Was ist der Cyber Resilience Act und wer ist betroffen?

TL;DR

• Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist am 10.12.2024 in Kraft getreten und gilt gestaffelt.
• Ab 11.09.2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
• Ab 11.12.2027 gelten die Hauptpflichten: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation.
• Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen (Hardware und Software) auf dem EU-Markt.
• Sanktionen können bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes betragen.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Die Verordnung ist am 10.12.2024 in Kraft getreten. Anders als NIS2 oder DORA, die die Cybersicherheit von Organisationen und deren Betrieb regulieren, setzt der CRA an den Produkten selbst an: An Hardware und Software, die auf dem EU-Markt bereitgestellt wird.

Ziel der Verordnung ist es laut Europäischer Kommission, dass Produkte mit digitalen Elementen von der Planung über die Entwicklung bis zur Wartung grundlegende Cybersicherheitsanforderungen erfüllen und dass Hersteller Schwachstellen über den gesamten Lebenszyklus eines Produkts hinweg handhaben.

Der Fahrplan: Zwei entscheidende Stichtage

Der CRA gilt nicht auf einen Schlag, sondern in zwei Stufen.

Datum	Was gilt
10.12.2024	Verordnung (EU) 2024/2847 tritt in Kraft.
11.09.2026	Meldepflichten (Art. 14) beginnen: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen gemeldet werden.
11.12.2027	Hauptpflichten beginnen: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM.

Wer ist betroffen?

Der CRA betrifft „Produkte mit digitalen Elementen" (PDE), ein weit gefasster Begriff, der laut Europäischer Kommission verbindbare Hardware und Software umfasst, von IoT-Geräten wie Babyphones und Smartwatches bis zu Softwareanwendungen und Computerprogrammen. Die Hauptlast der Pflichten tragen Hersteller. Daneben sind auch Importeure und Händler in der Lieferkette eingebunden: Pflichten müssen laut Europäischer Kommission auf jeder Stufe der Wertschöpfungskette erfüllt werden.

Eine erste Einordnung nach Rolle, Produktklasse und möglichen Ausnahmen liefert der CRA-Check.

Produktklassen: Nicht jedes Produkt wird gleich geprüft

Der CRA unterscheidet Produktklassen mit unterschiedlicher Prüftiefe:

• Standard-Produkte: Selbstbewertung durch den Hersteller genügt.
• Wichtige Produkte (Klasse I und II, Anhang III): höhere Prüftiefe, teils mit externer Beteiligung.
• Kritische Produkte (Anhang IV): verpflichtende EU-Zertifizierung durch eine notifizierte Stelle.

Die genaue Zuordnung eines konkreten Produkts zu einer dieser Klassen ergibt sich aus den Anhängen der Verordnung (EU) 2024/2847 und sollte im Einzelfall geprüft werden.

Ausnahmen vom Geltungsbereich

Nicht jedes digitale Produkt fällt unter den CRA. Ausgenommen sind insbesondere Produkte, die bereits durch andere EU-Rechtsakte mit vergleichbaren Cybersicherheitsanforderungen abgedeckt sind, etwa Medizinprodukte (MDR), Kraftfahrzeuge oder Luftfahrtausrüstung. Nicht-kommerzielle Open-Source-Software ist weitgehend ausgenommen; Organisationen, die als „Open-Source-Software-Steward" auftreten, unterliegen leichteren Pflichten als kommerzielle Hersteller.

Meldepflichten im Detail

Ab dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale Meldeplattform (CRA Single Reporting Platform) an das CSIRT (Computer Security Incident Response Team) am Hauptsitz des Herstellers melden. Von dort wird die Meldung ohne Verzögerung an ENISA sowie an alle anderen CSIRTs weitergegeben, sofern keine besonderen Ausnahmen vorliegen.

Der Meldeablauf folgt drei Fristen:

1. Frühwarnung binnen 24 Stunden nach Kenntnisnahme.
2. Vollständige Meldung binnen 72 Stunden.
3. Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (bei Schwachstellen) beziehungsweise spätestens 1 Monat nach dem Vorfall.

Sanktionen

Verstöße gegen den CRA können nach Art. 64 der Verordnung (EU) 2024/2847 mit Bußgeldern von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für weniger schwere Verstöße sieht die Verordnung niedrigere Bußgeldrahmen vor.

Verhältnis zu NIS2 und DORA

CRA, NIS2 und DORA werden häufig verwechselt, regeln aber unterschiedliche Dinge: Der CRA reguliert die Sicherheit von Produkten beim Inverkehrbringen. NIS2 und DORA regulieren die Cybersicherheit von Organisationen und deren Betrieb. Ein Softwarehersteller kann beispielsweise gleichzeitig CRA-Pflichten für sein Produkt und NIS2-Pflichten für den eigenen IT-Betrieb haben. Eine ausführliche Abgrenzung liefert der Artikel zu CRA vs. NIS2 vs. DORA.

Was Unternehmen jetzt vorbereiten sollten

Bis zum 11.09.2026 verbleiben laut aktuellem Stand einige Monate. Üblicherweise wird empfohlen, in dieser Zeit einen Überblick über die eigenen Produkte mit digitalen Elementen zu erstellen, Meldewege für Schwachstellen und Sicherheitsvorfälle zu definieren und zu prüfen, welche Produktklasse voraussichtlich einschlägig ist. Details zur Vorbereitung liefert der Artikel zu den CRA-Übergangsfristen 2026-2027.

Häufige Fragen

Gilt der CRA auch für Software, die außerhalb der EU entwickelt wird?

Der CRA knüpft an die Bereitstellung auf dem EU-Markt an, nicht an den Entwicklungsort. Wird ein Produkt mit digitalen Elementen in der EU vertrieben, greifen die Pflichten unabhängig davon, wo es entwickelt wurde.

Muss ich als kleines Unternehmen den CRA schon jetzt umsetzen?

Die Meldepflichten gelten ab 11.09.2026, die Hauptpflichten ab 11.12.2027, unabhängig von der Unternehmensgröße. Eine pauschale Ausnahme für kleine Unternehmen ist im Fact-Sheet der Europäischen Kommission nicht dokumentiert; eine Einzelfallprüfung wird empfohlen.

Was passiert, wenn ich die Fristen verpasse?

Verstöße können mit Bußgeldern nach Art. 64 der Verordnung geahndet werden. Zusätzlich drohen laut allgemeiner Marktüberwachungslogik der EU Marktrücknahmen oder Vertriebsverbote für nicht-konforme Produkte.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: eur-lex.europa.eu/eli/reg/2024/2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)