Der Cyber Resilience Act (CRA) bringt verbindliche Cybersicherheitsanforderungen für zahlreiche Hard- und Softwareprodukte auf dem europäischen Markt. Hersteller müssen die Sicherheit ihrer Produkte bereits bei der Entwicklung berücksichtigen und sich auch nach dem Verkauf um Schwachstellen kümmern. Damit betrifft die Verordnung sowohl technische Entscheidungen als auch die Zusammenarbeit zwischen Entwicklung, Produktmanagement und Support. Die meisten Anforderungen gelten ab dem 11. Dezember 2027. Die Meldepflichten nach Artikel 14 gelten bereits ab heute, dem 11. September 2026. Für betroffene Unternehmen hat deshalb zunächst die Frage Priorität, ob sie sicherheitsrelevante Hinweise rechtzeitig bewerten und erforderliche Meldungen fristgerecht abgeben können.
Welche Produkte und Unternehmen betroffen sind
Der Cyber Resilience Act erfasst grundsätzlich Produkte mit digitalen Elementen, die im Rahmen einer kommerziellen Tätigkeit auf dem EU-Markt bereitgestellt werden und deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netzwerk umfasst. Dazu können Softwareanwendungen, Router und vernetzte Steuerungen gehören. Die Prüfung der gesetzlichen Ausnahmen erfolgt im Einzelfall.
Die umfangreichsten Pflichten treffen Hersteller. Auch wer ein Produkt entwickeln lässt, und unter eigener Marke vermarktet, kann diese Rolle übernehmen. Für Importeure und Händler gelten eigene Anforderungen. Gerade bei zugekauften Lösungen sollten diese daher klären, welche Verantwortung das Unternehmen tatsächlich trägt.
Sicherheit beginnt in der Produktentwicklung
Ausgangspunkt ist eine Cybersicherheits-Risikobewertung für das jeweilige Produkt. Sie bestimmt, welche Sicherheitsanforderungen umzusetzen sind. Sichere Voreinstellungen, Zugriffsschutz und geeignete Updateverfahren müssen zur Funktion und zum Risiko des Produkts passen. Die technische Dokumentation hält fest, wie die Anforderungen erfüllt werden.
Für die Umsetzung empfiehlt es sich, Sicherheitsanforderungen direkt mit Entwicklungsaufgaben, Tests und Freigaben zu verbinden. Dadurch lässt sich nachvollziehen, welche Maßnahme ein Risiko behandelt und wie ihre Wirksamkeit geprüft wurde. Bei späteren Änderungen ist zugleich erkennbar, welche Bewertungen und Nachweise erneut betrachtet gehören.
Verantwortung reicht über den Verkauf hinaus
Hersteller müssen Schwachstellen während des gesetzlich vorgesehenen Unterstützungszeitraums wirksam behandeln. Auch die verwendeten Drittanbieterkomponenten sind dabei zu berücksichtigen. Wie lange ein Produkt unterstützt wird, muss für die Nutzer transparent angegeben werden.
Wird beispielsweise eine Sicherheitslücke in einem zugekauften Softwarebaustein bekannt, muss das Unternehmen feststellen können, welche Produkte und Versionen betroffen sind. Eine aktuelle Software-Stückliste, die sogenannte SBOM, unterstützt diese Zuordnung. Anschließend müssen die tatsächliche Gefährdung bewertet, Abhilfemaßnahmen umgesetzt und betroffene Kunden informiert werden.
Dafür braucht es abgestimmte Abläufe zwischen Entwicklung und Support. Ältere Versionen können weiterhin Betreuungsaufwand verursachen, auch wenn bereits ein Nachfolgeprodukt verkauft wird. Dieser Aufwand sollte bei Personal, Budget und Lieferantenvereinbarungen berücksichtigt werden.
Kurze Meldefristen ab September 2026
Ab heute also müssen Hersteller aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf deren Sicherheit melden. Die Frühwarnung muss unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung des Vorfalls bzw. der aktiv ausgenutzten Schwachstelle, erfolgen. Die ergänzende Schwachstellen- oder Vorfallmeldung ist unverzüglich, spätestens innerhalb von 72 Stunden, abzugeben. Eine abgeschlossene Untersuchung wird dafür nicht vorausgesetzt.
Bei aktiv ausgenutzten Schwachstellen folgt der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfe- oder Minderungsmaßnahme. Bei schwerwiegenden Sicherheitsvorfällen gilt grundsätzlich ein Monat nach der Vorfallmeldung. Die Übermittlung erfolgt über die zentrale CRA-Meldeplattform an das zuständige koordinierende CSIRT und ENISA.
Die Meldepflichten erfassen auch betroffene Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht werden, weshalb das bestehende Produktportfolio ausdrücklich in die Prüfung gehört. Ein praktischer Test hilft, Schwächen im Ablauf zu erkennen: Ein Hinweis geht beim Support ein, die technische Bewertung steht noch aus und der zuständige Produktverantwortliche ist im Urlaub. Wer übernimmt? Wer prüft die Meldepflicht? Und wer darf die Meldung übermitteln? Diese Zuständigkeiten sollten vor dem ersten tatsächlichen Fall feststehen.
Konformitätsbewertung rechtzeitig einplanen
Für die Produktpflichten muss das passende Konformitätsbewertungsverfahren festgelegt werden. Bei vielen Produkten ist eine interne Bewertung zulässig. Für wichtige und kritische Produktkategorien gelten strengere Anforderungen; je nach Kategorie und Verfahren ist eine notifizierte Stelle einzubeziehen. Nach erfolgreichem Nachweis der Konformität folgen die EU-Konformitätserklärung und die CE-Kennzeichnung.
Ein vorhandenes Informationssicherheitsmanagementsystem kann organisatorisch unterstützen. Abläufe für Risiken, Vorfälle, Lieferanten und Dokumente lassen sich weiterverwenden und ergänzen. Eine ISO-27001-Zertifizierung allein belegt jedoch keine CRA-Konformität eines Produkts. Die produktspezifische Bewertung und die dazugehörigen Nachweise bleiben erforderlich.
Was Unternehmen jetzt tun sollten
Die unmittelbar anstehenden Meldepflichten und die weiteren Produktanforderungen brauchen einen abgestimmten Zeitplan. Als erste Schritte empfehlen sich:
- Produktportfolio erfassen und die eigene Rolle sowie die CRA-Betroffenheit je Produkt klären
- Meldewege, Zuständigkeiten und Vertretungen festlegen und anhand eines konkreten Falls testen
- Bestehende Entwicklungs-, Schwachstellen- und Supportprozesse mit den CRA-Anforderungen abgleichen
- Fehlende Maßnahmen und Nachweise mit Verantwortlichen und verbindlichen Terminen planen
Ein ausgewähltes Produkt kann als Pilot dienen. Daran lässt sich überprüfen, ob die vorgesehenen Abläufe funktionieren und welche Informationen noch fehlen. Die Ergebnisse bilden anschließend die Grundlage für die Umsetzung im übrigen Portfolio.
Security Assist unterstützt Sie
Sie möchten wissen, wo Ihr Unternehmen bei der CRA-Vorbereitung steht? Sprechen Sie uns an. Wir erarbeiten mit Ihnen, welche Schritte jetzt erforderlich sind und unterstützen Sie dabei, die Anforderungen des Cyber Resilience Act auf Ihr Produktportfolio und Ihre bestehenden Abläufe zu übertragen. Gemeinsam klären wir den Handlungsbedarf, strukturieren die notwendigen Maßnahmen und begleiten die Anpassung Ihrer Sicherheits- und Managementprozesse.
Marco Küsel ist Consultant bei Security Assist und berät als zertifizierter Data Protection Officer (SIHK), Information Security Officer (TÜV) sowie Information Security Officer TISAX (TÜV) unsere Mandanten zum Datenschutz, zur Informationssicherheit und der Digitalisierung ihrer Geschäftsprozesse.