Welche Pflichten hat ein Hersteller unter dem Cyber Resilience Act?

TL;DR

• Ab 11.12.2027 gelten die Hauptpflichten des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen.
• Pflichtenkatalog: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM, Schwachstellen-Management über den gesamten Support-Zeitraum.
• Die Prüftiefe der Konformitätsbewertung hängt von der Produktklasse ab: Standard, wichtig (Klasse I/II) oder kritisch.
• Meldepflichten bei Schwachstellen und Sicherheitsvorfällen (Art. 14 CRA) greifen bereits ab 11.09.2026, unabhängig vom Inverkehrbringungsdatum.
• Verstöße gegen die grundlegenden Anforderungen aus Anhang I sowie gegen Art. 13 und 14 CRA können mit Geldbußen bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden (Art. 64 Abs. 2 CRA); für andere Pflichten gelten niedrigere Obergrenzen.

Wer gilt als Hersteller unter dem Cyber Resilience Act?

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist seit dem 10.12.2024 in Kraft. Er richtet sich an Produkte mit digitalen Elementen, also Hardware und Software, die auf dem EU-Markt in Verkehr gebracht werden. Die Hauptlast der Pflichten trägt der Hersteller. Importeure und Händler tragen abgestufte, geringere Pflichten entlang der Wertschöpfungskette. Hersteller ist, wer Produkte mit digitalen Elementen entwickelt oder herstellt oder entwerfen, entwickeln oder herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet, ob entgeltlich, zur Monetarisierung oder unentgeltlich (Art. 3 Nr. 13 CRA).

Welche grundlegenden Cybersicherheits-Anforderungen gelten ab 11.12.2027?

Ab dem 11.12.2027 müssen Produkte mit digitalen Elementen grundlegende Cybersicherheits-Anforderungen erfüllen, bevor sie in Verkehr gebracht werden dürfen. Dazu zählen nach den verfügbaren Quellen unter anderem die Auslegung, Entwicklung und Herstellung des Produkts nach dem Stand der Technik in Bezug auf Cybersicherheit sowie ein durchgängiges Schwachstellen-Management über den festgelegten Support-Zeitraum. Konkrete Detailanforderungen aus Anhang I und Anhang II sind nicht Gegenstand dieses Artikels und sollten im Einzelfall gegen den Verordnungstext geprüft werden.

Wie läuft die Konformitätsbewertung ab und welche Produktklassen gibt es?

Der Cyber Resilience Act unterscheidet Produktklassen mit unterschiedlicher Prüftiefe. Die Einordnung entscheidet darüber, welches Konformitätsbewertungsverfahren anzuwenden ist:

Produktklasse	Prüfweg
Standard	Selbstbewertung durch den Hersteller
Wichtig, Klasse I/II	Klasse I (Anhang III): Selbstbewertung nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines europäischen Cybersicherheitszertifizierungssystems (mindestens Vertrauenswürdigkeitsstufe „mittel“), sonst Modul B+C oder H mit notifizierter Stelle; Klasse II: Modul B+C, Modul H oder, soweit verfügbar, ein europäisches Cybersicherheitszertifizierungssystem (Art. 32 Abs. 2, 3)
Kritisch	Europäisches Cybersicherheitszertifikat, soweit per delegiertem Rechtsakt vorgeschrieben, sonst Verfahren wie Klasse II (Art. 8, Art. 32 Abs. 4)

Welche konkreten Produkttypen den jeweiligen Klassen zuzuordnen sind, ist im Einzelfall gegen Anhang III und Anhang IV der Verordnung zu prüfen. Belastbare, vollständige Beispiellisten liegen dieser Redaktion nicht vor und werden hier bewusst nicht erfunden.

Was gehört in die technische Dokumentation?

Hersteller müssen für jedes Produkt mit digitalen Elementen eine technische Dokumentation erstellen, die die Konformität mit den grundlegenden Cybersicherheits-Anforderungen nachweist. Sie ist vor dem Inverkehrbringen zu erstellen (Art. 13 Abs. 12 CRA) und zusammen mit der EU-Konformitätserklärung mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Support-Zeitraums, je nachdem, welcher Zeitraum länger ist, für die Marktüberwachungsbehörden bereitzuhalten (Art. 13 Abs. 13 CRA).

Warum ist eine SBOM Pflicht und was leistet sie?

Ein zentrales Element der Hauptpflichten ist die Software Bill of Materials, kurz SBOM. Sie listet die Softwarekomponenten eines Produkts auf und schafft damit Transparenz darüber, welche Bestandteile, einschließlich Drittanbieter- und Open-Source-Komponenten, verbaut sind. Diese Transparenz ist Voraussetzung für ein wirksames Schwachstellen-Management: Nur wer weiß, welche Komponenten in einem Produkt stecken, kann bei Bekanntwerden einer neuen Schwachstelle in einer dieser Komponenten zügig prüfen, ob eigene Produkte betroffen sind.

Welche Pflichten bestehen beim Schwachstellen-Management und bei Sicherheitsupdates?

Hersteller müssen über den festgelegten Support-Zeitraum des Produkts Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Dazu gehört nach den vorliegenden Quellen ein Prozess, der aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erfasst und meldet. Die Meldekette nach Art. 14 CRA sieht folgende Fristen vor:

1. Frühwarnung binnen 24 Stunden nach Kenntnisnahme.
2. Vollständige Meldung binnen 72 Stunden.
3. Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Schwachstelle), beziehungsweise innerhalb eines Monats nach Übermittlung der Vorfallmeldung (schwerwiegender Vorfall), Art. 14 Abs. 2 lit. c, Abs. 4 lit. c.

Die Meldung erfolgt über die CRA Single Reporting Platform gleichzeitig an das als Koordinator benannte CSIRT und an ENISA (Art. 14 Abs. 1, 3). Diese Meldepflicht gilt seit dem 11.09.2026, also unabhängig vom späteren Geltungsbeginn der übrigen Hauptpflichten, und gilt auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3 CRA).

Was bedeutet die CE-Kennzeichnung unter dem CRA?

Nach erfolgreicher Konformitätsbewertung bringt der Hersteller die CE-Kennzeichnung am Produkt an. Sie dokumentiert, dass das Produkt die grundlegenden Cybersicherheits-Anforderungen der Verordnung erfüllt, und ist ab dem 11.12.2027 Voraussetzung für das Inverkehrbringen auf dem EU-Markt.

Welche Sanktionen drohen bei Verstößen?

Art. 64 CRA staffelt die Geldbußen: Verstöße gegen die grundlegenden Cybersicherheitsanforderungen aus Anhang I und gegen die Pflichten aus Art. 13 und 14 bis 15 Mio. Euro oder bis 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Abs. 2). Verstöße unter anderem gegen Art. 18 bis 23, Art. 28 sowie Teile von Art. 30 bis 32 bis 10 Mio. Euro oder 2 % (Abs. 3), falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden bis 5 Mio. Euro oder 1 % (Abs. 4). Eine erste strukturierte Einschätzung der eigenen Betroffenheit lässt sich über den CRA-Check vornehmen.

Gilt der CRA auch für Produkte, die schon im Markt sind?

Die Meldepflichten nach Art. 14 CRA gelten ab dem 11.09.2026 auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden. Die Hauptpflichten, etwa zur Konformitätsbewertung, greifen ab dem 11.12.2027.

Sind alle Hersteller gleich stark betroffen?

Nein. Die Prüftiefe richtet sich nach der Produktklasse, Standard, wichtig (Klasse I/II) oder kritisch. Welcher Klasse ein konkretes Produkt zuzuordnen ist, sollte im Einzelfall gegen Anhang III und Anhang IV der Verordnung geprüft werden.

Was unterscheidet den CRA von NIS2?

Der Cyber Resilience Act adressiert die Produktsicherheit beim Inverkehrbringen. NIS2 und DORA betreffen dagegen die Betreiber- und Organisationssicherheit. Einen Überblick über das gesamte Regelwerk bietet der Beitrag Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)