkt unter eigenem Namen umlabelt oder wesentlich verändert, wird jedoch für CRA-Zwecke zum Hersteller und erbt die vollen Pflichten.

Welche Sanktionen drohen bei Verstößen?

Artikel 64 legt drei Stufen fest. Verstöße gegen die grundlegenden Anforderungen des Anhangs I oder die Pflichten aus Artikel 13 und 14 können Geldbußen von bis zu 15 Mio. EUR oder 2,5 % des gesamten weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Andere Betreiberpflichten sind mit bis zu 10 Mio. EUR oder 2 % bewehrt, und die Übermittlung falscher oder irreführender Angaben an notifizierte Stellen oder Marktüberwachungsbehörden mit bis zu 5 Mio. EUR oder 1 %.

Ihren CRA-Geltungsbereich mit Venvera bestimmen

Geltungsbereich und Klassifizierung sind das Erste, was stimmen muss, denn Konformitätsweg und Kosten folgen daraus. Das Venvera CRA Modul überführt den Test auf Produkte mit digitalen Elementen, die Rollen der Wirtschaftsakteure und die Klassifizierung nach Anhang III und Anhang IV in eine strukturierte Gap-Analyse, sodass Sie für jedes Produkt sehen, ob es im Geltungsbereich liegt und welchen Weg es nimmt. Weil sich der CRA mit Sicherheitskontrollen überschneidet, die Sie womöglich bereits betreiben, lässt Sie die Crosswalk-Engine Nachweise aus NIS2, DORA und ISO 27001 wiederverwenden, statt bei null zu beginnen.

Für eine schnelle Standortbestimmung führen Sie einen kostenlosen Compliance-Check durch und nutzen die Scope-Fragen oben als Startpunkt. Der CRA tritt neben Ihre übrigen Pflichten und lässt sie bestehen, sodass die Kontrollen, die Sie bereits für NIS2 oder ISO 27001 betreiben, Ihnen bei den grundlegenden Anforderungen einen Vorsprung geben.

Primärquellen

Dieser Leitfaden stützt sich auf die Verordnung und offizielle EU-Leitlinien: die Verordnung (EU) 2024/2847 (der vollständige CRA-Text, einschließlich Artikel 14, Artikel 64 und der Anhänge I, III und IV) sowie die Cyber Resilience Act Policy-Seiten der Europäischen Kommission und ihre Zusammenfassung des Gesetzgebungsverfahrens. Die Details der Produktklassifizierung spiegeln den Durchführungsrechtsakt der Kommission wider, der die technischen Beschreibungen der Kategorien in Anhang III und Anhang IV festlegt. Prüfen Sie stets den aktuellen Wortlaut, bevor Sie sich auf ein bestimmtes Datum oder eine bestimmte Zahl stützen.