Der EU Cyber Resilience Act

Der CRA erfasst Hard- und Software, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst – einschließlich separat in Verkehr gebrachter Komponenten. Die Pflichten treffen in erster Linie die Hersteller, sobald ein Produkt auf dem EU-Markt bereitgestellt wird; für Einführer und Händler gelten abgestufte Prüf- und Mitwirkungspflichten. Ausgenommen sind Produktbereiche mit eigenen sektoralen Regelungen – etwa Medizinprodukte, Kraftfahrzeuge, Luftfahrt und Schifffahrt – sowie freie und quelloffene Software außerhalb einer kommerziellen Tätigkeit.

Die Verordnung stuft Produkte nach Risiko ab: Der Großteil gilt als Standardprodukt und durchläuft eine Selbstbewertung des Herstellers. Wichtige Produkte nach Anhang III sind in Klasse I (19 Kategorien, u. a. Passwort-Manager, Browser, VPN-Produkte, Betriebssysteme, Router und SIEM-Systeme) und Klasse II (4 Kategorien: Hypervisoren und Container-Runtimes, Firewalls und Intrusion-Detection-/Prevention-Systeme sowie manipulationssichere Mikroprozessoren und Mikrocontroller) unterteilt. Für kritische Produkte nach Anhang IV – u. a. Smart-Meter-Gateways sowie Smartcards und sichere Elemente – kann eine verpflichtende europäische Cybersicherheitszertifizierung vorgegeben werden. Die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 präzisiert die technischen Beschreibungen der Kategorien; maßgeblich für die Einstufung ist die Kernfunktionalität des Produkts.

Anhang I definiert die grundlegenden Cybersicherheitsanforderungen in zwei Teilen. Teil I betrifft die Produkteigenschaften: Produkte müssen auf Basis einer Risikobewertung entwickelt, ohne bekannte ausnutzbare Schwachstellen bereitgestellt und mit sicherer Standardkonfiguration ausgeliefert werden; Schwachstellen sind durch Sicherheitsupdates zu beheben – standardmäßig automatisch installierbar, mit Opt-out-Möglichkeit. Teil II verlangt Prozesse für die Schwachstellenbehandlung: eine Software-Stückliste (SBOM) in einem gängigen, maschinenlesbaren Format mindestens für die obersten Abhängigkeitsebenen, eine Richtlinie zur koordinierten Offenlegung, eine Kontaktstelle für Schwachstellenmeldungen sowie regelmäßige Tests und die unverzügliche, unentgeltliche Verteilung von Sicherheitsupdates. Eine Veröffentlichung der SBOM verlangt der CRA nicht; als praktische Einstiegshilfe konkretisiert die Technische Richtlinie BSI TR-03183 unter anderem SBOM-Inhalte und -Formate.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit des Produkts melden – gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA über die zentrale Meldeplattform nach Art. 16. Es gilt ein dreistufiges Verfahren: Frühwarnung innerhalb von 24 Stunden nach Kenntnis, detaillierte Meldung innerhalb von 72 Stunden, Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme, bei Vorfällen einen Monat nach der Vorfallsmeldung. Diese Fristen setzen vorbereitete Erkennungs-, Bewertungs- und Meldeprozesse voraus – insbesondere die Fähigkeit, eine aktive Ausnutzung belastbar festzustellen.

Der Konformitätsnachweis erfolgt je nach Klasse über die interne Kontrolle (Modul A), die EU-Baumusterprüfung mit anschließender Fertigungskontrolle (Module B und C), eine umfassende Qualitätssicherung (Modul H) oder ein europäisches Cybersicherheits-Zertifizierungsschema (Art. 32). Wichtige Produkte der Klasse I dürfen nur dann per Selbstbewertung konform erklärt werden, wenn einschlägige harmonisierte Normen oder Schemata vollständig angewendet werden; für Klasse II ist die Einbindung einer benannten Stelle verpflichtend. Ab dem 11. Dezember 2027 dürfen Produkte mit digitalen Elementen nur noch mit CE-Kennzeichnung (Art. 29–30) in der EU in Verkehr gebracht werden, die dann auch die CRA-Konformität bestätigt – nachzuweisen über EU-Konformitätserklärung und technische Dokumentation. Bei Verstößen gegen die Anforderungen aus Anhang I oder die Pflichten aus Art. 13 und 14 drohen Geldbußen bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, bei sonstigen Pflichtverstößen bis 10 Mio. Euro oder 2 % (Art. 64).

Hersteller müssen einen Unterstützungszeitraum festlegen, in dem Schwachstellen wirksam behandelt werden; er beträgt grundsätzlich mindestens fünf Jahre (Art. 13). Einmal bereitgestellte Sicherheitsupdates müssen mindestens zehn Jahre nach ihrer Veröffentlichung oder für den Rest des Unterstützungszeitraums verfügbar bleiben – je nachdem, welcher Zeitraum länger ist – und sind während des Unterstützungszeitraums unentgeltlich anzubieten. Damit verlagert der CRA den Fokus von einer einmaligen Konformitätsprüfung hin zu dauerhaft betriebenen Prozessen: sichere Entwicklung, Schwachstellen- und Patch-Management sowie fortlaufende Dokumentation. Seit dem 11. Juni 2026 gelten zudem die Vorschriften zur Notifizierung der Konformitätsbewertungsstellen (Kapitel IV), und die Europäische Kommission hat im Juli 2026 praxisorientierte Leitlinien zur Umsetzung veröffentlicht.

Seit dem 30. Juli 2026 liefert die EU-Cybersicherheitsagentur ENISA mit dem „Secure by Design and Default Playbook“ (v1.0) eine kostenlose Umsetzungshilfe für genau die Herstellerpflichten, die der CRA in Anhang I verlangt: 22 Prinzipien – von Trust Boundaries über restriktiven Erstzugang bis zu automatischen Updates – jeweils als einseitiges Playbook mit Checkliste, Mindest-Nachweisen und Release-Gate für die CI/CD-Pipeline. Annex C des Dokuments mappt jedes Prinzip indikativ auf die grundlegenden Anforderungen des CRA; ein Konformitätsnachweis entsteht dadurch nicht, wohl aber eine belastbare Engineering-Brücke von der Verordnung in die Entwicklungspraxis – inklusive eines Konzepts für maschinenlesbare Sicherheitsnachweise. Lizenziert unter CC BY 4.0, verfügbar als PDF und GitHub-Repo.