CRA - Cyber Resilience Act

EU-Verordnung für Cybersicherheit von Produkten mit digitalen Elementen

Was bedeutet CRA?

Der CRA ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Hersteller von Produkten mit digitalen Elementen festlegt – Voraussetzung für die CE-Kennzeichnung.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist das erste EU-Gesetz, das für nahezu jedes Produkt mit digitalen Elementen einheitliche Cybersicherheitsregeln vorschreibt – quer über alle Branchen hinweg. „Produkt mit digitalen Elementen" meint dabei ganz praktisch: alles, was Software enthält oder sich mit einem anderen Gerät bzw. Netz verbinden kann, egal ob reine Software oder Hardware. Der CRA trat im Dezember 2024 in Kraft; die zentralen Herstellerpflichten greifen ab dem 11. Dezember 2027, die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen schon ab dem 11. September 2026. Weil der CRA eine Verordnung ist und keine Richtlinie wie NIS-2, gilt er in jedem EU-Land direkt – niemand muss ihn erst in nationales Recht gießen.

Die Grundidee: Nicht mehr der Kunde soll sich um die Absicherung kümmern, sondern der Hersteller trägt die Verantwortung. Ein Produkt muss von Anfang an sicher gebaut sein, über seinen Supportzeitraum Sicherheitsupdates bekommen und dokumentiert nachweisen, dass es die Anforderungen erfüllt. Wer das nicht belegen kann, bekommt kein CE-Zeichen mehr – und darf sein Produkt damit in der EU nicht mehr verkaufen.

Wer ist vom CRA betroffen?

In der Pflicht stehen Hersteller, Importeure und Händler, die ein Produkt mit digitalen Elementen in der EU verkaufen.

Die Faustregel ist einfach: Sobald ein Produkt Software enthält oder sich mit etwas anderem vernetzen kann, ist es mit hoher Wahrscheinlichkeit dabei. Das reicht vom Betriebssystem über Apps, Router, Firewalls und Smart-Home-Geräte bis zu IoT-Sensoren und Industriesteuerungen (SPS/PLC) – und schließt auch reine Software wie Programmbibliotheken oder klassische Desktop-Anwendungen ein. Außen vor bleiben nur Bereiche, für die es bereits eigene Cybersicherheitsregeln gibt – etwa Medizinprodukte, Fahrzeuge oder Luftfahrt – sowie Open-Source-Software, die ohne kommerzielles Interesse bereitgestellt wird.

Für den Mittelstand entscheidend: Es spielt keine Rolle, ob Sie ein Massenprodukt oder nur ein einziges vernetztes Gerät auf den Markt bringen – die Herstellerpflichten gelten in beiden Fällen.

Die Produktklassen: Standard, wichtig, kritisch

Wie aufwendig der Nachweis wird, hängt davon ab, wie kritisch das Produkt ist. Der CRA kennt dafür drei Stufen:

Standardprodukte – die große Mehrheit. Hier darf der Hersteller die Konformität selbst bescheinigen, ohne externe Stelle.
Wichtige Produkte, aufgeteilt in Klasse I (z. B. Passwortmanager, VPN, Antivirus, Netzwerkverwaltung) und Klasse II (z. B. Firewalls, Angriffserkennungssysteme, industrielle Betriebssysteme). Bei Klasse I genügt weiterhin die Selbstbewertung, sofern das Produkt die passenden harmonisierten Normen vollständig erfüllt – andernfalls muss eine unabhängige Prüfstelle ran. Bei Klasse II ist eine externe Prüfstelle grundsätzlich Pflicht.
Kritische Produkte (z. B. Hardware-Sicherheitsmodule, Smartcards) – hier kann sogar eine europäische Cybersicherheitszertifizierung verlangt werden. Weil jede Stufe einen anderen Aufwand bedeutet, ist die Einstufung der erste und folgenreichste Schritt jeder CRA-Bewertung.

Die wesentlichen Herstellerpflichten

Die Pflichten begleiten das Produkt über sein ganzes Leben. Schon bei der Auslieferung darf es keine bekannten, ausnutzbaren Lücken enthalten und muss ab Werk sicher voreingestellt sein („secure by default") – also nicht mit Standardpasswort oder offenen Diensten. Danach muss der Hersteller Schwachstellen laufend beobachten und beheben, eine SBOM (also eine Stückliste aller verbauten Software-Bestandteile) pflegen, eine offene Anlaufstelle zum Melden von Sicherheitslücken bereitstellen und über den gesamten Supportzeitraum kostenlose Sicherheitsupdates liefern. Dieser Zeitraum liegt bei mindestens fünf Jahren – kürzer nur, wenn das Produkt erkennbar kürzer genutzt wird. Bevor das Produkt überhaupt verkauft werden darf, gehört zur Pflicht außerdem: die Cyber-Risiken bewerten, die technische Dokumentation zusammenstellen, die EU-Konformitätserklärung unterschreiben und das CE-Zeichen anbringen.

Meldepflichten: 24 / 72 Stunden an ENISA und CSIRT

Ähnlich wie NIS-2 arbeitet der CRA mit einem gestuften Meldesystem (Artikel 14) – nur bezieht es sich auf das Produkt, nicht auf den Betrieb. Sobald ein Hersteller merkt, dass eine Lücke in seinem Produkt aktiv angegriffen wird oder ein schwerwiegender Vorfall die Sicherheit beeinträchtigt, läuft die Uhr: binnen 24 Stunden eine erste Warnung, binnen 72 Stunden eine ausführlichere Meldung und – bei Schwachstellen – binnen 14 Tagen, nachdem ein Fix oder eine Gegenmaßnahme bereitsteht, ein Abschlussbericht. Gemeldet wird über eine gemeinsame europäische Plattform an das zuständige CSIRT und an die EU-Cybersicherheitsagentur ENISA.

Wichtig: Diese Meldepflicht gilt schon ab dem 11. September 2026 – über ein Jahr vor den restlichen CRA-Pflichten.

CRA und CE-Kennzeichnung: Kein Marktzugang ohne Konformität

Das bekannte CE-Zeichen bekommt durch den CRA eine neue Bedeutung: Es steht künftig auch für Cybersicherheit. Ab dem 11. Dezember 2027 darf ein Produkt mit digitalen Elementen nur noch dann in der EU verkauft werden, wenn es die Sicherheitsanforderungen des CRA erfüllt und der Hersteller das über das für seine Produktklasse passende Verfahren nachweist.

Ein praktischer Abkürzungsweg: Wer anerkannte harmonisierte Normen anwendet – etwa IEC 62443 im industriellen Bereich – gilt automatisch als konform, ohne alles einzeln belegen zu müssen. Wer die Anforderungen verletzt, riskiert empfindliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

CRA vs. NIS-2: Produkt statt Betreiber

CRA und NIS-2 werden oft verwechselt, adressieren aber unterschiedliche Ebenen. NIS-2 (eine Richtlinie) verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen, ihre eigene Organisation und IT abzusichern. Der CRA (eine Verordnung) verpflichtet Hersteller, sichere Produkte in Verkehr zu bringen. Ein Maschinenbauer kann also gleichzeitig NIS-2-pflichtig sein (als Betreiber) und CRA-pflichtig (als Hersteller seiner vernetzten Produkte). Beide verlangen Schwachstellenmanagement und Meldepflichten, aber der CRA setzt am Produkt an und wirkt EU-weit unmittelbar, ohne nationales Umsetzungsgesetz.

Praxis-Tool

Prüfe in ~15 Minuten, ob dein Produkt unter den CRA fällt, und erhalte einen priorisierten Aktionsplan

Zum CRA-Klartext →

Auch bekannt als

Cyber Resilience Act · EU Cyber Resilience Act · Verordnung (EU) 2024/2847 · CRA-Verordnung

Teil des Themenbereichs: Compliance & Regulierung

Quellen

Zuletzt aktualisiert: 2026-07-20

Häufige Fragen zu CRA

Ab wann gilt der CRA?

Der CRA trat im Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, die vollständigen Herstellerpflichten inklusive CE-Kennzeichnung ab dem 11. Dezember 2027. Bis dahin sollten Hersteller ihre Produkte und Prozesse anpassen.

Ist mein Produkt überhaupt vom CRA betroffen?

Faustregel: Enthält Ihr Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden, und verkaufen Sie es in der EU, dann fällt es sehr wahrscheinlich darunter – ob reine Software, IoT-Gerät oder Industriesteuerung. Ausgenommen sind nur Bereiche mit eigenen Regeln (z. B. Medizin, Fahrzeuge) und Open-Source-Software ohne kommerzielles Interesse.

Was ist der Unterschied zwischen CRA und NIS-2?

Der CRA regelt die Cybersicherheit von Produkten und richtet sich an Hersteller. NIS-2 regelt die Cybersicherheit von Organisationen und richtet sich an Betreiber wesentlicher/wichtiger Einrichtungen. Der CRA ist eine unmittelbar geltende Verordnung, NIS-2 eine Richtlinie, die nationale Umsetzungsgesetze erfordert.

Brauche ich für die CRA-Konformität eine externe Prüfstelle?

Das hängt von der Produktklasse ab. Standardprodukte und wichtige Produkte der Klasse I können per Selbstbewertung konform werden (Klasse I nur bei vollständiger Anwendung harmonisierter Normen). Für Klasse-II-Produkte ist eine benannte Stelle erforderlich, für kritische Produkte ggf. eine europäische Cybersicherheitszertifizierung.

Wie lange muss ich Sicherheitsupdates bereitstellen?

In der Regel mindestens fünf Jahre. Kürzer darf der Zeitraum nur sein, wenn das Produkt erkennbar für eine kürzere Nutzung gedacht ist. In dieser Zeit müssen Sicherheitsupdates kostenlos und ohne unnötige Verzögerung bereitstehen.

Was passiert bei Verstößen gegen den CRA?

Wer die Sicherheitsanforderungen verletzt, muss mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes rechnen (je nachdem, was höher ist). Hinzu kommt das größere Risiko: Ohne Konformität gibt es kein CE-Zeichen – und damit kann die Marktaufsicht das Produkt vom EU-Markt nehmen.