Von Josef Stelzer, IHK-Magazin 9/2026
Die Weichen sind gestellt: Die EU-Verordnung Cyber Resilience Act (CRA) gibt einheitliche Regeln zur Cybersicherheit für „neu in Verkehr gebrachte Produkte mit digitalen Elementen“ vor. Bis 11. Dezember 2027 muss die Verordnung komplett umgesetzt sein. Betroffen ist ein denkbar breites Spektrum an Produkten: von Smart-TVs und Textverarbeitungsprogrammen über Steuerungen für die vernetzte Gebäudeautomatisierung bis hin zu Betriebssystemen für Computer oder Handys.
Der Cyber Resilience Act enthält eine Vielzahl von Sicherheitsaspekten, unter anderem den Schutz gegen unbefugte Zugriffsversuche durch sichere Authentifizierungs- und Identitätsprüfungssysteme, regelmäßige Updates, die Verschlüsselung von gespeicherten oder übertragenen Daten sowie die Abwehr von Denial-of-Service-Angriffen (DoS), die ganze Netzwerke überlasten können und dann zu deren Ausfall führen.
Zeitpunkt des Inverkehrbringens zählt
Von der gesetzlichen Regelung betroffen sind Hersteller, aber auch Händler sowie Importeure. Wenn zum Beispiel eine Software oder ein digitales Gerät ab 11. Dezember 2027 in der EU ausgeliefert wird, gelten die gesetzlichen Anforderungen in vollem Umfang, und zwar auch dann, wenn das Produkt viel früher hergestellt worden ist.
Entscheidend ist der Zeitpunkt des „Inverkehrbringens“ und nicht das Fertigungsdatum. Die Verordnung gilt damit auch für Geräte älterer Produktlinien, die erst nach dem Stichtag in den Verkauf kommen. Ausgenommen davon sind Waren, die bereits in einem EU-Land lagern. Sie dürfen auch nach dem 11. Dezember 2027 etwa per Onlineshop veräußert werden, selbst wenn sie die CRA-Vorgaben noch nicht erfüllen.
Meldepflicht für Sicherheitsvorfälle
Bereits ab dem 11. September 2026 gelten bei schwerwiegenden Sicherheitsvorfällen, zu denen unter anderem Systemausfälle oder Angriffe durch Schadsoftware zählen, strikte Meldepflichten für die Hersteller von Produkten mit digitalen Elementen. Wenn Cyberkriminelle nachweislich Schwachstellen in den Produkten ausgenutzt haben, gilt die Meldepflicht ebenso.
Die Meldungen werden über die Single Reporting Platform (SRP) der Agentur der Europäischen Union für Cybersicherheit ENISA eingereicht. Auf diese Weise entsteht eine EU-weite Datenbank für gravierende Sicherheitslücken. Innerhalb von 24 Stunden nach Bekanntwerden eines Vorfalls müssen Unternehmen eine Frühwarnung und binnen 72 Stunden eine ausführliche Meldung online einreichen.
Bußgelder bis 15 Millionen Euro
Für schwerwiegende Sicherheitsvorfälle muss ein Abschlussbericht spätestens einen Monat nach der Meldung vorliegen. Bei aktiv ausgenutzten Schwachstellen greift eine Frist von 14 Tagen nach Bereitstellung einer Korrekturmaßnahme, zum Beispiel eines Firmware-Updates, das in elektronischen Geräten die Sicherheitslücken in der fest verankerten Software korrigiert.
Verstöße gegen den Cyber Resilience Act können im Übrigen teuer werden. Es drohen Bußgelder in Höhe von bis zu 15 Millionen Euro oder 2,5 Prozent des Jahresumsatzes.
Zulieferungen auf CRA prüfen
Der Halbleiterhersteller Infineon Technologies AG in Neubiberg verfügt für die Cybersicherheit der eigenen Produkte und der Unternehmensinfrastruktur bereits über eine zentrale Fachabteilung. „Auf die CRA-Anforderungen sind wir daher gut vorbereitet“, sagt Uwe Rüddenklau, der bei Infineon weltweit für die Bereiche Standardisierung und Normierung zuständig ist.
„Wir prüfen auch in unseren Lieferketten, ob Bauteile und Softwarekomponenten der Zulieferbetriebe den rechtlichen Vorgaben entsprechen“, ergänzt der Experte. Für die CRA-konforme Meldung von Sicherheitsvorfällen aus den Fachbereichen wird ein neu zusammengestelltes Team verantwortlich sein.
CRA-Team plus Maßnahmenplan
Betroffen vom Cyber Resilience Act ist auch die BSH Hausgeräte GmbH in München. Denn Waschmaschinen oder Geschirrspüler zum Beispiel enthalten digitale Elemente und sind per Internet vernetzbar. „Wir haben schon 2025 ein CRA-Umsetzungsteam mit einem konkreten Maßnahmenplan etabliert“, berichtet Hans Peter Wiesemann, Leiter der BSH-Praxisgruppe Digitalrecht. Einen Teil der Vorschriften erfüllt das Unternehmen bereits im Rahmen von anderen Sicherheitsregulierungen. Wirklich neu seien im Wesentlichen nur die ab 11. September 2026 geltenden Meldepflichten. „Um deren Einhaltung sicherzustellen, greifen wir auf bewährte Prozesse aus anderen Rechtsbereichen zurück, etwa aus dem Datenschutzrecht“, so Wiesemann.
Als Vorreiter profitieren
Die Münchner tado GmbH, die vernetzte Geräte für die Heizungssteuerung und Lösungen für ein intelligentes Energiemanagement anbietet, sieht sich für die CRA-Anforderungen ebenfalls gerüstet und erwartet sogar einen positiven Effekt. „Der Cyber Resilience Act bestätigt unseren langjährigen Ansatz der integrierten Sicherheit von Anfang an und schafft endlich faire Wettbewerbsbedingungen, indem er europaweit verbindliche Sicherheitsstandards für alle Marktteilnehmer durchsetzt“, sagt Johannes Schwarz, tado-Mitgründer und CEO. Die Verordnung erfordere bei seinem Unternehmen keine grundlegende Umstellung der internen Prozesse. Wettbewerber aber müssten nun nachziehen und mindestens die vorgeschriebenen Basisstandards anwenden.