Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, amtlich auch Cyberresilienz-Verordnung. Sie stand am 20.11.2024 im Amtsblatt und trat am 10.12.2024 in Kraft (Art. 71 Abs. 1). Als Verordnung gilt sie in jedem Mitgliedstaat unmittelbar, ein deutsches Umsetzungsgesetz braucht es für die Pflichten der Hersteller nicht.
Der CRA ist Produktrecht. Er regelt, wie ein Produkt beschaffen sein muss, wenn es in der EU auf den Markt kommt, und was der Hersteller danach über die Lebensdauer schuldet. Am Ende steht, wie bei anderen Binnenmarktregeln, eine EU-Konformitätserklärung (Art. 28) und das CE-Zeichen (Art. 30).
Für welche Produkte und Unternehmen gilt der CRA?
Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vorhersehbare Verwendung eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Produkt mit digitalen Elementen heißt Software oder Hardware samt ihrer Datenfernverarbeitung, auch getrennt verkaufte Komponenten (Art. 3 Nr. 1). Das trifft die meisten Geräte mit Firmware: Steuerungen, Gateways, Sensoren, Router, Zähler.
Die Hauptlast trägt der Hersteller (Art. 13). Einführer und Händler haben eigene Prüfpflichten (Art. 19 und 20). Wer ein Produkt unter eigenem Namen in Verkehr bringt oder es wesentlich verändert, wird selbst wie ein Hersteller behandelt (Art. 21 und 22).
- Ausgenommen (Art. 2 Abs. 2 bis 7)
- Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746), typgenehmigte Fahrzeuge (Verordnung (EU) 2019/2144), nach Verordnung (EU) 2018/1139 zertifizierte Luftfahrtprodukte, Schiffsausrüstung nach Richtlinie 2014/90/EU, baugleiche Ersatzteile und Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung entwickelt wurden.
- Geräte mit USB, Ethernet, Feldbus oder Funk
- Auch eine Kabelschnittstelle ist eine physische Datenverbindung. Wann ein Gerät mit USB, RS-485 oder CAN unter den CRA fällt, steht im Artikel zur Datenschnittstelle.
Ab wann gilt der CRA?
Der CRA gilt in Stufen (Art. 71 Abs. 2). Geräte, die vor dem 11.12.2027 in Verkehr gebracht wurden, müssen die Produktanforderungen erst erfüllen, wenn sie danach wesentlich verändert werden (Art. 69 Abs. 2). Gemeint ist jedes einzelne Gerät: Jedes Stück, das ab dem 11.12.2027 in Verkehr kommt, muss die Anforderungen erfüllen, auch wenn das Modell schon länger verkauft wird. Die Meldepflicht nach Art. 14 gilt auch für ältere Geräte (Art. 69 Abs. 3).
| Datum | Was gilt |
|---|---|
| 10.12.2024 | Inkrafttreten der Verordnung |
| 11.06.2026 | Kapitel IV, Art. 35 bis 51: Notifizierung der Konformitätsbewertungsstellen |
| 11.09.2026 | Art. 14: Meldung aktiv ausgenutzter Schwachstellen und schwerer Sicherheitsvorfälle, auch für Bestandsprodukte |
| 11.12.2027 | Alles Übrige: Anhang I, SBOM, Unterstützungszeitraum, Konformitätsbewertung, CE-Zeichen |
Was müssen Hersteller nach dem CRA tun?
- 1
Risiken bewerten
Eine Bewertung der Cybersicherheitsrisiken, die in Planung, Entwicklung, Herstellung, Lieferung und Wartung einfließt (Art. 13 Abs. 2).
- 2
Anhang I Teil I erfüllen
Unter anderem: ohne bekannte ausnutzbare Schwachstellen auf den Markt, sichere Standardkonfiguration, Sicherheitsupdates möglich, Schutz vor unbefugtem Zugriff (Anhang I Teil I Nr. 2 Buchst. a bis d).
- 3
Schwachstellen behandeln
Komponenten und Schwachstellen ermitteln und dokumentieren, mit einer SBOM in einem gängigen maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten nennt (Anhang I Teil II Nr. 1), und Lücken unverzüglich beheben (Nr. 2).
- 4
Unterstützungszeitraum festlegen
Er richtet sich nach der voraussichtlichen Nutzungsdauer und beträgt mindestens fünf Jahre, außer das Produkt ist kürzer im Einsatz (Art. 13 Abs. 8).
- 5
Konformität bewerten und dokumentieren
Konformitätsbewertung nach Art. 32, technische Dokumentation (Art. 31), EU-Konformitätserklärung, CE-Zeichen. Dokumentation und Erklärung zehn Jahre aufbewahren oder so lange wie der Unterstützungszeitraum, wenn der länger ist (Art. 13 Abs. 13).
- 6
Melden
Aktiv ausgenutzte Schwachstellen und schwere Vorfälle über die Meldeplattform der ENISA: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden (Art. 14).
Welche Produktklassen kennt der CRA?
Die meisten Produkte sind Standardprodukte, deren Konformität der Hersteller selbst bewertet (Modul A, Art. 32 Abs. 1). Anhang III nennt wichtige Produkte der Klassen I und II, Anhang IV kritische Produkte. Zur Klasse I gehören unter anderem Betriebssysteme, laut Durchführungsverordnung (EU) 2025/2392 auch Echtzeit-Betriebssysteme (Nr. 11), Router (Nr. 12) und Mikrocontroller mit sicherheitsrelevanten Funktionen (Nr. 14). Klasse I darf der Hersteller nur selbst bewerten, wenn er harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Zertifizierung mindestens der Stufe „mittel“ vollständig anwendet; sonst braucht er eine Baumusterprüfung (Modul B und C) oder eine umfassende Qualitätssicherung (Modul H) (Art. 32 Abs. 2).
Welche Strafen drohen nach dem CRA?
| Verstoß | Geldbuße bis zu (der höhere Betrag) |
|---|---|
| Anhang I, Pflichten der Hersteller (Art. 13) und Meldepflicht (Art. 14) | 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes (Art. 64 Abs. 2) |
| Bevollmächtigte, Einführer, Händler, Konformitätserklärung, CE-Kennzeichnung, technische Dokumentation, Konformitätsbewertung (Art. 18 bis 23, 28, 30 bis 32) | 10 Mio. Euro oder 2 % (Art. 64 Abs. 3) |
| Falsche oder unvollständige Angaben gegenüber Behörden und notifizierten Stellen | 5 Mio. Euro oder 1 % (Art. 64 Abs. 4) |
Was ist der Unterschied zwischen CRA und NIS2?
Der CRA verpflichtet den Hersteller eines Produkts. NIS2, in Deutschland umgesetzt im BSI-Gesetz, verpflichtet besonders wichtige und wichtige Einrichtungen ab einer bestimmten Größe in den gelisteten Sektoren, etwa zu Risikomanagement nach § 30 BSIG. Ein Hersteller kann beides sein: für seine Produkte unter dem CRA, für den eigenen Betrieb unter NIS2.
Welche CRA-Anforderungen lassen sich an der Firmware prüfen?
Einige Punkte aus Anhang I sind technisch an der ausgelieferten Firmware ablesbar: welche Komponenten in welcher Version enthalten sind (die SBOM aus Teil II Nr. 1), welche bekannten Schwachstellen daran hängen (Teil I Nr. 2 Buchst. a), ob Zugangsdaten oder Schlüssel mitgeliefert werden und welche Schutzmechanismen fehlen. Andere Punkte, etwa der Prozess zur Schwachstellenbehandlung oder der Unterstützungszeitraum, stehen in keiner Datei. Die Konformitätsaussage treffen Sie als Hersteller.
Häufige Fragen
Gilt der CRA auch für Geräte, die schon verkauft werden?
Die Produktanforderungen gelten für Produkte, die ab dem 11.12.2027 in Verkehr gebracht werden, und für ältere Produkte erst nach einer wesentlichen Änderung (Art. 69 Abs. 2). Die Meldepflicht nach Art. 14 gilt seit dem 11.09.2026 auch für Produkte, die schon im Markt sind (Art. 69 Abs. 3).
Braucht jedes Produkt eine SBOM?
Jedes Produkt im Anwendungsbereich ab dem 11.12.2027, als Teil der technischen Dokumentation. Veröffentlichen müssen Sie sie nicht. Format und Tiefe stehen im Artikel zur SBOM-Pflicht.
Gibt es ein deutsches Gesetz zum CRA?
Die Pflichten der Hersteller stehen unmittelbar in der Verordnung. Die Mitgliedstaaten regeln die Sanktionen (Art. 64 Abs. 1) und benennen die Marktüberwachungsbehörden (Art. 52 Abs. 2). Meldungen nach Art. 14 gehen an das CSIRT des Staates der Hauptniederlassung; bei Hauptniederlassung in Deutschland ist das CERT-Bund im BSI.