Cyber Resilience Act (CRA)
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für vernetzte Hard- und Software. Hersteller, Importeure und Händler müssen Sicherheitsrisiken über den Produktlebenszyklus kontrollieren, Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen. Die meisten Vorschriften gelten ab dem 11. Dezember 2027, bestimmte Meldepflichten bereits ab dem 11. September 2026.
Der Cyber Resilience Act (CRA) schafft erstmals EU-weit einheitliche Sicherheitsvorgaben für Produkte mit digitalen Elementen. Die deutsche Entsprechung lautet Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Rechtsgrundlage ist die Verordnung (EU) 2024/2847, die am 10. Dezember 2024 in Kraft trat.
Cyber Resilience Act: Zweck und Bedeutung
Der Cyber Resilience Act (CRA) richtet die Produktsicherheit am gesamten Lebenszyklus aus. Hersteller müssen Cybersicherheitsrisiken bereits bei der Entwicklung berücksichtigen, bekannte Schwachstellen beheben und Sicherheitsupdates während des festgelegten Unterstützungszeitraums bereitstellen. Eine einmalige Sicherheitsprüfung vor dem Verkauf reicht deshalb nicht aus.
Der Cyber Resilience Act (CRA) folgt dem Prinzip „Security by Design“. Ein digitales Produkt soll so entworfen und ausgeliefert werden, dass seine Angriffsfläche begrenzt ist. Dazu gehören sichere Voreinstellungen, kontrollierte Zugriffsrechte, Schutz vor unbefugtem Zugriff und eine nachvollziehbare Behandlung gemeldeter Schwachstellen.
Der Unterstützungszeitraum richtet sich grundsätzlich nach der erwarteten Nutzungsdauer des Produkts und beträgt in der Regel mindestens fünf Jahre. Wird ein Produkt voraussichtlich weniger als fünf Jahre genutzt, kann der Zeitraum der erwarteten Nutzungsdauer entsprechen. Hersteller müssen diesen Zeitraum beim Kauf klar angeben.
Welche Produkte erfasst der CRA?
Der Cyber Resilience Act (CRA) gilt für Hard- und Software, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst. Erfasst werden sowohl eigenständige Produkte als auch digitale Komponenten, die separat auf dem EU-Markt angeboten werden.
Eine gewöhnliche Unternehmenswebsite fällt nicht allein deshalb unter den Cyber Resilience Act (CRA), weil sie online erreichbar ist. Wird über die Website jedoch eine App, ein Plug-in, eine Softwareplattform oder ein vernetztes Gerät angeboten, können das Produkt und seine erforderlichen digitalen Dienste dem Anwendungsbereich unterliegen.
Bestimmte Bereiche sind ausgenommen, wenn bereits spezielle EU-Regelungen vergleichbare Sicherheitsanforderungen vorgeben. Dazu zählen unter anderem bestimmte Medizinprodukte, Kraftfahrzeuge, Luftfahrtprodukte und Schiffsausrüstung. Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt wurden, werden ebenfalls gesondert behandelt.
Pflichten nach dem Cyber Resilience Act
Der Cyber Resilience Act (CRA) verteilt die Verantwortung auf Hersteller, Importeure und Händler. Die umfangreichsten Aufgaben trägt der Hersteller, weil der Hersteller die Sicherheitsarchitektur, Risikobewertung, technische Dokumentation und Produktpflege kontrolliert. Importeure und Händler müssen prüfen, ob die vorgeschriebenen Nachweise und Kennzeichnungen vorliegen.
| Akteur | Zentrale Aufgaben |
|---|---|
| Hersteller | Cybersicherheitsrisiken bewerten, Anforderungen umsetzen, Schwachstellen behandeln, Updates liefern und technische Unterlagen erstellen |
| Importeur | Konformität, CE-Kennzeichnung, Herstellerangaben und technische Dokumentation prüfen |
| Händler | Vorgeschriebene Kennzeichnungen und Informationen vor dem Vertrieb kontrollieren |
| Open-Source-Verwalter | Bei dauerhaft unterstützten kommerziellen Projekten bestimmte Koordinations- und Sicherheitsaufgaben erfüllen |
Sicherheitsanforderungen an Hersteller
Hersteller müssen für jedes betroffene Produkt eine Cybersicherheitsrisikobewertung durchführen und deren Ergebnisse in die Planung, Entwicklung, Produktion, Auslieferung und Wartung einbeziehen. Der Cyber Resilience Act (CRA) verlangt außerdem, dass Produkte ohne bekannte ausnutzbare Schwachstellen auf den Markt gebracht werden.
Die technische Dokumentation muss unter anderem die Risikobewertung, die Produktarchitektur und die umgesetzten Sicherheitsmaßnahmen nachvollziehbar darstellen. Abhängig von der Produktklasse erfolgt die Konformitätsbewertung als interne Kontrolle oder unter Beteiligung einer unabhängigen Stelle. Nach erfolgreicher Bewertung werden eine EU-Konformitätserklärung und die CE-Kennzeichnung erforderlich.
Schwachstellen und Vorfälle melden
Der Cyber Resilience Act (CRA) führt feste Meldefristen für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ein. Eine erste Warnung muss grundsätzlich innerhalb von 24 Stunden erfolgen. Eine ausführlichere Meldung ist regelmäßig innerhalb von 72 Stunden nach Kenntnis erforderlich.
Die 24-Stunden-Frist bedeutet nicht, dass innerhalb eines Tages bereits eine vollständige technische Analyse vorliegen muss. Die erste Meldung soll frühzeitig auf das Risiko hinweisen. Weitere Informationen, Ursachenanalysen und ergriffene Maßnahmen werden anschließend nach den vorgesehenen Fristen ergänzt.
CRA-Fristen im Überblick 2026
Der Cyber Resilience Act (CRA) gilt stufenweise. Die Verordnung trat am 10. Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11. September 2026. Der überwiegende Teil der Anforderungen ist ab dem 11. Dezember 2027 anzuwenden.
Unternehmen sollten die Umstellung nicht bis zum allgemeinen Anwendungsdatum verschieben. Produktinventar, Risikobewertung, Softwarestücklisten, Update-Prozesse und technische Nachweise betreffen häufig mehrere Abteilungen und externe Lieferanten. Bei komplexen Produktportfolios benötigt bereits die Zuordnung der betroffenen Komponenten einen strukturierten Prozess.
Sanktionen bei Verstößen
Verstöße gegen wesentliche Cybersicherheitsanforderungen können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden. Maßgeblich kann bei Unternehmen der höhere Betrag sein.
Für Verstöße gegen andere Pflichten sieht der Cyber Resilience Act (CRA) Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor. Falsche, unvollständige oder irreführende Angaben gegenüber Behörden oder Konformitätsbewertungsstellen können mit bis zu 5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes sanktioniert werden.
Unterschied zu NIS2 und Cybersecurity Act
Der Unterschied zwischen dem Cyber Resilience Act (CRA) und NIS2 liegt im Regelungsgegenstand. Der CRA betrifft die Cybersicherheit digitaler Produkte und verpflichtet vor allem Hersteller sowie weitere Wirtschaftsakteure. NIS2 richtet sich an bestimmte Einrichtungen und verlangt organisatorische sowie technische Sicherheitsmaßnahmen für deren Geschäftsbetrieb.
Der EU Cybersecurity Act bildet unter anderem den Rahmen für europäische Cybersicherheitszertifizierungen. Der Cyber Resilience Act (CRA) legt dagegen verbindliche Anforderungen für das Inverkehrbringen und die laufende Pflege konkreter Produkte fest. Eine Zertifizierung kann bei der Konformitätsbewertung relevant werden, ersetzt aber nicht automatisch sämtliche Herstellerpflichten.
Auch die Datenschutz-Grundverordnung verfolgt einen anderen Zweck. Die Datenschutz-Grundverordnung schützt personenbezogene Daten, während der Cyber Resilience Act (CRA) die Cybersicherheit von Produkten mit digitalen Elementen regelt. Ein Sicherheitsvorfall kann beide Rechtsbereiche berühren, wenn eine Produktschwachstelle zugleich personenbezogene Daten gefährdet.
Relevanz für SEO, SEA und GEO
Der Cyber Resilience Act (CRA) ist kein direkter Google-Ranking-Faktor. Für SEO, SEA und GEO, Generative Engine Optimization, wird der CRA relevant, sobald Produktseiten, Anzeigen oder KI-Antworten Aussagen zu Sicherheit, Supportzeiträumen, Updates oder Zertifizierungen übernehmen. Solche Angaben müssen mit der technischen Dokumentation und dem tatsächlichen Produktstatus übereinstimmen.
Produktseiten sollten den zugesagten Unterstützungszeitraum, verfügbare Updates und einen Kontaktweg für Schwachstellen eindeutig darstellen. Veraltete Texte können falsche Erwartungen erzeugen oder im Widerspruch zu rechtlichen Produktinformationen stehen. Eine strukturierte Content-Erstellung sollte deshalb Freigaben durch Produktmanagement, IT und Recht vorsehen.
Bei einem Website-Relaunch mit SEO-Checkliste müssen Sicherheitsinformationen, Supportseiten und Downloadbereiche vollständig migriert werden. Fehlende Weiterleitungen oder gelöschte Dokumentationsseiten beeinträchtigen die Auffindbarkeit verbindlicher Produktinformationen und können bestehende Links aus Handbüchern, Apps oder Kundenportalen unbrauchbar machen.
SEA-Anzeigen dürfen Sicherheitsmerkmale nur so konkret bewerben, wie sie belegt sind. Begriffe wie sicher, zertifiziert oder dauerhaft aktualisiert sollten mit einem klaren Nachweis verbunden sein. Für den Schutz konsistenter Markenaussagen hilft außerdem eine dokumentierte Brand-Protection-Strategie, besonders wenn Händler eigene Produkttexte und Anzeigen veröffentlichen.
So bereitest du die Umsetzung vor
Eine belastbare CRA-Vorbereitung beginnt mit einem Produktregister. Das Register sollte Produktversionen, digitale Komponenten, vorgesehene Nutzung, Vertriebswege, Lieferanten und Verantwortlichkeiten enthalten. Erst diese Übersicht zeigt, welche Produkte geprüft und welche Nachweise beschafft werden müssen.
Für Marketing-Verantwortliche liegt der konkrete Prüfpunkt in der Übereinstimmung zwischen Produkt, Dokumentation und öffentlicher Kommunikation. Jede Aussage zu Cybersicherheit, CE-Kennzeichnung, Updates oder Support sollte eine intern benannte Quelle und einen Aktualisierungsprozess besitzen. Rechtliche Einzelfragen gehören zusätzlich in eine fachkundige juristische Prüfung.
Häufige Fragen zum Cyber Resilience Act
Gilt der Cyber Resilience Act auch für normale Websites?
Eine gewöhnliche Unternehmenswebsite ist regelmäßig kein Produkt mit digitalen Elementen. Der Anwendungsbereich kann jedoch eröffnet sein, wenn über die Website regulierte Software, Apps, Plug-ins oder vernetzte Geräte bereitgestellt werden oder ein Online-Dienst untrennbar für deren Funktion erforderlich ist.
Fallen SaaS-Angebote unter den CRA?
Reine Cloud-Dienste fallen grundsätzlich nicht automatisch unter den CRA. Eine cloudbasierte Funktion kann erfasst sein, wenn sie als Fernverarbeitungslösung für die Funktion eines Produkts mit digitalen Elementen erforderlich ist. Die konkrete technische und vertragliche Ausgestaltung muss einzeln geprüft werden.
Ist kostenlose Open-Source-Software vom CRA betroffen?
Freie und quelloffene Software, die außerhalb einer kommerziellen Tätigkeit entwickelt oder bereitgestellt wird, ist grundsätzlich ausgenommen. Kommerzielle Vertriebsmodelle und dauerhaft unterstützte Open-Source-Projekte können dagegen Pflichten für Hersteller oder Open-Source-Verwalter auslösen.
Wer kontrolliert die Einhaltung des CRA?
Die EU-Mitgliedstaaten bestimmen Marktüberwachungsbehörden, die Produkte, Dokumentationen und Konformitätsnachweise kontrollieren. Behörden können Korrekturmaßnahmen verlangen und den Vertrieb nicht konformer Produkte beschränken oder untersagen.
Müssen bestehende Produkte nachträglich angepasst werden?
Der CRA erfasst grundsätzlich Produkte, die ab dem maßgeblichen Anwendungsdatum auf dem EU-Markt bereitgestellt werden. Eine wesentliche Änderung eines bereits vertriebenen Produkts kann zu einer erneuten Bewertung führen, wenn die Änderung die Konformität oder den vorgesehenen Verwendungszweck beeinflusst.
Braucht jedes digitale Produkt eine externe Prüfung?
Nicht jedes Produkt benötigt zwingend eine externe Konformitätsbewertung. Das erforderliche Verfahren hängt von der Produktkategorie und dem Sicherheitsrisiko ab. Für wichtige oder kritische Produkte gelten strengere Verfahren als für Produkte der allgemeinen Kategorie.
Wenn du Produktkommunikation, Website-Struktur und Marketingprozesse auf neue rechtliche Anforderungen abstimmen möchtest, kannst du den aktuellen Stand deiner Domain unverbindlich besprechen.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
