Cyber Resilience Act (CRA): Cybersicherheit von digitalen Produkten und Software

Aktueller Stand: 14.09.2026

In Arbeit ohne festen Termin:

Als deutsche Umsetzung mittels des "Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung)" liegt seit dem 01.05.2026 ein Regierungsentwurf vor, der u. a. von der IHK-Organisation kommentiert wurde. Weitere Informationen finden Sie hier: Rechtliche Grundlagen des Cyber Resilience

Feststehende Termine:

• Seit 11.06.2026: Konformitätsbewertungsstellen (KBS) können einen Antrag auf Notifizierung stellen. KBS sind unabhängige, staatlich benannte Prüfstellen, die eine zentrale Rolle bei der Umsetzung des Cyber Resilience Act spielen. Sie unterstützen dabei zu prüfen, ob ein Produkt die gesetzlichen Cybersicherheitsanforderungen erfüllt.

• Seit 11.09.2026: Meldepflicht für Schwachstellen und Sicherheitsvorfälle.
  Dazu betreibt die EU Agency for Cybersecurity (ENISA) mit der CRA Single Reporting Platform (SRP) die zentrale einheitliche Meldeplattform.

• 11.12.2027: Alle CRA-Anforderungen sind bei neuen Produkten eingehalten.

Wer unterstützt beim CRA?

• Das Bundesamt für Sicherheit in der Informationstechnik hat umfangreiche Richtlinien, Empfehlungen und Leitfäden veröffentlicht.
• Die European Union Agency for Cybersecurity (ENISA ) stellt im Umfeld der CRA Single Reporting Platform (SRP) diverse Unterlagen bereit.
• EASY.CRA unterstützt kleine und mittlere Unternehmen dabei, die Anforderungen des Cyber Resilience Act (CRA) verständlich und praxisnah umzusetzen. EASY.CRA wird von der Technischen Hochschule Regensburg (OTH) und dem ibi research an der Universität Regensburg GmbH angeboten und ist mit Mitteln des Bundesministeriums für Wirtschaft und Energie finanziert.
• OT-CRAft unterstützt KMU und Start-ups kostenfrei bei der Stärkung ihrer OT-Sicherheit und der Vorbereitung auf den Cyber Resilience Act mit praxisnahen Werkzeugen, Schulungen und Materialien.
• CRA-COMPASS (TU München/Fraunhofer AISEC) entwickelt bis Ende 2027 ein kostenloses KI-gestütztes Tool zur Umsetzung des Cyber Resilience Act (CRA). Gesucht werden betroffene Unternehmen für ein ca. 90-minütiges Interview. Kontakt: Robin Singh, TU München

Rechtliche Grundlagen des Cyber Resilience Act (CRA)

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für digitale Produkte europaweit harmonisiert. Er ist Teil der europäischen Cybersicherheitsstrategie und ergänzt bestehende Rechtsrahmen. Hier finden Sie den kompletten Verordnungstext "(EU) 2024/2847" vom 23.10.2024.

1. EU-Verordnung mit unmittelbarer Wirkung:

• Der CRA ist eine EU-Verordnung (keine Richtlinie)
• Gilt nach Inkrafttreten unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzung
• Ziel: einheitliche Anforderungen im EU-Binnenmarkt und Vermeidung von Fragmentierung

2. Einordnung in den EU-Rechtsrahmen:

Der CRA steht im Kontext mehrerer bestehender Regelwerke:

• NIS-2-Richtlinie: Fokus auf Sicherheit von Betreibern kritischer Dienste und Unternehmen
• Produktsicherheitsrecht (z. B. CE-Kennzeichnung): CRA erweitert dieses um Cybersicherheitsanforderungen
• EU Cybersecurity Act: Schafft Zertifizierungsrahmen – ergänzt den CRA, ersetzt ihn aber nicht
• Datenschutzrecht (DSGVO): CRA adressiert primär Produktsicherheit, nicht Datenschutz – beide können parallel relevant sein

3. Geltungsbereich:

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU bereitgestellt werdensowie Hersteller, Importeure und Händler (mit abgestuften Pflichten). Ausnahmen bestehen u. a. für Produkte mit sektoraler Spezialregulierung (z. B. Medizinprodukte, Luftfahrt).

4. Deutsche Umsetzung:

Die nationale Umsetzung umfasst organisatorische und rechtliche Ergänzungen auf nationaler Ebene, damit die Verordnung praktisch angewendet und durchgesetzt werden kann. Es geht also nicht um neue inhaltliche Regeln, sondern um die Rahmenbedingungen für die Anwendung.

Mit dem Gesetzesentwurf zur Durchführung der Verordnung (EU) 2024/2847(Cyberresilienz-Verordnung) soll dies für Deutschland geregelt werden. U.a. ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Marktüberwachungs- und als notifizierende Behörde tätig. Die IHK für München hat zur DIHK-Stellungnahme zugearbeitet.

Anbieter- / Herstellerunternehmen: Bin ich betroffen?

Als Anbieter bzw. Hersteller sind Sie vom Cyber Resilience Act betroffen, wenn Sie digitale Produkte in der EU in Verkehr bringen. Dazu zählen insbesondere:

• Hardware mit digitalen Komponenten (z. B. IoT-Geräte, Maschinen mit vernetzter Steuerung)
• Softwareprodukte (inkl. Embedded Software, Apps, Betriebssysteme)
• Fernzugangslösungen, Cloud- oder Plattformkomponenten, sofern sie Teil eines Produkts sind

Auch Importeure und Händler sind betroffen, allerdings treffen Hersteller die umfangreichsten Pflichten. Ausgenommen sind nur wenige Produktkategorien (z. B. bereits streng regulierte Bereiche wie Medizinprodukte mit eigenen Regelwerken).

Was gilt für alte bzw. neue Produkte?

Entscheidenden ist, wann einzelne Produkte auf den EU‑Markt gebracht werden („placing on the market“). Daraus ergeben sich die Regeln:

• Stichtag 11. Dezember 2027:
  Ab diesem Datum müssen alle Produkte mit digitalen Elementen vollständig CRA‑konform sein. Unabhängig davon, wie alt das Produkt(design) ist.
• Produkte vor 11. Dezember 2027 in Verkehr gebracht:
  Keine nachträgliche Pflicht zur vollständigen CRA-Compliance. Allerdings besteht ab dem 11. September 2026 die Meldepflicht.

Quelle: Artikel 69: "Übergangsbestimmungen" der CRA-Verordnung

Anbieter- / Herstellerunternehmen: Was muss ich tun? Wer hilft?

Für Anbieter bzw. Hersteller bedeutet der CRA einen deutlichen Ausbau der Verantwortung im Bereich IT-Sicherheit. Entscheidend ist, frühzeitig:

• interne Prozesse anzupassen,
• Zuständigkeiten (z. B. Security, Compliance) klar zu definieren,
• und Cybersicherheit systematisch in Produktentwicklung und Betrieb zu verankern.

Unternehmen, die diese Anforderungen proaktiv umsetzen, profitieren nicht nur regulatorisch, sondern stärken auch Vertrauen, Wettbewerbsfähigkeit und Produktqualität.

Der CRA verlangt einen ganzheitlichen Sicherheitsansatz über den gesamten Produktlebenszyklus:

1. Sicherheit von Anfang an („Security by Design & by Default“)

• Integration von Cybersicherheit bereits in der Entwicklung
• Minimierung von Angriffsflächen und sichere Voreinstellungen
• Dokumentierte Risikoanalysen

2. Konformitätsbewertung und CE-Kennzeichnung

• Nachweis, dass das Produkt die CRA-Anforderungen erfüllt
• Durchführung interner Prüfungen bzw. Einbindung externer Stellen (je nach Produktkritikalität)
• Erstellung einer technischen Dokumentation

3. Schwachstellen- und Update-Management

• Etablierung eines Prozesses zur Erkennung und Behebung von Sicherheitslücken
• Bereitstellung von Sicherheitsupdates über einen definierten Zeitraum
• Möglichkeit zur sicheren Installation von Updates für Kunden
• Der CRA schreibt eine Software Bill of Materials (SBOM) nicht ausdrücklich vor. Inhaltlich verlangt er jedoch Transparenz über eingesetzte Softwarekomponenten. Eine SBOM – als strukturierte Liste aller enthaltenen Softwarebestandteile – ist ein geeignetes Instrument, um Risiken zu bewerten und Schwachstellen zu identifizieren.
  Das BSI hat dazu eine Technical Guideline BSI TR-03183: Cyber Resilience Requirements for Manufacturers and Products - Part 2: Software Bill of Materials (SBOM) veröffentlicht.

4. Meldepflichten

• Aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle müssen an Behörden gemeldet werden (Fristen beachten)
• Ein theoretisches Sicherheitsproblem, das noch niemand ausnutzt, muss nicht gemeldet werden – sollte aber natürlich trotzdem schnell gefixt werden.
• Es gibt Fristen für die Frühwarnung (innerhalb von 24 Stunden), eigentliche Meldung (innerhalb von 72 Stunden) und den Abschlussbericht (bei Schwachstellen spätestens 14 Tage, nachdem ein Fix verfügbar ist; bei Vorfällen einen Monat nach der 72-Stunden-Meldung). Siehe hierzu das ENISA-Factsheet zur einheitlichen Meldeplattform gemäß Cyberresilienz-Verordnung
  Transparente Kommunikation gegenüber Nutzern

5. Informations- und Dokumentationspflichten

• Bereitstellung verständlicher Informationen zur sicheren Nutzung
• Beschreibung des Unterstützungszeitraums („Support Lifetime“)

Das BSI und die EU haben detaillierte Hilfestellungen dazu veröffentlicht.

Meldepflicht: Registrierung und Nutzung der CRA Single Reporting Platform

Die ENISA betreibt seit dem 11.09.2026 die CRA Single Reporting Platform (SRP) als zentrale einheitliche Meldeplattform. Vom CRA betroffene Unternehmen müssen sich dort registrieren, um ggf. Meldepflichten nachkommen zu können. Die rechtliche Grundlage bildet Artikel 14 "Meldepflichten der Hersteller".

Schritt 1: Registrierung: als "Assigned Representative (AR)"

• Der "AR" ist die Person, die im Auftrag eines Herstellers Meldungen über aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen nach Art. 14 CRA einreicht.
• Bei der Registrierung ist auszuwählen, welches Land zuständig ist. Ggf. ist Artikel 14, Absatz 7 CRA für Details heranzuziehen. Eingereichte Meldungen werden an die jeweiligen Länder bzw. die zuständigen nationalen Behörden weitergeleitet – in Deutschland an das BSI.
• Nutzung eines EU Login mit Zwei-Faktor-Authentifizierung, der ggf. neu angelegt wird: Hierzu werden ein Mobilfunkgerät, eine (ggf. eigens für diesen Zweck angelegte) E-Mailadresse und ein Passwortmanager zur sicheren Speicherung der Zugangsdaten benötigt.

Schritt 2: Nutzung des Meldeportals:

Mit dem "EU Login" kann man sich in die "CRA Single Reporting Platform (SRP)" einloggen und ggf. einen Fragebogen zur Schwachstellen oder einem vorfall ausfüllen.

Best-Practice-Beispiele zum CRA

Einige Unternehmen wie Siemens oder Infineon informieren bereits transparent und öffentlich über ihre Ansätze zur Umsetzung des Cyber Resilience Act und zeigen, wie Cybersicherheit systematisch in Entwicklung und Produkte integriert werden kann.

Oberbayerische Unternehmen, die sich ebenfalls vorbildlich mit dem CRA auseinandersetzen oder entsprechende Aktivitäten sichtbar machen möchten, können sich gerne an uns wenden , um ihre Beispiele zu teilen und als Best Practice sichtbar zu werden.

In der Ausgabe 9/2026 des IHK-Magazins berichten Unternehmen von ihren CRA Erfahrungen und Einschätzungen.

Anwenderunternehmen: Bin ich betroffen?

Der CRA stärkt die IT-Sicherheit von Produkten, entbindet Anwender jedoch nicht von ihrer Verantwortung. Auch wenn sich die rechtlichen Pflichten primär an Hersteller richten, sind Unternehmen als Anwender indirekt betroffen, da sie den sicheren Einsatz der Produkte gewährleisten müssen.

Was bedeutet das konkret für Anwender?

Auswahl sicherer Produkte

• Achten Sie beim Einkauf auf CRA-konforme Produkte (z. B. CE-Kennzeichnung, Sicherheitsinformationen)
• Berücksichtigen Sie Sicherheitsanforderungen bereits im Beschaffungsprozess
• Fordern Sie transparente Angaben zur Update- und Supportdauer

2. Updates und Patchmanagement

• Installieren Sie Sicherheitsupdates zeitnah
• Etablieren Sie Prozesse für ein strukturiertes Patchmanagement
• Überwachen Sie End-of-Life-Zeiträume, um unsichere Produkte rechtzeitig abzulösen

3. Sicherer Betrieb

• Nutzen Sie sichere Konfigurationen („Hardening“) statt unsicherer Werkseinstellungen
• Einschränkung von Zugriffsrechten und Einsatz geeigneter Authentifizierung
• Integration in bestehende IT-Sicherheitskonzepte (z. B. Netzsegmentierung)

4. Umgang mit Sicherheitsmeldungen

• Beobachten Sie aktiv Sicherheitswarnungen der Hersteller
• Reagieren Sie zeitnah auf bekannt gewordene Schwachstellen. Die von der ENISA aufgebaute European Vulnerability Database sammelt diese.
• Dokumentieren Sie Maßnahmen im Rahmen Ihres Risikomanagements

5. Zusammenarbeit mit Herstellern und Dienstleistern

• Klären Sie Zuständigkeiten für Updates und Betrieb (z. B. bei ausgelagerten IT-Services)
• Nutzen Sie Support- und Meldewege der Hersteller bei Sicherheitsvorfällen