Software und vernetzte Produkte sind heute fester Bestandteil nahezu aller Unternehmensprozesse. Gleichzeitig nehmen Cyberangriffe auf solche Produkte kontinuierlich zu. Mit dem Cyber Resilience Act hat die Europ\u00e4ische Union ein einheitliches Regelwerk geschaffen, das Cybersicherheitsanforderungen f\u00fcr Produkte mit digitalen Elementen sowie entsprechende Pflichten f\u00fcr Hersteller und weitere Wirtschaftsakteure festlegt. <\/p>\n\n\n\n
Die Anzahl und Komplexit\u00e4t von Cyberangriffen auf vernetzte Produkte und Software nimmt seit Jahren zu. Gleichzeitig unterscheiden sich die Sicherheitsniveaus von Produkten auf dem europ\u00e4ischen Markt teilweise erheblich. Sicherheitsfunktionen, Update-Mechanismen oder der Umgang mit Schwachstellen werden von Herstellern oft unterschiedlich umgesetzt, was die Bewertung der Cybersicherheit f\u00fcr Endkunden erschwert. <\/p>\n\n\n\n
Mit dem Cyber Resilience Act wird das Ziel verfolgt, einheitliche grundlegende Cybersicherheitsanforderungen f\u00fcr Produkte mit digitalen Elementen auf dem europ\u00e4ischen Markt zu schaffen. Hersteller sollen Cybersicherheitsanforderungen k\u00fcnftig bereits bei der Entwicklung ihrer Produkte ber\u00fccksichtigen (Security by Design) und Produkte mit sicheren Standardeinstellungen bereitstellen (Security by Default). Dar\u00fcber hinaus werden Unternehmen verpflichtet, Schwachstellen \u00fcber den gesamten Produktlebenszyklus zu \u00fcberwachen, zu bewerten und angemessen zu behandeln. Durch diese Vorgaben soll die Widerstandsf\u00e4higkeit digitaler Produkte gegen\u00fcber Cyberbedrohungen erh\u00f6ht und das Vertrauen von Unternehmen und Verbrauchern in digitale Technologien gest\u00e4rkt werden. <\/p>\n\n\n\n
Der Cyber Resilience Act gilt f\u00fcr Produkte mit digitalen Elementen<\/strong>, die im Rahmen einer gewerblichen T\u00e4tigkeit auf dem EU-Markt bereitgestellt werden und sich direkt oder indirekt mit einem anderen Ger\u00e4t oder Netzwerk verbinden k\u00f6nnen. <\/p>\n\n\n\n Als Produkte mit digitalen Elementen gelten Hardware- und Softwareprodukte einschlie\u00dflich ihrer Fernverarbeitungsl\u00f6sungen sowie Software- oder Hardwarekomponenten, die separat in Verkehr gebracht werden. Damit k\u00f6nnen beispielsweise Router, IoT-Ger\u00e4te, industrielle Steuerungen, mobile Apps, On-Premise-Software oder separat bereitgestellte Embedded Software erfasst sein, sofern sie die genannten Voraussetzungen erf\u00fcllen und keine Ausnahme greift. <\/p>\n\n\n\n Adressaten der Verordnung sind insbesondere Hersteller, Bevollm\u00e4chtigte, Importeure und H\u00e4ndler. Die umfassendsten Pflichten treffen grunds\u00e4tzlich die Hersteller. Sie sind insbesondere f\u00fcr die Cybersicherheit des Produkts, die Behandlung von Schwachstellen und die Durchf\u00fchrung der erforderlichen Konformit\u00e4tsbewertung verantwortlich. Importeure und H\u00e4ndler m\u00fcssen vor dem Inverkehrbringen beziehungsweise der Bereitstellung insbesondere pr\u00fcfen, ob zentrale Konformit\u00e4tsanforderungen erf\u00fcllt sind, und bei erkennbaren Abweichungen t\u00e4tig werden. Bevollm\u00e4chtigte \u00fcbernehmen die Aufgaben, die ihnen der Hersteller ausdr\u00fccklich in einem schriftlichen Mandat \u00fcbertr\u00e4gt. Als Hersteller gilt auch, wer ein Produkt entwickeln oder herstellen l\u00e4sst und es unter dem eigenen Namen oder der eigenen Marke vermarktet. <\/p>\n\n\n\n Reine Cloud-Dienste wie SaaS, PaaS oder IaaS fallen nicht automatisch unter den CRA. Eine cloudbasierte Funktion kann jedoch Teil eines betroffenen Produkts sein, wenn sie speziell vom Hersteller oder f\u00fcr ihn entwickelt wurde und das Produkt ohne diese Funktion nicht vollst\u00e4ndig funktionieren w\u00fcrde. <\/p>\n\n\n\n Ob ein konkretes Produkt erfasst ist, muss daher anhand seiner Eigenschaften, der vorgesehenen Verwendung, der Marktbereitstellung und m\u00f6glicher gesetzlicher Ausnahmen gepr\u00fcft werden. <\/p>\n\n\n\n Der Cyber Resilience Act wird schrittweise anwendbar. F\u00fcr Unternehmen sind beziehungsweise waren daher mehrere Stichtage relevant, wobei insbesondere die Meldepflichten bereits vor der vollst\u00e4ndigen Anwendung der Verordnung wirksam werden. <\/p>\n\n\n\n 10. Dezember 2024: Inkrafttreten des CRA<\/strong> <\/p>\n\n\n\n Der CRA ist am 10. Dezember 2024 in Kraft getreten. Das Inkrafttreten bedeutet jedoch noch nicht, dass s\u00e4mtliche Pflichten unmittelbar anzuwenden waren. Die Verordnung sieht hierf\u00fcr gestaffelte Anwendungszeitpunkte vor. <\/p>\n\n\n\n 11. Juni 2026: Regelungen f\u00fcr Konformit\u00e4tsbewertungsstellen<\/strong> <\/p>\n\n\n\n Seit dem 11. Juni 2026 gilt Kapitel IV des CRA. Es regelt insbesondere die Benennung, Notifizierung und \u00dcberwachung der Konformit\u00e4tsbewertungsstellen. F\u00fcr Hersteller war dieser Termin vor allem dann relevant, wenn das vorgesehene Konformit\u00e4tsbewertungsverfahren die Beteiligung einer notifizierten Stelle erforderte. <\/p>\n\n\n\n 11. September 2026: Beginn der Meldepflichten<\/strong> <\/p>\n\n\n\n Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 des CRA. Hersteller m\u00fcssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorf\u00e4lle, die sich auf die Sicherheit ihrer Produkte mit digitalen Elementen auswirken, nach den Vorgaben des CRA melden. Diese Pflichten gelten auch f\u00fcr Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, sofern sie in den Anwendungsbereich des CRA fallen. <\/p>\n\n\n\n 11. Dezember 2027: Vollst\u00e4ndige Anwendung des CRA<\/strong> <\/p>\n\n\n\n Ab dem 11. Dezember 2027 gilt der CRA grunds\u00e4tzlich vollst\u00e4ndig. Produkte mit digitalen Elementen, die ab diesem Zeitpunkt in der EU in Verkehr gebracht werden, m\u00fcssen die jeweils anwendbaren Anforderungen erf\u00fcllen. Dazu geh\u00f6ren unter anderem die grundlegenden Cybersicherheitsanforderungen, das Schwachstellenmanagement, die technische Dokumentation, das erforderliche Konformit\u00e4tsbewertungsverfahren, die EU-Konformit\u00e4tserkl\u00e4rung und die CE-Kennzeichnung. <\/p>\n\n\n\n Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den \u00fcbrigen CRA-Anforderungen grunds\u00e4tzlich nur dann, wenn sie ab diesem Datum wesentlich ver\u00e4ndert werden. Die bereits seit September 2026 geltenden Meldepflichten bleiben hiervon unber\u00fchrt. <\/p>\n\n\n\n Hinweis zur \u00dcbergangsregelung bis 2028<\/strong> <\/p>\n\n\n\n Bestimmte EU-Baumusterpr\u00fcfbescheinigungen und Zulassungsentscheidungen zu Cybersicherheitsanforderungen, die nach anderem EU-Harmonisierungsrecht erteilt wurden, bleiben grunds\u00e4tzlich bis zum 11. Juni 2028 g\u00fcltig, sofern sie nicht vorher auslaufen oder andere unionsrechtliche Regelungen eine abweichende G\u00fcltigkeit festlegen. Hierbei handelt es sich jedoch nicht um eine allgemeine Umsetzungsfrist f\u00fcr Unternehmen, sondern um eine spezielle \u00dcbergangsregelung f\u00fcr bestehende Bescheinigungen. <\/p>\n\n\n\n Ausgangspunkt der Aufgaben ist eine dokumentierte Cybersicherheitsrisikobewertung. Auf ihrer Grundlage m\u00fcssen Produkte so konzipiert, entwickelt und hergestellt werden, dass sie ein dem jeweiligen Risiko angemessenes Cybersicherheitsniveau gew\u00e4hrleisten. Dazu geh\u00f6ren unter anderem sichere Voreinstellungen, der Schutz vor unbefugtem Zugriff sowie der Schutz von Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit von Daten und Funktionen. <\/p>\n\n\n\n Hersteller m\u00fcssen au\u00dferdem ein systematisches Schwachstellenmanagement etablieren. Schwachstellen sind zu identifizieren, zu dokumentieren und w\u00e4hrend des festgelegten Supportzeitraums wirksam zu behandeln. Erforderliche Sicherheitsupdates m\u00fcssen kostenlos bereitgestellt und grunds\u00e4tzlich getrennt von Funktionsupdates angeboten werden. <\/p>\n\n\n\n Dar\u00fcber hinaus m\u00fcssen die im Produkt enthaltenen Softwarekomponenten und Abh\u00e4ngigkeiten durch eine Software Bill of Materials nachvollziehbar dokumentiert werden. <\/p>\n\n\n\n Erg\u00e4nzend sind Prozesse einzurichten, um aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorf\u00e4lle innerhalb der vorgegebenen Fristen zu bewerten und \u00fcber die zentrale CRA-Meldeplattform der ENISA (The European Union Agency for Cybersecurity) an die ENISA und das zust\u00e4ndige nationale CSIRT (Computer Security Incident Response Team) zu melden. <\/p>\n\n\n\n Nutzer m\u00fcssen verst\u00e4ndliche Sicherheitsinformationen erhalten, beispielsweise zur sicheren Installation und Verwendung des Produkts, zu Sicherheitsupdates, Kontaktm\u00f6glichkeiten f\u00fcr Schwachstellenmeldungen und zum Supportzeitraum. <\/p>\n\n\n\n Vor dem Inverkehrbringen muss der Hersteller die technische Dokumentation erstellen und das jeweils vorgeschriebene Konformit\u00e4tsbewertungsverfahren durchf\u00fchren. Anschlie\u00dfend sind die EU-Konformit\u00e4tserkl\u00e4rung auszustellen und die CE-Kennzeichnung anzubringen. Werden nachtr\u00e4glich Abweichungen oder erhebliche Cybersicherheitsrisiken festgestellt, sind geeignete Korrekturma\u00dfnahmen zu ergreifen. Je nach Situation kann dies auch die R\u00fccknahme oder den R\u00fcckruf eines Produkts erfordern. <\/p>\n\n\n\n F\u00fcr Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in der Europ\u00e4ischen Union in Verkehr gebracht wurden, enth\u00e4lt der Cyber Resilience Act eine \u00dcbergangsregelung. Sie unterliegen den Anforderungen des CRA grunds\u00e4tzlich nur dann, wenn sie ab diesem Datum wesentlich ver\u00e4ndert werden. <\/p>\n\n\n\n Davon zu unterscheiden sind Produkte mit digitalen Elementen, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. F\u00fcr sie gelten die jeweils anwendbaren Anforderungen des CRA vollst\u00e4ndig. Entscheidend ist damit nicht allein, wann ein Produktmodell entwickelt oder erstmals angeboten wurde, sondern wann die betreffende Produkteinheit in der EU erstmals auf dem Markt bereitgestellt wird. Unternehmen sollten deshalb ihre Produkt- und Vertriebssituation genau pr\u00fcfen und nicht pauschal davon ausgehen, dass ein \u00e4lteres Produktmodell von den neuen Anforderungen ausgenommen ist. <\/p>\n\n\n\n Eine wichtige Ausnahme<\/strong> von der \u00dcbergangsregelung betrifft die Meldepflichten nach Artikel 14 des CRA. Diese gelten bereits seit dem 11. September 2026 auch f\u00fcr Produkte im Anwendungsbereich des CRA, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Hersteller ben\u00f6tigen daher auch f\u00fcr bestehende Produkte geeignete Prozesse, um aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorf\u00e4lle zu erkennen, zu bewerten und fristgerecht zu melden. <\/p>\n\n\n\n F\u00fcr k\u00fcnftige Produktgenerationen gewinnt zudem die langfristige Planung von Produktpflege und Support an Bedeutung. Hersteller m\u00fcssen f\u00fcr Produkte, die den vollst\u00e4ndigen CRA-Anforderungen unterliegen, einen angemessenen Supportzeitraum festlegen, Schwachstellen w\u00e4hrend dieses Zeitraums wirksam behandeln und erforderliche Sicherheitsupdates bereitstellen. Produktentwicklung, Produktmanagement, Support und Schwachstellenmanagement sollten deshalb fr\u00fchzeitig aufeinander abgestimmt werden. <\/p>\n\n\n\n Verst\u00f6\u00dfe gegen den Cyber Resilience Act k\u00f6nnen sowohl finanzielle als auch unmittelbare Auswirkungen auf die Vermarktung eines Produkts haben. Die zust\u00e4ndigen Markt\u00fcberwachungsbeh\u00f6rden k\u00f6nnen Wirtschaftsakteure zun\u00e4chst auffordern, festgestellte Abweichungen zu beseitigen und geeignete Korrekturma\u00dfnahmen zu ergreifen. Wird die Konformit\u00e4t nicht hergestellt, kann die Bereitstellung des betroffenen Produkts auf dem Markt eingeschr\u00e4nkt oder untersagt werden. Zudem k\u00f6nnen Produkte vom Markt genommen oder zur\u00fcckgerufen werden. Dies kann auch bei fortbestehenden formalen M\u00e4ngeln relevant werden, etwa bei einer fehlenden CE-Kennzeichnung, einer nicht ordnungsgem\u00e4\u00dfen EU-Konformit\u00e4tserkl\u00e4rung oder einer unvollst\u00e4ndigen technischen Dokumentation. <\/p>\n\n\n\n Zus\u00e4tzlich sieht der CRA erhebliche Geldbu\u00dfen vor. Verst\u00f6\u00dfe gegen die grundlegenden Cybersicherheitsanforderungen sowie gegen zentrale Hersteller- und Meldepflichten k\u00f6nnen mit Geldbu\u00dfen von bis zu 15 Millionen Euro<\/strong> oder, bei Unternehmen, von bis zu 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Gesch\u00e4ftsjahres<\/strong> geahndet werden, je nachdem, welcher Betrag h\u00f6her ist. F\u00fcr Verst\u00f6\u00dfe gegen weitere Pflichten, beispielsweise zur Konformit\u00e4tsbewertung oder zu den Pflichten von Importeuren und H\u00e4ndlern, gelten abgestufte niedrigere H\u00f6chstgrenzen. Bei der Festlegung der konkreten Sanktion sind unter anderem Art, Schwere und Dauer des Versto\u00dfes sowie die Gr\u00f6\u00dfe des betroffenen Unternehmens zu ber\u00fccksichtigen. <\/p>\n\n\n\n Die m\u00f6glichen Folgen beschr\u00e4nken sich damit nicht auf Bu\u00dfgelder. Insbesondere Vertriebsbeschr\u00e4nkungen, R\u00fccknahmen und R\u00fcckrufe k\u00f6nnen f\u00fcr Unternehmen erhebliche wirtschaftliche und operative Auswirkungen haben. <\/p>\n\n\n\n Mit der vollst\u00e4ndigen Anwendung des CRA wird Cybersicherheit zunehmend zu einem festen Bestandteil von Produktqualit\u00e4t und Marktzugang. Hersteller m\u00fcssen Sicherheitsanforderungen k\u00fcnftig \u00fcber den gesamten Produktlebenszyklus ber\u00fccksichtigen, von der Entwicklung \u00fcber die Bereitstellung bis zur Pflege und Aktualisierung des Produkts. <\/p>\n\n\n\n Dadurch d\u00fcrften auch nachvollziehbare Sicherheitsnachweise, verl\u00e4ssliche Supportzeitr\u00e4ume und ein geregelter Umgang mit Schwachstellen in Lieferanten- und Kundenbeziehungen an Bedeutung gewinnen. Harmonisierte europ\u00e4ische Normen sollen die gesetzlichen Vorgaben weiter konkretisieren und Unternehmen bei der Konformit\u00e4tsbewertung unterst\u00fctzen. <\/p>\n\n\n\n Eine fr\u00fchzeitige Umsetzung kann w\u00e4hrend der \u00dcbergangsphase das Vertrauen von Kunden und Gesch\u00e4ftspartnern st\u00e4rken. Langfristig d\u00fcrfte die CRA-Konformit\u00e4t jedoch weniger ein freiwilliges Qualit\u00e4tsmerkmal als vielmehr eine grundlegende Voraussetzung f\u00fcr den Zugang zum europ\u00e4ischen Markt darstellen. <\/p>\n\n\n\n Der Cyber Resilience Act schafft erstmals einen einheitlichen europ\u00e4ischen Rechtsrahmen f\u00fcr die Cybersicherheit von Produkten mit digitalen Elementen. Er verpflichtet betroffene Hersteller, Cybersicherheit bereits bei der Entwicklung zu ber\u00fccksichtigen und Schwachstellen \u00fcber den gesamten Produktlebenszyklus hinweg angemessen zu behandeln. <\/p>\n\n\n\n Nicht jedes Unternehmen und nicht jedes digitale Angebot f\u00e4llt automatisch in den Anwendungsbereich. Unternehmen sollten daher zun\u00e4chst sorgf\u00e4ltig pr\u00fcfen, welche Produkte betroffen sind und welche Rolle sie als Hersteller, Importeur oder H\u00e4ndler einnehmen. Besondere Aufmerksamkeit erfordern die Meldepflichten seit dem 11. September 2026 und die vollst\u00e4ndige Anwendung des CRA ab dem 11. Dezember 2027. <\/p>\n\n\n\n Wer sich fr\u00fchzeitig mit den Anforderungen auseinandersetzt, kann notwendige Anpassungen strukturiert in Produktentwicklung, Schwachstellenmanagement, Support und Compliance integrieren. Der CRA wird Cybersicherheit damit langfristig zu einem festen Bestandteil von Produktqualit\u00e4t und Marktzugang in der Europ\u00e4ischen Union machen. <\/p>\n","protected":false},"excerpt":{"rendered":" Software und vernetzte Produkte sind heute fester Bestandteil nahezu aller Unternehmensprozesse. Gleichzeitig nehmen Cyberangriffe auf solche Produkte kontinuierlich zu. Mit dem Cyber Resilience Act hat die Europ\u00e4ische Union ein einheitliches Regelwerk geschaffen, das Cybersicherheitsanforderungen f\u00fcr Produkte mit digitalen Elementen sowie entsprechende Pflichten f\u00fcr Hersteller und weitere Wirtschaftsakteure festlegt. Warum der Cyber Resilience Act wichtig ist […]<\/p>\n","protected":false},"author":44,"featured_media":33726,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[489],"tags":[],"custom_format":[],"class_list":["post-33720","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-news-de"],"acf":[],"contentshake_article_id":"","yoast_head":"\nDie wichtigsten Fristen des CRA <\/h2>\n\n\n\n
Welche Anforderungen m\u00fcssen Hersteller umsetzen? <\/h2>\n\n\n\n
Was bedeutet der CRA f\u00fcr bestehende Produkte? <\/h2>\n\n\n\n
Welche Folgen drohen bei Verst\u00f6\u00dfen? <\/h2>\n\n\n\n
Zukunftsausblick: CRA als neuer Marktstandard <\/h2>\n\n\n\n
Fazit <\/h2>\n\n\n\n