Was ist der Cyber Resilience Act und wer ist betroffen?

TL;DR

• Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist am 10.12.2024 in Kraft getreten und gilt gestaffelt.
• Seit 11.09.2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, seit 11.06.2026 bereits die Vorschriften zu den Konformitätsbewertungsstellen.
• Ab 11.12.2027 gelten die Hauptpflichten: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation.
• Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen (Hardware und Software) auf dem EU-Markt.
• Sanktionen können bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes betragen.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Die Verordnung ist am 10.12.2024 in Kraft getreten. Anders als NIS2 oder DORA, die die Cybersicherheit von Organisationen und deren Betrieb regulieren, setzt der CRA an den Produkten selbst an: An Hardware und Software, die auf dem EU-Markt bereitgestellt wird.

Ziel der Verordnung ist es laut Europäischer Kommission, dass Produkte mit digitalen Elementen von der Planung über die Entwicklung bis zur Wartung grundlegende Cybersicherheitsanforderungen erfüllen und dass Hersteller Schwachstellen über den gesamten Lebenszyklus eines Produkts hinweg handhaben.

Der Fahrplan: drei Stichtage

Der CRA gilt nicht auf einen Schlag, sondern gestaffelt (Art. 71 Abs. 2).

Datum	Was gilt
10.12.2024	Verordnung (EU) 2024/2847 tritt in Kraft.
11.06.2026	Kapitel IV (Art. 35–51) gilt: Vorschriften zur Notifizierung von Konformitätsbewertungsstellen.
11.09.2026	Meldepflichten (Art. 14) beginnen: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen gemeldet werden.
11.12.2027	Hauptpflichten beginnen: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM.

Wer ist betroffen?

Der CRA betrifft „Produkte mit digitalen Elementen" (PDE), ein weit gefasster Begriff, der laut Europäischer Kommission verbindbare Hardware und Software umfasst, von IoT-Geräten wie Babyphones und Smartwatches bis zu Softwareanwendungen und Computerprogrammen. Die Hauptlast der Pflichten tragen Hersteller. Daneben sind auch Importeure und Händler in der Lieferkette eingebunden: Pflichten müssen laut Europäischer Kommission auf jeder Stufe der Wertschöpfungskette erfüllt werden.

Eine erste Einordnung nach Rolle, Produktklasse und möglichen Ausnahmen liefert der CRA-Check.

Produktklassen: Nicht jedes Produkt wird gleich geprüft

Der CRA unterscheidet Produktklassen mit unterschiedlicher Prüftiefe:

• Standard-Produkte: Selbstbewertung durch den Hersteller genügt.
• Wichtige Produkte (Klasse I und II, Anhang III): höhere Prüftiefe, teils mit externer Beteiligung.
• Kritische Produkte (Anhang IV): europäisches Cybersicherheitszertifikat, soweit ein delegierter Rechtsakt das vorschreibt, sonst Drittprüfung wie bei Klasse II (Art. 8, Art. 32 Abs. 4).

Die genaue Zuordnung eines konkreten Produkts zu einer dieser Klassen ergibt sich aus den Anhängen der Verordnung (EU) 2024/2847 und sollte im Einzelfall geprüft werden.

Ausnahmen vom Geltungsbereich

Nicht jedes digitale Produkt fällt unter den CRA. Ausgenommen sind insbesondere Produkte, die bereits durch andere EU-Rechtsakte mit vergleichbaren Cybersicherheitsanforderungen abgedeckt sind, etwa Medizinprodukte (MDR), Kraftfahrzeuge oder Luftfahrtausrüstung. Nicht-kommerzielle Open-Source-Software ist weitgehend ausgenommen; Organisationen, die als „Open-Source-Software-Steward" auftreten, unterliegen leichteren Pflichten als kommerzielle Hersteller.

Meldepflichten im Detail

Seit dem 11.09.2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform (Art. 16) an das als Koordinator benannte CSIRT (Computer Security Incident Response Team) des Mitgliedstaats melden, in dem der Hersteller seine Hauptniederlassung in der Union hat (Art. 14 Abs. 7). Die Meldung geht über die Plattform gleichzeitig an das zuständige CSIRT und an ENISA; das CSIRT leitet sie an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wird, und kann die Weitergabe aus Sicherheitsgründen aufschieben (Art. 14, Art. 16).

Der Meldeablauf folgt drei Fristen:

1. Frühwarnung unverzüglich, spätestens binnen 24 Stunden nach Kenntnisnahme.
2. Meldung mit allgemeinen Informationen binnen 72 Stunden (u. a. Art der Ausnutzung bzw. des Vorfalls und ergriffene Korrektur- oder Risikominderungsmaßnahmen).
3. Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme (bei Schwachstellen) beziehungsweise bei schwerwiegenden Vorfällen innerhalb eines Monats nach Übermittlung der Vorfallmeldung (Art. 14 Abs. 2 lit. c bzw. Abs. 4 lit. c).

Sanktionen

Verstöße gegen die grundlegenden Cybersicherheitsanforderungen (Anhang I) und gegen die Pflichten nach Art. 13 und 14 können nach Art. 64 Abs. 2 der Verordnung (EU) 2024/2847 mit Bußgeldern von bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Für andere Pflichtverstöße gelten bis zu 10 Mio. € oder 2 %, für falsche oder unvollständige Angaben gegenüber Behörden und notifizierten Stellen bis zu 5 Mio. € oder 1 % (Art. 64 Abs. 3 und 4). Die Mitgliedstaaten legen die Sanktionsvorschriften im Einzelnen fest (Art. 64 Abs. 1).

Verhältnis zu NIS2 und DORA

CRA, NIS2 und DORA werden häufig verwechselt, regeln aber unterschiedliche Dinge: Der CRA reguliert die Sicherheit von Produkten beim Inverkehrbringen. NIS2 und DORA regulieren die Cybersicherheit von Organisationen und deren Betrieb. Ein Softwarehersteller kann beispielsweise gleichzeitig CRA-Pflichten für sein Produkt und NIS2-Pflichten für den eigenen IT-Betrieb haben. Eine ausführliche Abgrenzung liefert der Artikel zu CRA vs. NIS2 vs. DORA.

Was Unternehmen jetzt vorbereiten sollten

Die Meldepflichten gelten seit dem 11.09.2026, die übrigen Pflichten ab dem 11.12.2027. Üblicherweise wird empfohlen, bis dahin einen Überblick über die eigenen Produkte mit digitalen Elementen zu erstellen, Meldewege für Schwachstellen und Sicherheitsvorfälle zu definieren und zu prüfen, welche Produktklasse voraussichtlich einschlägig ist. Details zur Vorbereitung liefert der Artikel zu den CRA-Übergangsfristen 2026-2027.

Häufige Fragen

Gilt der CRA auch für Software, die außerhalb der EU entwickelt wird?

Der CRA knüpft an die Bereitstellung auf dem EU-Markt an, nicht an den Entwicklungsort. Wird ein Produkt mit digitalen Elementen in der EU vertrieben, greifen die Pflichten unabhängig davon, wo es entwickelt wurde.

Muss ich als kleines Unternehmen den CRA schon jetzt umsetzen?

Die Meldepflichten gelten ab 11.09.2026, die Hauptpflichten ab 11.12.2027, unabhängig von der Unternehmensgröße. Eine pauschale Ausnahme für kleine Unternehmen gibt es nicht. Nach Art. 64 Abs. 10 lit. a werden Hersteller, die als Kleinst- oder Kleinunternehmen gelten, jedoch nicht mit Geldbußen belegt, wenn sie die 24-Stunden-Frist für die Frühwarnung (Art. 14 Abs. 2 lit. a, Abs. 4 lit. a) versäumen.

Was passiert, wenn ich die Fristen verpasse?

Verstöße können mit Bußgeldern nach Art. 64 der Verordnung geahndet werden. Zusätzlich können Marktüberwachungsbehörden die Bereitstellung nicht-konformer Produkte untersagen oder einschränken, sie vom Markt nehmen oder zurückrufen lassen (etwa Art. 54 Abs. 5).

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: eur-lex.europa.eu/eli/reg/2024/2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)