Mit dem Cyber Resilience Act (CRA) hat die EU zum ersten Mal verbindliche Anforderungen an die Cybersicherheit für Produkte mit digitalen Elementen geschaffen. Bereits ab dem 11. September 2026 greifen erste Meldeverpflichtungen, ab dem 11. Dezember 2027 dürfen nur noch CRA-konform ausgelegte Produkte in der EU angeboten werden. Wer als Mittelständler Hardware, Software oder vernetzte Geräte auf den Markt führt, sollte frühzeitig aktiv werden – die Übergangsphase ist kürzer, als sie wirkt.

Stellen Sie sich vor, ein Produzent liefert eine netzwerkfähige Maschinensteuerung an einen Industriebetrieb – und drei Jahre später wird eine Sicherheitslücke in einer verwendeten Open-Source-Bibliothek bekannt. Heute ist die Frage, wer wann Sicherheitsupdates bereitstellt, oft eine Sache des guten Willens. Ab Ende 2027 ist es eine Frage des geltenden Rechts. Der Cyber Resilience Act verpflichtet Hersteller, Importeure wie auch Händler dazu, IT-Sicherheit über den gesamten Produktlebenszyklus systematisch sicherzustellen.

Die EU antwortet damit auf eine immer kritischere Bedrohungslage: Allein 2024 wurden europaweit über 100 neue Schwachstellen pro Tag gemeldet, etliche davon in netzwerkfähigen Produkten (iem.fraunhofer.de). Die EU-Kommission geht davon aus, dass rund 25.000 Hersteller in der Europäischen Union vom CRA betroffen sind – und ein großer Anteil davon kommt aus dem mittelständischen Unternehmenssektor.

Worum es beim Cyber Resilience Act geht

Der Cyber Resilience Act (CRA) – mit der offiziellen Bezeichnung „Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ – ist die erste EU-weite Verordnung, die ein verbindliches Mindestmaß an Cybersicherheit für vernetzte Produkte festlegt. Publiziert wurde der Rechtsakt am 20. November 2024 im Amtsblatt der EU, wirksam geworden ist er am 10. Dezember 2024 (bsi.bund.de).

Anders als die NIS-2-Richtlinie, die auf die organisatorische IT-Sicherheit von Firmen abzielt, behandelt der CRA die Sicherheit der Produkte selbst. Er ist zudem eine EU-Verordnung und gilt damit direkt in allen EU-Mitgliedstaaten – ohne dass es einer nationalen Umsetzung wie beim deutschen NIS-2-Umsetzungsgesetz bedarf. Erfasst sind alle Produkte, deren vorgesehene Nutzung eine unmittelbare oder mittelbare Datenverbindung mit einem Gerät oder Netz umfasst: vom IoT-Sensor über die Steuerung für Smart Homes bis zur Industriemaschine, vom Operating System über die Mobilanwendung bis zur kommerziellen Open-Source-Bibliothek.

Betroffene Unternehmen und Produkte im Überblick

Eine wichtige Botschaft vorweg: Der CRA macht keinerlei Unterschied zwischen Großunternehmen und mittelständischen Unternehmen. Die Anforderungen knüpfen an das Produkt an, keinesfalls an die Firmengröße (bitmi.de). Wer in der EU vernetzte Produkte herstellt, importiert oder unter eigener Marke vertreibt, fällt grundsätzlich unter die Verordnung.

Insbesondere betroffen sind:

  • Hersteller digital vernetzter Hardware: Maschinen- und Anlagenbauer, IoT-Produzenten, Hersteller von Smart-Home- und Industriegeräten, Steuerungssystemen, Embedded Systems.
  • Softwarehersteller: kommerzielle Software, mobile Anwendungen, Betriebssysteme, Sicherheitssoftware und kommerziell angebotene Open-Source-Softwarelösungen.
  • Importeure und Händler: Wer Produkte aus Nicht-EU-Staaten unter eigener Bezeichnung oder eigener Marke vertreibt (klassisches White-Labelling) oder ein Produkt so modifiziert, dass sich das Risikoniveau ändert, gilt nach Artikel 21 ebenso als Hersteller.

Ausgenommen sind Produkte, die bereits durch andere EU-Vorschriften reguliert werden – beispielsweise Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Auch nichtkommerzielle Open-Source-Software ohne Erwerbsabsicht bleibt außen vor. Wer nicht sicher ist, ob das eigene Produkt unter den CRA fällt, sollte zunächst eine strukturierte Portfolioanalyse vornehmen.

Welche Pflichten kommen konkret auf Hersteller zu?

Der CRA verlangt von Produzenten nicht einzelne Maßnahmen, sondern einen lückenlosen Cybersicherheitsprozess vom ersten Entwurf bis zum Ende des Supports. Die zentralen Anforderungen lassen sich in fünf Bereiche gliedern:

  • Secure by Design und Secure by Default: IT-Sicherheit muss bereits in der Entwurfsphase berücksichtigt werden. Sichere Standardeinstellungen, kein standardmäßig gesetztes „admin/admin“, verschlüsselte Datenverarbeitung und eine möglichst kleine Angriffsoberfläche sind verbindlich.
  • Risikobewertung und Technikdokumentation: Für jedes Produkt ist eine Risikoanalyse zu erstellen und eine umfassende technische Unterlagensammlung nach Anhang II zu erstellen – Produktbeschreibung, Sicherheitskonzept, Testberichte, Konformitätserklärung. Diese ist zehn Jahre zu archivieren.
  • Software Bill of Materials (SBOM): Hersteller müssen eine maschinell lesbare Aufstellung aller eingesetzten Softwarekomponenten erstellen. Akzeptierte Formate sind nach BSI-Richtlinie TR-03183 in der Praxis CycloneDX oder SPDX. Die SBOM muss nicht öffentlich zugänglich sein, aber jederzeit auf Anfrage der Marktüberwachungsbehörde vorliegen.
  • Schwachstellenmanagement und Meldeverpflichtungen: Werden Schwachstellen tatsächlich ausgenutzt, müssen Hersteller das zuständige nationale Computer Security Incident Response Team (in Deutschland das BSI) und die EU-Cybersicherheitsagentur ENISA innerhalb von 24 Stunden mit einer Erstmeldung informieren, innerhalb von 72 Stunden detailliert berichten und nach 14 Tagen einen Abschlussbericht vorlegen.
  • Sicherheitsaktualisierungen über den vollständigen Unterstützungszeitraum: Meist sind das zumindest fünf Jahre nach Markteinführung. In dieser Zeit müssen Sicherheitsaktualisierungen kostenfrei zur Verfügung gestellt werden – auch dann, wenn das Produkt selbst bereits nicht mehr verkauft wird.

Ergänzend erforderlich ist die CE-Kennzeichnung als offizielles Compliance-Zeichen. Je nach Risikoklasse des Produkts variieren die Konformitätsbewertungsverfahren. Für Standardprodukte (Schätzungen zufolge rund 90 Prozent aller betroffenen Produkte) genügt die Selbstbewertung nach Modul A. Relevante Produkte der Klasse II – beispielsweise Betriebssysteme, Hypervisoren, Firewalls oder Router – sowie kritische Produkte wie Hardware-Sicherheitsmodule oder Smart Meter erfordern die Bewertung durch eine benannte Prüfstelle.

CRA-Fristen 2026 und 2027 – was wann gilt

Wir beobachten in der Unternehmenspraxis, dass viele mittelständische Unternehmen das Datum „Dezember 2027“ hören und annehmen, sie hätten noch ausreichend Zeit. Diese Sicht greift zu kurz. Der CRA entfaltet seine Wirkung schon wesentlich früher, und die Sanktionen sind beträchtlich.

Die zentralen Stichtage:

  • 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle gelten. Diese Pflicht trifft auch vorhandene Produkte, die schon vor diesem Datum am Markt waren.
  • 11. Dezember 2026: Bis zu diesem Zeitpunkt müssen die Mitgliedstaaten eine hinreichende Anzahl notifizierter Stellen für Konformitätsbewertungsverfahren sicherstellen.
  • 11. Dezember 2027: Vollständige Geltung des CRA. Ab diesem Tag dürfen nur noch CRA-konform ausgelegte Produkte mit CE-Kennzeichen neu in Verkehr gebracht werden.

Bei Zuwiderhandlungen drohen erhebliche Bußgelder, welche nach BSI bei bis zu 15 Millionen Euro bzw. 2,5 Prozent des globalen Jahresumsatzes liegen können – je nachdem, welcher Wert höher ist (audit-professionals.de). Bei Zuwiderhandlungen gegen Meldepflichten oder Verfahrensanforderungen sind es bis zu 10 Millionen Euro bzw. 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich drohen Beschränkungen des Marktzugangs und im Extremfall ein angeordneter Produktrückruf. Wer nicht konform ist, wird im Ergebnis nicht nur bestraft, sondern vom Markt ausgeschlossen.

Praktische Sofortmaßnahmen für betroffene Unternehmen

Eine umfassende CRA-Umsetzung dauert nach Erfahrungen aus der Praxis 14 bis 20 Monate (https://www.bos-kg.de/cyber-resilience-act/). Wer 2026 beginnt, kommt fristgerecht zum Abschluss – wer auf 2027 wartet, hat ein Problem. Aus unserer Erfahrung als IT-Dienstleister empfehlen wir die folgenden Maßnahmen als Einstieg:

  • Produktportfolio inventarisieren: Welche unternehmenseigenen Produkte enthalten digitale Komponenten? Welche werden im EU-Markt vertrieben? Welche fallen unter Anhang III oder IV der CRA-Verordnung? Diese Inventarisierung ist die Basis aller weiteren Maßnahmen.
  • Gap-Analyse durchführen: Wo stehen die unternehmensinternen Prozesse heute, gemessen an den CRA-Anforderungen? Häufig sind ISO-27001-zertifizierte Organisationen bereits zu 60 bis 70 Prozent der Governance-Vorgaben entsprechend aufgestellt, die produktspezifischen Anforderungen kommen aber zusätzlich hinzu.
  • SBOM-Prozess aufbauen: Tools wie Syft oder Trivy lassen sich innerhalb weniger Tage in eine bestehende CI/CD-Pipeline einbinden und liefern eine erste maschinenlesbare Komponentenübersicht – häufig mit unerwarteten Erkenntnissen über nicht mehr aktuelle Open-Source-Komponenten.
  • PSIRT aufbauen: Ein Product Security Incident Response Team muss mindestens ab September 2026 einsatzbereit sein. Dazu gehören eindeutige Eskalationsprozesse zwischen Entwicklung, Geschäftsleitung und Rechtsabteilung sowie technische Schnittstellen zum BSI und zur ENISA.
  • Synergien zu NIS-2 und ISO 27001 nutzen: Wer bereits Schwachstellenmanagement, Risikoanalysen und Update-Prozesse betreibt, kann viele vorhandene Strukturen erweitern, statt von Grund auf neu einzuführen.

Zudem lohnt es sich, Lieferanten und Open-Source-Bibliotheken systematisch zu prüfen. Komponenten, die seit Jahren nicht mehr gepflegt werden, gehören aus dem Produkt – oder müssen eigenständig mit Sicherheitsupdates versorgt werden. Allerspätestens 2027 ist die Zeit der „das nutzen wir schon immer so“-Komponenten vorbei.

CRA als regulatorische Chance verstehen

Der Cyber Resilience Act ist kein optionales Beiwerk und keine Übung für Großunternehmen. Er ist die umfangreichste Veränderung der europäischen Produktregulierung der letzten zehn Jahre und betrifft mittelständische Hersteller, Importeure und Händler von Hardware, Software und vernetzten Geräten unmittelbar. Wer die Vorgaben rechtzeitig umsetzt, vermeidet nicht nur erhebliche Geldbußen und Einschränkungen beim Marktzugang, sondern positioniert sich als zuverlässiger Partner in zunehmend sicherheitskritischen Lieferketten. IT-Sicherheit „Made in EU“ wird in den nächsten Jahren zu einem echten Verkaufsargument – wenn man sich frühzeitig auf den Weg macht.

Bis 2027 erscheint weit entfernt. Mit Bestandsaufnahme des Produktportfolios, SBOM-Aufbau und PSIRT-Strukturen sind es in der Praxis eher 18 als 36 Monate Arbeit. Wer heute beginnt, hat 2027 ein Produktangebot, das den Zugang zum Markt sichert – und einen Vorsprung, den Wettbewerber nicht mehr einholen können.

Sie wollen wissen, ob Ihre Produkte unter den Cyber Resilience Act fallen und wie Sie eine SBOM, das Management von Sicherheitslücken oder Ihre Technikdokumentation aufsetzen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister unterstützen wir Sie von der ersten Lückenanalyse bis zum CE-Kennzeichen.