Cyber Resilience Act
Der CRA macht Cybersicherheit zur Produkteigenschaft. Für Software und vernetzte Geräte tritt damit neben die Mängelhaftung eine Sicherheitspflicht über den gesamten Unterstützungszeitraum.
Bisher war Cybersicherheit im Produktrecht kaum geregelt. Der Cyber Resilience Act ändert das. Sicherheit wird zu einer Eigenschaft, die ein Produkt vor dem Marktzugang haben und über seinen Unterstützungszeitraum behalten muss.
Der Zeitplan
12/2024
Inkrafttreten
Die Verordnung tritt in Kraft, die Pflichten greifen gestaffelt.
09/2026
Meldepflichten
Frühwarnung innerhalb von 24 Stunden, weitere Angaben innerhalb von 72 Stunden.
12/2027
Volle Geltung
Grundlegende Sicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenbehandlung über den Lebenszyklus.
Die Pflichten nach Rolle
Sicherheit bereits im Entwurf, Konformitätsbewertung vor dem Inverkehrbringen, technische Dokumentation, Bereitstellung von Sicherheitsaktualisierungen über den festgelegten Unterstützungszeitraum und die Meldung ausgenutzter Schwachstellen.
Nur Produkte in Verkehr bringen, die den Anforderungen entsprechen. Prüfen, ob Konformitätsbewertung, Kennzeichnung und Unterlagen vorliegen, bei Zweifeln nicht liefern.
Mit gebotener Sorgfalt handeln, Kennzeichnung und Unterlagen prüfen und tätig werden, sobald Anhaltspunkte für eine Nichtkonformität bestehen.
Wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt oder wesentlich verändert, übernimmt die Herstellerpflichten vollständig. Dieser Rollenwechsel trifft Integratoren und Weiterverkäufer häufiger, als ihnen bewusst ist.
Was jetzt vorbereitet gehört
- Produktinventar: Was von dem, was wir ausliefern, fällt unter die Verordnung?
- Rollenbestimmung je Produkt, einschließlich der Fälle, in denen wir zum Hersteller werden
- Unterstützungszeitraum festlegen und gegenüber Kunden benennen
- Verzeichnis der eingesetzten Komponenten, damit Schwachstellen zuordenbar bleiben
- Meldeprozess für 24 und 72 Stunden, mit benannten Zuständigen und Vertretung
- Verträge mit Zulieferern: Wer meldet uns wann eine Schwachstelle?
- Abgleich mit den Pflichten aus NIS2, wo beides greift
Wie wir unterstützen
Wir ordnen die Produkte und Rollen ein, bringen die Meldewege in eine Form, die unter Zeitdruck funktioniert. Verträge mit Zulieferern und Kunden passen wir an. Für die Fälle, in denen sich Pflichten aus CRA und NIS2 überschneiden, klären wir die Reihenfolge vorher.
Vernetzte Produkte im Programm?
Wir klären, welche Pflichten Sie treffen und was bis wann stehen muss.
Einstufung anfragenHäufige Fragen
Betrifft uns der CRA überhaupt?
Er erfasst Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Der Anwendungsbereich reicht von Verbrauchergeräten über Unternehmenssoftware bis zu industriellen Systemen. Betroffen sind nicht nur Hersteller, sondern auch Einführer und Händler, jeweils mit eigenen Pflichten.
Welche Fristen gelten?
Die Verordnung ist im Dezember 2024 in Kraft getreten. Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die übrigen Anforderungen greifen ab dem 11. Dezember 2027. Die Meldepflicht steht also lange vor der übrigen Regulierung.
Was gilt für Open-Source-Software?
Nicht kommerziell bereitgestellte offene Software ist grundsätzlich ausgenommen. Die Grenze verläuft nicht am Lizenztyp, sondern an der kommerziellen Tätigkeit. Wer offene Komponenten in ein eigenes Produkt einbaut und dieses vertreibt, kann sich auf die Ausnahme nicht berufen und trägt die Verantwortung für den gesamten Auslieferungsstand.