Der Cyber Resilience Act auf Deutsch, einfach erklärt
Der Cyber Resilience Act (CRA) macht Cybersicherheit zur Voraussetzung für den Verkauf von Hardware und Software in der EU. Diese Seite fasst in verständlicher Sprache zusammen, was die Verordnung regelt, wen sie trifft, welche Fristen gelten und was Hersteller bis Dezember 2027 umsetzen müssen. Für die Details verweisen wir auf unsere Vertiefungsseiten.
- 2024/2847 Verordnung (EU), in Kraft seit 10. Dezember 2024
- 11.09.2026 Meldepflichten gelten
- 11.12.2027 volle Anwendung der Produktanforderungen
- 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes: Bußgeldrahmen
Was ist der Cyber Resilience Act?
Der CRA ist die Verordnung (EU) 2024/2847, auf Deutsch Cyberresilienz-Verordnung. Sie gilt unmittelbar in allen Mitgliedstaaten und verlangt, dass Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus angemessen sicher sind.
-
Produktrecht, nicht Betreiberrecht
Der CRA regelt, was ein Produkt mitbringen muss, bevor es verkauft wird, ähnlich wie Sicherheitsvorgaben für Elektrogeräte. Er fragt nicht, wie ein Unternehmen seine eigene IT betreibt. Das ist Sache von NIS2.
-
Ein Maßstab für den Binnenmarkt
Statt unterschiedlicher nationaler Regeln gilt in der ganzen EU derselbe Mindeststandard. Wer ihn erfüllt und das mit der CE-Kennzeichnung bestätigt, darf in allen Mitgliedstaaten verkaufen.
-
Über den ganzen Lebenszyklus
Die Pflichten enden nicht mit dem Verkauf. Hersteller müssen Schwachstellen über den Supportzeitraum behandeln und Sicherheitsupdates liefern, solange das Produkt erwartungsgemäß genutzt wird, mindestens fünf Jahre.
Hersteller, Importeure und Händler
Der CRA verteilt die Pflichten nach der Rolle in der Lieferkette. Die meiste Arbeit liegt beim Hersteller; wer importiert oder verkauft, muss prüfen, ob der Hersteller seine Arbeit gemacht hat.
- Volle Pflichten
Hersteller
Wer ein Produkt mit digitalen Elementen entwickelt oder unter eigenem Namen oder eigener Marke in Verkehr bringt. Auch wer ein fremdes Produkt wesentlich verändert, wird zum Hersteller.
- Prüfpflichten
Importeure
Wer Produkte aus Drittstaaten in die EU einführt. Importeure stellen sicher, dass Konformitätsbewertung, Dokumentation und CE-Kennzeichnung vorliegen, und bringen ihre eigenen Kontaktdaten am Produkt an.
- Sorgfaltspflichten
Händler
Wer Produkte auf dem Markt bereitstellt, ohne sie zu verändern. Händler prüfen CE-Kennzeichnung und Herstellerangaben und informieren den Hersteller, wenn sie von einer Schwachstelle oder Nichtkonformität erfahren.
Welche Produkte? Erfasst sind Hardware und Software mit Verbindung zu einem Gerät oder Netz, von der App bis zur Industriesteuerung. Ausgenommen sind Bereiche mit eigenen Regeln, etwa Medizinprodukte und Kraftfahrzeuge. Welche Produkte in welche Klasse fallen, erklärt die Seite Betroffene Produkte.
Die Fristen des Cyber Resilience Act
Der CRA gilt stufenweise. Die Meldepflichten sind bereits anwendbar, die vollständigen Produktanforderungen folgen Ende 2027.
| Datum | Was gilt |
|---|---|
| 10. Dezember 2024 | Inkrafttreten der Verordnung (EU) 2024/2847; die Übergangsfristen beginnen |
| 11. Juni 2026 | Regeln für Konformitätsbewertungsstellen gelten, damit notifizierte Stellen rechtzeitig vor der vollen Anwendung benannt werden können |
| 11. September 2026 | Meldepflichten der Hersteller: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind über die ENISA Single Reporting Platform zu melden, auch für bereits verkaufte Produkte |
| 11. Dezember 2027 | Volle Anwendung: grundlegende Anforderungen, Konformitätsbewertung, CE-Kennzeichnung und technische Dokumentation für alle neu in Verkehr gebrachten Produkte |
Was Hersteller tun müssen
Sechs Pflichten bilden den Kern. Sie bauen aufeinander auf: Wer sicher entwickelt und seine Komponenten kennt, kann Schwachstellen behandeln, Updates liefern und die Konformität belegen.
-
Security by Design
Produkte werden auf Grundlage einer Cybersicherheits-Risikobewertung entwickelt: ohne bekannte ausnutzbare Schwachstellen, mit sicherer Standardkonfiguration, Schutz vor unbefugtem Zugriff und möglichst kleiner Angriffsfläche.
-
Schwachstellenmanagement
Komponenten kennen und dokumentieren, etwa in einer Software-Stückliste (SBOM), Schwachstellen unverzüglich beheben und eine Stelle betreiben, an die Dritte Schwachstellen melden können.
-
Sicherheitsupdates
Über den Supportzeitraum von mindestens fünf Jahren werden Sicherheitsupdates bereitgestellt, grundsätzlich kostenlos und getrennt von Funktionsupdates. Der Supportzeitraum wird beim Kauf angegeben.
-
Technische Dokumentation
Beschreibung des Produkts, Risikobewertung und Nachweis, wie die Anforderungen erfüllt werden. Sie entsteht vor dem Inverkehrbringen und wird über den Supportzeitraum aktuell gehalten.
-
Konformitätsbewertung und CE
Je nach Produktklasse Selbstbewertung oder Prüfung durch eine notifizierte Stelle. Ergebnis sind EU-Konformitätserklärung und CE-Kennzeichnung, ohne die das Produkt nicht verkauft werden darf.
-
Meldepflicht
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle werden über die ENISA-Plattform gemeldet, mit Frühwarnung binnen 24 Stunden. Betroffene Nutzer werden informiert.
Bußgelder: Verstöße gegen die grundlegenden Anforderungen und die zentralen Herstellerpflichten können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für andere Pflichtverstöße gelten niedrigere Rahmen. Hinzu kommen Vertriebsverbote und Rückrufe durch die Marktüberwachung.
CRA, Cybersecurity Act und NIS2: Was ist was?
Drei EU-Rechtsakte mit ähnlichen Namen und unterschiedlichen Aufgaben. Wer sie auseinanderhält, weiß, welche Pflichten das eigene Unternehmen tatsächlich treffen.
| Rechtsakt | Gegenstand | Wer ist verpflichtet | Verbindlich? |
|---|---|---|---|
| Cyber Resilience Act, VO (EU) 2024/2847 | Cybersicherheit von Produkten mit digitalen Elementen | Hersteller, Importeure und Händler | Ja, Voraussetzung für das Inverkehrbringen in der EU |
| Cybersecurity Act, VO (EU) 2019/881 | Europäischer Rahmen für die Zertifizierung von Produkten, Diensten und Prozessen; Mandat der ENISA | Wer sich freiwillig zertifizieren lässt | Grundsätzlich freiwillig; der CRA kann ein Zertifikat für kritische Produkte vorschreiben |
| NIS2, in Deutschland umgesetzt im BSIG | Sicherheit der Netze und Dienste von Einrichtungen in bestimmten Sektoren | Besonders wichtige und wichtige Einrichtungen | Ja, mit Registrierung, Meldepflicht und Risikomanagement |
-
Zum Cybersecurity Act
Wie der europäische Zertifizierungsrahmen funktioniert, welche Schemata es gibt und wann eine Zertifizierung sinnvoll ist, auf cybersecurity-act.de.
-
Zu NIS2
Wer unter NIS2 fällt, welche Pflichten gelten und wie die Umsetzung gelingt, auf beratung-nis2.de.
Der Cyber Resilience Act kurz beantwortet
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847. Er legt EU-weit verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, also für Hardware und Software, die mit einem Gerät oder Netz verbunden werden kann. Hersteller müssen ihre Produkte sicher entwickeln, Schwachstellen über den Supportzeitraum behandeln, Sicherheitsupdates liefern und die Konformität mit der CE-Kennzeichnung bestätigen. Als Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz.
Gibt es den Cyber Resilience Act auf Deutsch?
Ja. Die Verordnung ist im Amtsblatt der EU in allen Amtssprachen veröffentlicht, auch auf Deutsch, und auf EUR-Lex frei abrufbar. Der amtliche deutsche Kurztitel lautet Cyberresilienz-Verordnung; der vollständige Titel spricht von horizontalen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Die deutsche Fassung ist ebenso verbindlich wie die englische.
Cyber Resilience Act Zusammenfassung: Was steht in Kürze drin?
Produkte mit digitalen Elementen dürfen ab dem 11. Dezember 2027 nur noch in der EU in Verkehr gebracht werden, wenn sie die grundlegenden Cybersicherheitsanforderungen erfüllen. Hersteller verantworten Security by Design, Schwachstellenmanagement, Sicherheitsupdates über mindestens fünf Jahre, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Seit dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Importeure und Händler haben Prüf- und Sorgfaltspflichten. Verstöße können mit bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden.
Gilt der CRA auch für Produkte, die schon auf dem Markt sind?
Teilweise. Die Produktanforderungen gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden; ältere Produkte fallen nur darunter, wenn sie danach wesentlich verändert werden. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten dagegen seit dem 11. September 2026 auch für Produkte, die bereits vorher in Verkehr gebracht wurden. Ihr Meldeprozess muss also den Bestand im Feld abdecken.
Was ist der Unterschied zwischen Cyber Resilience Act und Cybersecurity Act?
Der Cybersecurity Act, Verordnung (EU) 2019/881, schafft einen europäischen Rahmen für die Zertifizierung der Cybersicherheit von Produkten, Diensten und Prozessen und stärkt das Mandat der ENISA. Die Zertifizierung danach ist grundsätzlich freiwillig. Der Cyber Resilience Act dagegen schreibt verbindliche Mindestanforderungen für alle Produkte mit digitalen Elementen vor. Beide greifen ineinander: Für bestimmte kritische Produkte kann der CRA ein europäisches Zertifikat nach dem Cybersecurity Act verlangen.
Müssen wir CRA und NIS2 gleichzeitig erfüllen?
Möglicherweise, denn beide haben unterschiedliche Gegenstände. NIS2 verpflichtet Einrichtungen in bestimmten Sektoren, ihre eigenen Netze und Dienste abzusichern. Der CRA verpflichtet Hersteller, Importeure und Händler, sichere Produkte auf den Markt zu bringen. Ein Maschinenbauer mittlerer Größe kann als wichtige Einrichtung unter NIS2 fallen und zugleich als Hersteller vernetzter Steuerungen unter den CRA. Die Meldewege bestehen dann nebeneinander.
Vertiefung zum Cyber Resilience Act
-
Betroffene Produkte
Was ein Produkt mit digitalen Elementen ist, die vier Produktklassen mit Beispielen, Ausnahmen und Open Source.
-
Konformitätsbewertung
Der Prüfweg je Klasse, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
-
Meldepflicht seit 11. September 2026
Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussmeldung, und wie ein Meldeprozess entsteht.
-
CRA-Beratung im Überblick
Betroffenheit, Zeitplan, Herstellerpflichten, Produktklassen und unser Vorgehen auf der Startseite.
Marcel Rieger
Klären, was der CRA für Ihre Produkte bedeutet
Im kostenlosen Erstgespräch ordnen wir Ihre Rolle und Ihre Produkte ein und sagen Ihnen, welche Pflichten wann greifen und wo Sie anfangen sollten.
- Einordnung als Hersteller, Importeur oder Händler
- Erste Zuordnung Ihrer Produkte zu den Klassen
- Fahrplan bis zur vollen Anwendung im Dezember 2027
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen