Cyber Resilience Act deutsch: Pflichten ab 2027

Was ist der Cyber Resilience Act deutsch? Definition und Geltungsbereich

Der Cyber Resilience Act deutsch (CRA) ist die EU-Verordnung (EU) 2024/2847, die am 10. Dezember 2024 in Kraft getreten ist und ab 11. Dezember 2027 für alle neuen Produkte mit digitalen Elementen gilt, die in der EU in Verkehr gebracht werden. Die Verordnung legt europaweit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest.

Ziel der Verordnung ist es, Verbraucher und Unternehmen vor unsicheren Produkten zu schützen. Sie verpflichtet Hersteller, Importeure und Händler, Cybersicherheit über den gesamten Produktlebenszyklus zu gewährleisten.

Für wen gilt der CRA in der Produktion?

Der CRA betrifft alle Unternehmen, die Produkte mit digitalen Elementen herstellen, importieren oder in der EU vertreiben. Produkte mit digitalen Elementen sind Hardware- und Softwareprodukte, deren bestimmungsgemäße Funktion digitale Daten verarbeitet. Dazu gehören IoT-Geräte, Steuerungen, eingebettete Software, Apps und vernetzte Maschinen.

Für produzierende Unternehmen ist die Abgrenzung entscheidend: Eine Maschine mit SPS-Steuerung, vernetzter Sensorik oder Cloud-Anbindung fällt unter den CRA. Eine rein mechanische Maschine ohne digitale Komponenten nicht. Auch Maschinenbauer, die Software in ihre Anlagen integrieren oder Steuerungen programmieren, können als Hersteller im Sinne des CRA gelten.

Was sind Produkte mit digitalen Elementen?

Produkte mit digitalen Elementen umfassen Hardware mit eingebetteter Software, reine Softwareprodukte und Datenverarbeitungssysteme. Beispiele aus der Produktion:

• Industrieroboter mit vernetzter Steuerung
• SPS-Steuerungen und HMI-Panels
• Vernetzte Sensoren und Aktoren
• Condition-Monitoring-Systeme
• MES- und SCADA-Software
• Firmware für Produktionsanlagen

Ausgenommen sind Produkte, die bereits durch sektorspezifische EU-Rechtsvorschriften mit gleichwertigen Cybersicherheitsanforderungen reguliert werden. Dazu gehören Medizinprodukte, Luftfahrtausrüstung und Kraftfahrzeuge. Für diese Bereiche gelten weiterhin die jeweiligen Fachvorschriften.

Betroffene Unternehmen: Hersteller, Importeure, Händler

Der CRA definiert drei Rollen mit unterschiedlichen Pflichten: Hersteller, Importeure und Händler. Die Rollenzuordnung bestimmt, welche Anforderungen ein Unternehmen erfüllen muss.

Wann gilt ein produzierendes Unternehmen als Hersteller?

Ein produzierendes Unternehmen gilt als Hersteller im Sinne des CRA, wenn es:

• Produkte mit digitalen Elementen selbst entwickelt und herstellt
• Produkte unter eigenem Namen oder eigener Marke in Verkehr bringt (auch bei Auftragsfertigung)
• bestehende Produkte so verändert, dass die Konformität mit den CRA-Anforderungen berührt wird
• Software entwickelt oder wesentlich anpasst, die als Produkt vertrieben wird

Für Maschinenbauer bedeutet das: Wer eine Steuerungssoftware selbst programmiert oder eine zugekaufte Steuerung so anpasst, dass neue Sicherheitsrisiken entstehen, wird zum Hersteller. Wer lediglich eine zertifizierte Standardsteuerung einbaut, bleibt in der Regel Anwender.

Was gilt für zugekaufte Komponenten und Software?

Bei zugekauften Komponenten bleibt der ursprüngliche Hersteller für die CRA-Konformität verantwortlich, sofern das Produkt unverändert eingebaut wird. Der Maschinenbauer muss aber prüfen, ob die Komponente eine CE-Kennzeichnung nach CRA trägt und eine EU-Konformitätserklärung vorliegt.

Wird eine Komponente oder Software wesentlich verändert, kann der Maschinenbauer selbst zum Hersteller werden. Als wesentlich gelten Änderungen, die:

• die Sicherheitsfunktionen beeinflussen
• neue Schnittstellen oder Netzwerkverbindungen schaffen
• die bestimmungsgemäße Verwendung erweitern

In der Lieferkette müssen Hersteller sicherstellen, dass Zulieferer CRA-konforme Komponenten liefern. Verträge sollten Nachweispflichten und Update-Zusagen enthalten.

Die wichtigsten Pflichten im Überblick

Hersteller müssen Produkte nach Security by Design entwickeln, eine Risikoanalyse durchführen, eine CE-Kennzeichnung anbringen und mindestens fünf Jahre lang Sicherheitsupdates bereitstellen. Diese Pflichten gelten ab 11. Dezember 2027 für alle neuen Produkte.

Security by Design: Anforderungen in der Produktentwicklung

Security by Design bedeutet, dass Cybersicherheit von Anfang an in die Produktentwicklung integriert wird. Konkret fordert der CRA:

• Sichere Standardkonfiguration ohne bekannte Schwachstellen
• Keine voreingestellten Passwörter oder leicht erratbare Zugangsdaten
• Verschlüsselung gespeicherter und übertragener Daten
• Schutz vor unbefugtem Zugriff und Manipulation
• Protokollierung sicherheitsrelevanter Ereignisse
• Sichere Update-Mechanismen

Security by Default ergänzt das Prinzip: Produkte müssen im Auslieferungszustand so konfiguriert sein, dass sie das höchste Sicherheitsniveau bieten, ohne dass der Anwender Einstellungen vornehmen muss.

In der Entwicklung müssen Hersteller eine Risikoanalyse durchführen. Sie identifiziert mögliche Cyberbedrohungen, bewertet deren Eintrittswahrscheinlichkeit und Auswirkung und definiert Schutzmaßnahmen. Die Risikoanalyse ist Teil der technischen Dokumentation.

CE-Kennzeichnung nach CRA: Was ist neu?

Produkte mit digitalen Elementen benötigen ab 11. Dezember 2027 eine CE-Kennzeichnung als Nachweis für die Erfüllung der CRA-Anforderungen. Die CE-Kennzeichnung nach CRA ergänzt bestehende CE-Kennzeichnungen, etwa nach Maschinenverordnung oder Niederspannungsrichtlinie.

Vor der CE-Kennzeichnung muss der Hersteller eine Konformitätsbewertung durchführen. Für die meisten Produkte reicht eine interne Kontrolle durch den Hersteller selbst. Für kritische Produkte (z. B. bestimmte Sicherheitskomponenten) ist eine Prüfung durch eine benannte Stelle erforderlich.

Die EU-Konformitätserklärung dokumentiert, dass das Produkt die CRA-Anforderungen erfüllt. Sie muss folgende Angaben enthalten:

• Name und Anschrift des Herstellers
• Produktbezeichnung und Modellnummer
• Erklärung, dass das Produkt die Verordnung (EU) 2024/2847 erfüllt
• Angewandte harmonisierte Normen oder technische Spezifikationen
• Datum und Unterschrift

Wie lange müssen Sicherheitsupdates bereitgestellt werden?

Hersteller müssen Sicherheitsupdates mindestens fünf Jahre lang oder über die erwartete Produktlebensdauer bereitstellen, je nachdem, welcher Zeitraum länger ist. Die Support-Dauer sollte vor dem Kauf klar kommuniziert werden.

Sicherheitsupdates müssen:

• Schwachstellen beheben, die nach Inverkehrbringen bekannt werden
• kostenlos für den Anwender sein
• einfach und sicher installierbar sein
• die Funktionalität des Produkts nicht beeinträchtigen

Hersteller müssen einen Prozess etablieren, um Schwachstellen zu identifizieren, zu bewerten und zu beheben. Dazu gehört auch die Überwachung öffentlicher Schwachstellendatenbanken und die Zusammenarbeit mit Sicherheitsforschern.

Meldepflichten ab 11. September 2026

Ab 11. September 2026 müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an CSIRT und ENISA über die zentrale EU-Meldeplattform gemeldet werden. Diese Meldepflicht gilt bereits vor der vollständigen Anwendung des CRA.

Welche Schwachstellen müssen gemeldet werden?

Meldepflichtig sind:

• Aktiv ausgenutzte Schwachstellen in eigenen Produkten
• Schwachstellen, die zu erheblichen Cybersicherheitsvorfällen geführt haben
• Schwachstellen in Komponenten, die in eigenen Produkten verbaut sind, wenn sie die Sicherheit des Gesamtprodukts gefährden

Eine Schwachstelle gilt als aktiv ausgenutzt, wenn es Hinweise auf tatsächliche Angriffe gibt, nicht nur auf theoretische Ausnutzbarkeit.

Meldefristen und zuständige Stellen

Der CRA legt gestaffelte Meldefristen fest:

Meldungen erfolgen über die zentrale EU-Meldeplattform. Die Meldung geht an das nationale CSIRT (Computer Security Incident Response Team) und die EU-Agentur ENISA.

In Deutschland wird voraussichtlich das CERT-Bund beim BSI (Bundesamt für Sicherheit in der Informationstechnik) die zuständige Stelle sein. Hersteller sollten sich frühzeitig registrieren und Meldeprozesse einrichten.

Der Unterschied zu NIS-2-Meldepflichten: NIS-2 verpflichtet Betreiber kritischer Infrastrukturen und wichtiger Einrichtungen, Sicherheitsvorfälle in ihren eigenen Systemen zu melden. Der CRA verpflichtet Hersteller, Schwachstellen in ihren Produkten zu melden, unabhängig davon, wo diese eingesetzt werden.

Zeitplan: Wann müssen Unternehmen handeln?

Der CRA folgt einem gestaffelten Zeitplan, der Unternehmen Vorlaufzeit für die Umsetzung gibt.

Für Bestandsprodukte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten die CRA-Anforderungen nicht. Sie dürfen weiter vertrieben werden. Allerdings müssen Hersteller ab 11. September 2026 auch für Bestandsprodukte Schwachstellen melden und Updates bereitstellen, wenn sie dies zugesagt haben.

Empfohlener interner Zeitplan für Hersteller:

• Bis Ende 2026: Gap-Analyse abschließen, betroffene Produkte identifizieren, Meldeprozesse einrichten
• Bis Mitte 2027: Entwicklungsprozesse anpassen, Risikoanalysen durchführen, Dokumentation vorbereiten
• Bis November 2027: Konformitätsbewertung abschließen, CE-Kennzeichnung vorbereiten, Lieferkette absichern

Unternehmen, die erst 2027 mit der Umsetzung beginnen, riskieren Verzögerungen beim Marktzugang.

Konsequenzen bei Nichteinhaltung

Bei Nichteinhaltung drohen laut Verordnung (EU) 2024/2847 Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die Mitgliedstaaten legen die genauen Bußgeldtatbestände und -höhen fest.

Zusätzlich können nationale Marktüberwachungsbehörden:

• Vertriebsverbote für nicht-konforme Produkte verhängen
• Rückrufe anordnen
• Zwangsgelder festsetzen
• öffentliche Warnungen aussprechen

Neben behördlichen Sanktionen drohen Haftungsrisiken. Wenn ein Sicherheitsvorfall auf eine nicht behobene Schwachstelle zurückzuführen ist, können Kunden Schadensersatz geltend machen. Auch Reputationsschäden und Vertrauensverlust bei Kunden sind zu erwarten.

Die Marktüberwachung erfolgt durch nationale Behörden. Die genaue Zuständigkeitsverteilung in Deutschland wird noch festgelegt. Die Behörden führen stichprobenartige Kontrollen durch und gehen Hinweisen auf nicht-konforme Produkte nach.

Handlungsempfehlungen für produzierende Unternehmen

Produzierende Unternehmen sollten ihr Produktportfolio prüfen, Lieferketten analysieren, Entwicklungsprozesse anpassen, Dokumentation vorbereiten und Meldeprozesse etablieren, idealerweise bis Mitte 2027. Eine systematische Vorbereitung sichert den Marktzugang und vermeidet Sanktionen.

Wie bereiten sich Hersteller auf den CRA vor?

Schritt 1: Produktportfolio prüfen

Identifizieren Sie alle Produkte mit digitalen Elementen in Ihrem Portfolio. Prüfen Sie für jedes Produkt:

• Verarbeitet es digitale Daten?
• Hat es Netzwerkschnittstellen oder Cloud-Anbindung?
• Enthält es Software oder Firmware?
• Fällt es unter eine Ausnahme (Medizintechnik, Luftfahrt, Kfz)?

Erstellen Sie eine Liste betroffener Produkte mit Angabe der Produktkategorie (Standard oder kritisch).

Schritt 2: Lieferkette analysieren

Prüfen Sie alle zugekauften Komponenten und Softwarebestandteile:

• Welche Komponenten enthalten digitale Elemente?
• Sind die Zulieferer auf den CRA vorbereitet?
• Liegen CE-Kennzeichnungen und Konformitätserklärungen vor?
• Sind Update-Zusagen vertraglich geregelt?

Fordern Sie von Zulieferern Nachweise über CRA-Konformität an. Passen Sie Einkaufsbedingungen und Lieferantenverträge an.

Schritt 3: Entwicklungs- und QM-Prozesse anpassen

Integrieren Sie Security by Design in Ihre Entwicklungsprozesse:

• Führen Sie Risikoanalysen für Cyberbedrohungen ein
• Definieren Sie Sicherheitsanforderungen in Pflichtenheften
• Schulen Sie Entwickler in sicherer Programmierung
• Etablieren Sie Code-Reviews und Sicherheitstests
• Dokumentieren Sie Sicherheitsmaßnahmen systematisch

Passen Sie Ihr Qualitätsmanagementsystem an. Die CRA-Anforderungen sollten in Prüfpläne und Freigabeprozesse einfließen.

Schritt 4: Dokumentation und Konformitätsbewertung vorbereiten

Erstellen Sie die technische Dokumentation nach CRA-Anforderungen:

• Produktbeschreibung und bestimmungsgemäße Verwendung
• Risikoanalyse für Cybersicherheit
• Beschreibung der Sicherheitsmaßnahmen
• Testberichte und Validierungsnachweise
• Bedienungsanleitung mit Sicherheitshinweisen

Führen Sie die Konformitätsbewertung durch und erstellen Sie die EU-Konformitätserklärung. Für kritische Produkte beauftragen Sie rechtzeitig eine benannte Stelle.

Schritt 5: Meldeprozesse und Incident Response etablieren

Richten Sie einen Prozess für Schwachstellenmanagement ein:

• Benennen Sie Verantwortliche für Cybersicherheit
• Definieren Sie Meldewege und Eskalationsstufen
• Registrieren Sie sich bei der zentralen EU-Meldeplattform
• Erstellen Sie Vorlagen für Meldungen
• Üben Sie den Ernstfall (Tabletop-Übungen)

Stellen Sie sicher, dass Schwachstellen schnell bewertet und Meldepflichten eingehalten werden können.

Welche internen Prozesse müssen angepasst werden?

Folgende Unternehmensbereiche sind von der CRA-Umsetzung betroffen:

• Entwicklung: Security by Design, Risikoanalysen, sichere Programmierung
• Qualitätsmanagement: Konformitätsbewertung, Dokumentation, Prüfpläne
• Einkauf: Lieferantenbewertung, Vertragsanpassungen, Nachweisforderungen
• Vertrieb: Produktinformationen, Support-Zusagen, Kundenaufklärung
• IT/Sicherheit: Schwachstellenmanagement, Meldeprozesse, Update-Bereitstellung
• Recht/Compliance: Vertragsgestaltung, Haftungsfragen, Behördenkontakt

Eine bereichsübergreifende Projektgruppe sollte die Umsetzung koordinieren.

Unterstützung erhalten Unternehmen beim BSI, bei den Industrie- und Handelskammern, bei Branchenverbänden wie VDMA oder ZVEI sowie bei spezialisierten Fachanwälten für IT-Recht und Produkthaftung. Das BSI stellt auf seiner Website Informationen zum CRA bereit.

Abgrenzung zu anderen Regelungen

Der CRA richtet sich an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, während NIS-2 Betreiber kritischer Infrastrukturen und wichtiger Einrichtungen adressiert. Beide Regelungen können ein Unternehmen gleichzeitig betreffen.

CRA vs. NIS-2-Richtlinie

Der CRA regelt die Produktsicherheit, NIS-2 die Betriebssicherheit. Ein Maschinenbauer, der vernetzte Steuerungen herstellt, muss als Hersteller den CRA einhalten. Betreibt er selbst kritische Infrastruktur (z. B. eigene Produktionsanlagen), unterliegt er zusätzlich NIS-2.

Meldepflichten unterscheiden sich: CRA verlangt die Meldung von Schwachstellen in Produkten, NIS-2 die Meldung von Vorfällen in eigenen Systemen.

CRA vs. Maschinenverordnung

Die Maschinenverordnung (EU) 2023/1230 regelt mechanische und elektrische Sicherheit von Maschinen. Der CRA ergänzt sie um Cybersicherheitsanforderungen. Eine Maschine mit digitalen Elementen benötigt beide CE-Kennzeichnungen.

Beide Verordnungen verlangen eine Risikoanalyse, aber mit unterschiedlichem Fokus: Die Maschinenverordnung betrachtet mechanische Gefährdungen, der CRA Cyberbedrohungen. Die Risikoanalysen sollten aufeinander abgestimmt werden.

CRA vs. Produktsicherheitsverordnung

Die allgemeine Produktsicherheitsverordnung gilt für alle Verbraucherprodukte. Der CRA ist eine Spezialregelung für Produkte mit digitalen Elementen und geht bei Cybersicherheit vor. Für andere Sicherheitsaspekte (z. B. chemische Stoffe, Brandschutz) gilt weiterhin die Produktsicherheitsverordnung.

Überschneidungen und Wechselwirkungen

In der Praxis müssen Hersteller mehrere Regelungen parallel einhalten. Eine integrierte Compliance-Strategie vermeidet Doppelarbeit:

• Risikoanalysen für Maschinensicherheit und Cybersicherheit zusammenführen
• Technische Dokumentation für alle CE-Kennzeichnungen bündeln
• QM-Prozesse so gestalten, dass sie alle Anforderungen abdecken
• Schulungen für Entwickler und QM-Personal bereichsübergreifend durchführen

Häufige Fragen zum Cyber Resilience Act

Gilt der CRA auch für Bestandsprodukte?

Nein, der CRA gilt nur für Produkte, die ab dem 11. Dezember 2027 neu in Verkehr gebracht werden. Bestandsprodukte, die vorher in Verkehr gebracht wurden, dürfen weiter vertrieben werden. Allerdings müssen Hersteller ab 11. September 2026 auch für Bestandsprodukte Schwachstellen melden, wenn sie Updates zugesagt haben.

Was passiert mit Produkten, die vor Dezember 2027 in Verkehr gebracht wurden?

Sie dürfen ohne CRA-Konformität weiter verkauft werden, solange sie nicht wesentlich verändert werden. Hersteller sollten aber prüfen, ob sie freiwillig Sicherheitsupdates bereitstellen, um Haftungsrisiken zu minimieren.

Müssen auch Open-Source-Komponenten gemeldet werden?

Ja, wenn sie in einem Produkt verbaut sind und eine meldepflichtige Schwachstelle aufweisen. Der Hersteller des Gesamtprodukts ist für die Meldung verantwortlich, auch wenn die Schwachstelle in einer Open-Source-Komponente liegt.

Wer trägt die Kosten für Updates und Support?

Der Hersteller muss Sicherheitsupdates kostenlos bereitstellen. Er darf dafür keine Gebühren vom Endkunden verlangen. Die Kosten müssen in der Kalkulation des Produktpreises berücksichtigt werden.

Wo finde ich den offiziellen Verordnungstext?

Der vollständige Text der Verordnung (EU) 2024/2847 ist im Amtsblatt der Europäischen Union veröffentlicht und auf EUR-Lex abrufbar. Das BSI stellt auf seiner Website Informationen zum CRA bereit.