Cyber Resilience Act: Der umfassende Überblick für Entscheider und Compliance-Verantwortliche

Seit dem 10. Dezember 2024 ist der Cyber Resilience Act (CRA) - offiziell Verordnung (EU) 2024/2847 - in Kraft. Für viele Unternehmen klingt das noch abstrakt. Doch die erste operative Frist läuft bereits in wenigen Monaten ab: Ab dem 11. September 2026 greifen verbindliche Meldepflichten für Schwachstellen und Sicherheitsvorfälle - und zwar für alle Hersteller vernetzter Produkte auf dem EU-Markt, unabhängig von Unternehmensgröße oder Branche.

Dieser Artikel gibt Ihnen als Entscheider oder Compliance-Verantwortliche:r den strukturierten Überblick: Was regelt der CRA, wen betrifft er, welche Pflichten entstehen - und wo lauern die größten rechtlichen und organisatorischen Risiken?

Was ist der Cyber Resilience Act - und warum ist er anders als NIS2 oder DSGVO?

Der Cyber Resilience Act ist die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt, die auf dem EU-Markt erhältlich sind. Das ist eine fundamentale Neuerung: Bisher war Cybersicherheit in der Produktentwicklung weitgehend freiwillig.

Der CRA ist eine Verordnung, keine Richtlinie. Eine EU-Verordnung gilt unmittelbar in allen Mitgliedstaaten und erfordert keine nationale Umsetzung durch ein Bundesgesetz. Das unterscheidet ihn von der NIS2-Richtlinie, die zunächst in nationales Recht überführt werden musste.

Wichtig für die Einordnung: Der CRA regelt Produktsicherheit und Cybersicherheitsanforderungen für Hersteller. Er ist kein Ersatz für die DSGVO (die den Schutz personenbezogener Daten regelt), nicht für NIS2 (die Betreiber wesentlicher Einrichtungen adressiert) und nicht für den EU Data Act (der Datenzugang und Datenteilen betrifft). Wer vernetzte Produkte herstellt, muss alle relevanten Regelwerke parallel im Blick behalten - eine sorgfältige Einzelfallprüfung ist unumgänglich.

Wer ist betroffen? Der Anwendungsbereich im Detail

Produkte mit digitalen Elementen

"Produkte mit digitalen Elementen" werden im CRA als Produkte inklusive ihrer Datenfernverarbeitungslösungen definiert, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. Damit gilt der CRA sowohl für vernetzte Hardwareprodukte als auch für reine Softwareprodukte. Alle Produkte, die in der EU verkauft werden und "digitale Elemente" enthalten, müssen den Anforderungen des CRA entsprechen. Das umfasst neben preisgünstigen Verbraucherprodukten auch B2B-Software sowie komplexe High-End-Industriesysteme.

Die Verbindung kann physisch oder logisch erfolgen, zum Beispiel über WLAN, Bluetooth, Ethernet, USB, eine API oder eine Cloud-Schnittstelle. Der Begriff ist damit bewusst weit gefasst.

Konkrete Beispiele für betroffene Produkte: Hardware wie Smartphones, Laptops, Smartwatches, Smarthome-Geräte, Firewalls und Mikroprozessoren, aber auch Software wie Buchhaltungssoftware, Apps und Computerspiele. Und: Auch Maschinenbauer mit vernetzten SPS-Steuerungen oder Sensorik mit Ethernet-Schnittstelle müssen die Anforderungen des Cyber Resilience Act erfüllen.

Was ist ausgenommen? Nicht jedes Produkt mit digitalen Elementen fällt unter den CRA. Es gibt weitere Regularien für bestimmte Produkte, unter anderem für Medizinprodukte, Fahrzeuge, Produkte der zivilen Luftfahrt und Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt werden. Diese sind oft strikter, weshalb der CRA sie nicht betrifft.

Sonderfall SaaS und Cloud: Grundsätzlich sind reine SaaS-Angebote nicht das primäre Ziel des CRA. Diese fallen eher unter die NIS-2-Richtlinie bzw. das BSI-Gesetz. SaaS kann aber unter den CRA fallen, wenn sie selbst als Element von Produkten mit digitalen Diensten aufweist bzw. als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen erforderlich ist. Entscheidend ist die konkrete technische und vertragliche Einordnung.

Hersteller, Importeure, Händler - wer hat welche Rolle?

Der CRA regelt Sicherheitsanforderungen, Pflichten von Herstellern, Einführern und Händlern, Meldepflichten bei Schwachstellen und Sicherheitsvorfällen sowie Konformitätsbewertung mit anschließender CE-Kennzeichnung.

"Hersteller" ist dabei, wer Software entwickelt oder auch für sich entwickeln lässt und sie unter eigenem Namen anbietet. Einführer (Importeure) bringen nur Produkte in den Verkehr, die den grundlegenden Anforderungen entsprechen. Einführer überprüfen die Konformitätsbewertung, die technische Dokumentation und die CE-Kennzeichnung, geben ihre Kontaktangaben auf dem Produkt oder der Verpackung an und kooperieren mit den Marktüberwachungsbehörden. Händler prüfen vor der Bereitstellung, dass die CE-Kennzeichnung vorliegt und die erforderlichen Begleitinformationen vorhanden sind. Bei Verdacht auf Nichtkonformität dürfen sie das Produkt nicht weitergeben und informieren Hersteller sowie Behörden.

Größenbezogene Ausnahmen gibt es nicht. Auch KMU und Start-ups sind vollständig betroffen, sofern sie Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Der CRA gilt für alle Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, unabhängig davon, ob sie ihren Geschäftssitz innerhalb oder außerhalb der EU haben.

Die drei Fristen: Was gilt ab wann?

Der CRA staffelt seine Anforderungen in drei Stufen. Das ist kein Zufall - die EU gibt Unternehmen Zeit zur Vorbereitung, aber die Uhr läuft.

Frist 1: In Kraft seit 10. Dezember 2024

Der Cyber Resilience Act ist seit dem 10. Dezember 2024 als Verordnung (EU) 2024/2847 in Kraft. Er schafft erstmals verbindliche Cybersicherheitsanforderungen für alle "Produkte mit digitalen Elementen" auf dem EU-Binnenmarkt. Mit dem Inkrafttreten beginnen die Übergangsfristen zu laufen - die Zeit zur Vorbereitung ist begrenzt.

Frist 2: Meldepflichten ab 11. September 2026

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale Plattform melden. Das Meldeschema ist dreistufig: Ab diesem Datum müssen Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden als Frühwarnung an die zuständige CSIRT und die ENISA melden. Für die vollständige Meldung bleiben 72 Stunden, für den Abschlussbericht 14 Tage.

Ein Sicherheitsvorfall gilt als schwerwiegend, wenn er die Schutzziele Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit eines Produkts beeinträchtigt oder zur Einführung böswilligen Codes geführt hat oder führen könnte.

Besonders wichtig: Die Meldepflichten nach Artikel 14 CRA gelten auch für Bestandsprodukte. Wer also heute schon vernetzte Produkte auf dem Markt hat, muss ab September 2026 melden - unabhängig davon, wann das Produkt in Verkehr gebracht wurde.

Frist 3: Vollständige Hauptpflichten ab 11. Dezember 2027

Die Hauptpflichten des CRA gelten ab dem 11. Dezember 2027, die Meldepflichten bereits ab dem 11. September 2026. Ab diesem Datum darf kein "Produkt mit digitalen Elementen" ohne CE-Kennzeichnung in der EU verkauft werden.

Produkte, die vor dem 11. Dezember 2027 auf den Markt gebracht werden, müssen nicht nachträglich CRA-konform gemacht werden. Die Ausnahme bilden "wesentliche Änderungen". Wird ein älteres Produkt mit einem Update versorgt, das den Verwendungszweck ändert oder das Sicherheitsrisiko beeinflusst, gilt dies als "wesentliche Änderung". Das Produkt verliert seinen Bestandsschutz und muss nachträglich vollständig CRA-zertifiziert werden.

Die Herstellerpflichten im Überblick

Für Hersteller ist der CRA das anspruchsvollste Regelwerk. Die Pflichten gelten über den gesamten Produktlebenszyklus - von der Konzeption bis zum End-of-Life.

Secure-by-Design und Secure-by-Default

Es gelten die Konzeptionsgrundsätze "Secure by Design" und "Secure by Default". Bereits während der Produktentwicklung muss Cybersicherheit berücksichtigt werden. Vernetzte Produkte müssen unter anderem so konzipiert sein, dass Daten verschlüsselt werden und die Angriffsfläche minimal ist.

Nach dem Konfigurationsgrundsatz "Secure by Default" müssen die Standardeinstellungen vernetzter Produkte zur Erhöhung deren Sicherheit beitragen, z. B. durch das Verbot schwacher Standardpasswörter und die automatische Installation von Sicherheitsupdates.

Schwachstellenmanagement über den Lebenszyklus

Der CRA macht neue Vorgaben zum Schwachstellenmanagement und notwendigen Softwareupdates. Während des gesamten Supportzeitraums (in der Regel fünf Jahre) müssen Hersteller Schwachstellen zukünftig aktiv handhaben und kostenlose Sicherheitsupdates bereitstellen. Da Cybersicherheit im Gegensatz zu klassischer Produktsicherheit weit weniger statisch ist, enden die Vorgaben des CE-Kennzeichens für Hersteller nicht mit der Konformitätsbewertung. Der CRA schreibt darüber hinaus einen Supportzeitraum mit kostenlosen Sicherheitsupdates für Endanwender vor. Während dieser Zeit muss der Hersteller aktives Schwachstellenhandling betreiben. Die Verordnung schreibt vor, dass das Datum des Endes des Supports klar angegeben wird.

Software Bill of Materials (SBOM)

Die SBOM - auf Deutsch auch "Software-Stückliste" - ist eine der zentralen neuen Pflichten. Eine SBOM ist für Software das Äquivalent zum Zutatenverzeichnis für Lebensmittel. Sie beschreibt detailliert, welche Bibliotheken und weitere Softwarekomponenten im Produkt benutzt werden. Der CRA schreibt das Erstellen einer SBOM vor, sie muss jedoch nicht veröffentlicht werden.

Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen dazu, eine SBOM zu erstellen und aktuell zu halten. Konkret bedeutet das: vollständige Auflistung aller Software-Komponenten inklusive Versionsangaben, maschinenlesbare Formate (z. B. laut BSI TR-03183 SPDX oder CycloneDX), kontinuierliche Aktualisierung über den gesamten Produktlebenszyklus sowie Bereitstellung gegenüber Marktaufsichtsbehörden auf Anfrage (aber keine allgemeine Veröffentlichungspflicht).

Sobald Open-Source-Komponenten in ein kommerzielles Produkt integriert werden, liegen sie in der Verantwortung des Herstellers. Das ist ein häufig unterschätzter Punkt: Wer fremden Code einbaut, übernimmt die Verantwortung für dessen Sicherheit.

Konformitätsbewertung und CE-Kennzeichnung

Der CRA teilt Produkte nach ihrem Sicherheitsrisiko in verschiedene Kategorien ein. Je nach Kategorie gelten unterschiedliche Konformitätsbewertungsverfahren.

Die Vorgaben bauen auf der bekannten CE-Kennzeichnung auf. Das Kennzeichen wird um den Aspekt der Cybersicherheit erweitert. Nach Abschluss der Konformitätsbewertung darf das CE-Zeichen angebracht werden - ohne diesen Nachweis ist das Inverkehrbringen ab Dezember 2027 unzulässig.

Sanktionen: Was droht bei Verstößen?

Als marktüberwachende Behörde kann das BSI stichprobenartig oder gezielt IT-Produkte auf Cybersicherheit überprüfen und bei Verstößen Sanktionen und Bußgelder (bis zu 15 Mio. EUR bzw. 2,5 % des weltweiten Umsatzes vom vorangegangenen Geschäftsjahr) verhängen. Dem BSI wird in dieser Rolle auch die Möglichkeit eingeräumt, Produkte mit digitalen Elementen vom Markt zu nehmen, wenn sie den Anforderungen des CRA nicht gerecht werden.

Für Hersteller drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes - je nachdem, welcher Betrag höher ist. Für Importeure gelten niedrigere Obergrenzen: bis zu 10 Mio. EUR oder zwei Prozent des weltweiten Jahresumsatzes.

Darüber hinaus kann die zuständige Behörde Marktzugangsbeschränkungen verhängen. Das kann zur Folge haben, dass der Verkauf von nicht konformen Produkten in der EU eingeschränkt oder sogar vollständig verhindert werden kann.

Der Recht-und-Steuer-Blickwinkel: Für Geschäftsführer und Vorstände ist die CRA-Compliance nicht nur eine technische, sondern auch eine persönliche Haftungsfrage. Wer als Leitungsorgan die Einführung notwendiger Compliance-Strukturen versäumt, riskiert eine persönliche Inanspruchnahme - unabhängig davon, ob das Unternehmen selbst sanktioniert wird. Gleichzeitig können CRA-Investitionen (z. B. in Prozesse, Dokumentation, externe Beratung) steuerlich relevante Betriebsausgaben darstellen. Beide Dimensionen - rechtliche Haftung und steuerliche Gestaltung - sollten von Anfang an gemeinsam betrachtet werden.

Die Rolle des BSI in Deutschland

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde von der Bundesregierung als notifizierende und marktüberwachende Behörde gegenüber der Europäischen Kommission benannt. Das hat praktische Konsequenzen: Als notifizierende Behörde bewertet und notifiziert das BSI Drittstellen, damit diese IT-Produkte unabhängig auf die Anforderungen des CRA prüfen können. Als marktüberwachende Behörde prüft das BSI stichprobenartig oder gezielt IT-Produkte auf deren Cybersicherheit.

Das BSI hat zudem eine mehrteilige Technische Richtlinie TR-03183 erarbeitet, die Herstellern konkrete Umsetzungshilfen gibt - von allgemeinen Anforderungen über SBOM-Spezifikationen bis hin zu Schwachstellenmeldeverfahren. Das BSI richtet eine zentrale Meldeplattform für Sicherheitsvorfälle und Schwachstellen ein, die voraussichtlich ab August 2026 aktiv sein wird.

Was bedeutet das für Ihre Compliance-Planung?

Der CRA ist kein Projekt, das man kurz vor der Frist abarbeiten kann. Die Verordnung weist die Verantwortung für sichere Produkte dem Hersteller zu, über den gesamten Lebenszyklus von der Risikoanalyse bis zum Schwachstellenmanagement nach Markteintritt. Das erfordert strukturelle Veränderungen in Produktentwicklung, Dokumentation und internen Prozessen.

Für eine strukturierte Vorbereitung empfiehlt sich folgendes Vorgehen:

Was kommt als Nächstes? Weiterführende Themen

Dieser Artikel gibt Ihnen den Überblick. In den folgenden Beiträgen vertiefen wir die einzelnen Themenfelder:

• Fristen-Fahrplan im Detail: Was müssen Sie bis September 2026 konkret umgesetzt haben - und was bis Dezember 2027?
• Herstellerpflichten im Detail: Secure-by-Design, Schwachstellenmanagement, technische Dokumentation und Supportzeitraum - was genau verlangt der CRA?
• CE-Kennzeichnung unter dem CRA: Wie läuft die Konformitätsbewertung ab, welche Stelle ist zuständig, und was kostet das?
• CRA-Readiness-Check: Wo steht Ihr Unternehmen heute - und welche Lücken müssen bis wann geschlossen werden?

Ergänzend empfehlen wir unseren Überblick zum ^[1], der die Pflichten rund um Datenzugang und Datenteilen für vernetzte Produkte regelt - ein Regelwerk, das parallel zum CRA zu beachten ist.

Fazit: Jetzt handeln, nicht abwarten

Der Cyber Resilience Act ist geltendes EU-Recht. Die erste operative Frist - die Meldepflicht ab September 2026 - ist näher, als viele Unternehmen glauben. Wer jetzt mit der Bestandsaufnahme beginnt, schafft sich den nötigen Vorlauf für technische Anpassungen, Dokumentation und externe Prüfungen.

Für Entscheider gilt: CRA-Compliance ist keine rein technische Aufgabe. Sie berührt Produkthaftung, Geschäftsführerhaftung, Vertragsgestaltung mit Lieferanten und Kunden sowie steuerliche Gestaltungsfragen. Genau hier liegt der Mehrwert einer integrierten rechtlichen und steuerlichen Beratung - statt zwei Berater parallel zu beauftragen, die nicht miteinander sprechen.

Ob und in welchem Umfang der CRA auf Ihr Unternehmen zutrifft, hängt von den konkreten Produkten, Ihrer Marktrolle und Ihrer Lieferkette ab. Eine pauschale Antwort gibt es nicht - wohl aber eine strukturierte Ersteinschätzung.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche oder steuerliche Beratung im Einzelfall. Die Rechtslage kann sich durch neue Durchführungsverordnungen, harmonisierte Normen und behördliche Auslegungen weiterentwickeln. Bitte lassen Sie Ihre konkrete Situation individuell prüfen.