Welche Pflichten hat ein Hersteller unter dem Cyber Resilience Act?

TL;DR

• Ab 11.12.2027 gelten die Hauptpflichten des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen.
• Pflichtenkatalog: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM, Schwachstellen-Management über den gesamten Support-Zeitraum.
• Die Prüftiefe der Konformitätsbewertung hängt von der Produktklasse ab: Standard, wichtig (Klasse I/II) oder kritisch.
• Meldepflichten bei Schwachstellen und Sicherheitsvorfällen (Art. 14 CRA) greifen bereits ab 11.09.2026, unabhängig vom Inverkehrbringungsdatum.
• Verstöße können mit Sanktionen bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Art. 64 CRA).

Wer gilt als Hersteller unter dem Cyber Resilience Act?

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist seit dem 10.12.2024 in Kraft. Er richtet sich an Produkte mit digitalen Elementen, also Hardware und Software, die auf dem EU-Markt in Verkehr gebracht werden. Die Hauptlast der Pflichten trägt der Hersteller. Importeure und Händler tragen abgestufte, geringere Pflichten entlang der Wertschöpfungskette. Wer als Wirtschaftsakteur ein Produkt unter eigenem Namen oder eigener Marke entwickelt, herstellen lässt oder auf den Markt bringt, gilt in der Regel als Hersteller im Sinne der Verordnung.

Welche grundlegenden Cybersicherheits-Anforderungen gelten ab 11.12.2027?

Ab dem 11.12.2027 müssen Produkte mit digitalen Elementen grundlegende Cybersicherheits-Anforderungen erfüllen, bevor sie in Verkehr gebracht werden dürfen. Dazu zählen nach den verfügbaren Quellen unter anderem die Auslegung, Entwicklung und Herstellung des Produkts nach dem Stand der Technik in Bezug auf Cybersicherheit sowie ein durchgängiges Schwachstellen-Management über den festgelegten Support-Zeitraum. Konkrete Detailanforderungen aus Anhang I und Anhang II sind nicht Gegenstand dieses Artikels und sollten im Einzelfall gegen den Verordnungstext geprüft werden.

Wie läuft die Konformitätsbewertung ab und welche Produktklassen gibt es?

Der Cyber Resilience Act unterscheidet Produktklassen mit unterschiedlicher Prüftiefe. Die Einordnung entscheidet darüber, welches Konformitätsbewertungsverfahren anzuwenden ist:

Produktklasse	Prüfweg
Standard	Selbstbewertung durch den Hersteller
Wichtig, Klasse I/II	Höhere Prüftiefe nach Anhang III
Kritisch	EU-Zertifizierung durch eine notifizierte Stelle nach Anhang IV

Welche konkreten Produkttypen den jeweiligen Klassen zuzuordnen sind, ist im Einzelfall gegen Anhang III und Anhang IV der Verordnung zu prüfen. Belastbare, vollständige Beispiellisten liegen dieser Redaktion nicht vor und werden hier bewusst nicht erfunden.

Was gehört in die technische Dokumentation?

Hersteller müssen für jedes Produkt mit digitalen Elementen eine technische Dokumentation erstellen, die die Konformität mit den grundlegenden Cybersicherheits-Anforderungen nachweist. Sie ist Grundlage der Konformitätsbewertung und muss über den gesamten relevanten Zeitraum vorgehalten werden, damit sie Marktüberwachungsbehörden auf Anfrage vorgelegt werden kann.

Warum ist eine SBOM Pflicht und was leistet sie?

Ein zentrales Element der Hauptpflichten ist die Software Bill of Materials, kurz SBOM. Sie listet die Softwarekomponenten eines Produkts auf und schafft damit Transparenz darüber, welche Bestandteile, einschließlich Drittanbieter- und Open-Source-Komponenten, verbaut sind. Diese Transparenz ist Voraussetzung für ein wirksames Schwachstellen-Management: Nur wer weiß, welche Komponenten in einem Produkt stecken, kann bei Bekanntwerden einer neuen Schwachstelle in einer dieser Komponenten zügig prüfen, ob eigene Produkte betroffen sind.

Welche Pflichten bestehen beim Schwachstellen-Management und bei Sicherheitsupdates?

Hersteller müssen über den festgelegten Support-Zeitraum des Produkts Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Dazu gehört nach den vorliegenden Quellen ein Prozess, der aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erfasst und meldet. Die Meldekette nach Art. 14 CRA sieht folgende Fristen vor:

1. Frühwarnung binnen 24 Stunden nach Kenntnisnahme.
2. Vollständige Meldung binnen 72 Stunden.
3. Abschlussbericht spätestens 14 Tage nach Umsetzung der Korrekturmaßnahme bei einer Schwachstelle beziehungsweise spätestens 1 Monat nach einem Sicherheitsvorfall.

Die Meldung erfolgt über die CRA Single Reporting Platform an das CSIRT am Herstellersitz, das die Information an ENISA und andere CSIRTs weiterleitet. Diese Meldepflicht ist bereits ab dem 11.09.2026 aktiv, also unabhängig vom späteren Geltungsbeginn der übrigen Hauptpflichten, und gilt auch rückwirkend für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden.

Was bedeutet die CE-Kennzeichnung unter dem CRA?

Nach erfolgreicher Konformitätsbewertung bringt der Hersteller die CE-Kennzeichnung am Produkt an. Sie dokumentiert, dass das Produkt die grundlegenden Cybersicherheits-Anforderungen der Verordnung erfüllt, und ist ab dem 11.12.2027 Voraussetzung für das Inverkehrbringen auf dem EU-Markt.

Welche Sanktionen drohen bei Verstößen?

Verstöße gegen die Pflichten des Cyber Resilience Act können nach Art. 64 CRA mit Geldbußen bis 15 Mio. Euro oder bis 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Eine erste strukturierte Einschätzung der eigenen Betroffenheit lässt sich über den CRA-Check vornehmen.

Gilt der CRA auch für Produkte, die schon im Markt sind?

Die Meldepflichten nach Art. 14 CRA gelten ab dem 11.09.2026 auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden. Die Hauptpflichten, etwa zur Konformitätsbewertung, greifen ab dem 11.12.2027.

Sind alle Hersteller gleich stark betroffen?

Nein. Die Prüftiefe richtet sich nach der Produktklasse, Standard, wichtig (Klasse I/II) oder kritisch. Welcher Klasse ein konkretes Produkt zuzuordnen ist, sollte im Einzelfall gegen Anhang III und Anhang IV der Verordnung geprüft werden.

Was unterscheidet den CRA von NIS2?

Der Cyber Resilience Act adressiert die Produktsicherheit beim Inverkehrbringen. NIS2 und DORA betreffen dagegen die Betreiber- und Organisationssicherheit. Einen Überblick über das gesamte Regelwerk bietet der Beitrag Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)