Der Cyber Resilience Act —Verordnung (EU) 2024/2847— macht Cybersicherheit zur gesetzlichen Marktzugangsvoraussetzung in der EU für jedes vernetzte Produkt, wobei die CE-Kennzeichnung als Konformitätsnachweis dient. Wenn Sie zuerst die Einordnung klären müssen —welche Produkte erfasst sind, welche Rolle Ihnen zukommt, wie Ihr Portfolio klassifiziert wird und welche Sanktionen drohen—, beginnen Sie mit Cyber Resilience Act (CRA): Was ist das, wen verpflichtet er und wie werden Produkte klassifiziert.
Dieser zweite Teil geht an die eigentliche Arbeit: was Anhang I technisch verlangt, wie der Meldeprozess für Schwachstellen und Vorfälle aufgebaut wird, was die CE-Kennzeichnungsakte enthält, wie sich der CRA mit NIS2 und ISO 27001 verzahnt, ohne Aufwand zu doppeln, und in welcher Reihenfolge man das Ganze am sinnvollsten angeht.
11. September 2026 — Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die einheitliche Plattform unter Verwaltung von ENISA. Gilt auch für bereits vermarktete Produkte, ohne Übergangsfrist. Das ist als Erstes durchsetzbar und steht in wenigen Wochen an.
11. Dezember 2027 — grundlegende Anforderungen aus Anhang I, Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
Ein Hinweis aus der Praxis: Die Kommission hat vorgeschlagen, die Fristen für den Normungsauftrag um zwei Monate zu verschieben. Die horizontalen Normen zum Schwachstellenmanagement werden gegen Ende Oktober 2026 erwartet, die vertikalen produktbezogenen Normen im Laufe des Dezember 2026. Da die Selbstbewertung wichtiger Produkte der Klasse I davon abhängt, harmonisierte Normen anwenden zu können, sollten Sie deren Status prüfen, bevor Sie den Konformitätsplan finalisieren.
Grundlegende Anforderungen aus Anhang I: Security by Design und Schwachstellenmanagement
Das technische Herzstück des CRA ist sein Anhang I, der in zwei Teile gegliedert ist und zwei unterschiedlichen Phasen des Lebenszyklus entspricht: wie das Produkt entworfen und ausgeliefert wird und wie es nach dem Verkauf gepflegt wird.
Teil I — Cybersicherheitseigenschaften des Produkts
Das Produkt muss so entworfen, entwickelt und hergestellt werden, dass ein dem Risiko angemessenes Cybersicherheitsniveau gewährleistet ist. Unter anderem gelten folgende Anforderungen:
- Inverkehrbringen ohne bekannte ausnutzbare Schwachstellen.
- Auslieferung mit einer standardmäßig sicheren Konfiguration und der Möglichkeit, diese wiederherzustellen.
- Ermöglichen der Behebung von Schwachstellen durch Updates, gegebenenfalls automatisch und mit Hinweis an den Nutzer.
- Schutz vor unbefugtem Zugriff durch Mechanismen für Authentifizierung, Identitätsmanagement und Zugriffskontrolle.
- Gewährleistung der Vertraulichkeit und Integrität von Daten und Befehlen, mit Verschlüsselung im Ruhezustand und bei der Übertragung.
- Anwendung von Datenminimierung: Verarbeitung nur der für den vorgesehenen Zweck erforderlichen Daten.
- Schutz der Verfügbarkeit wesentlicher Funktionen und Reduzierung der Angriffsfläche.
- Protokollierung und Überwachung der sicherheitsrelevanten internen Aktivitäten (Logs).
- Ermöglichen des sicheren Löschens und der Portabilität von Daten und Konfigurationen.
Keines dieser Anforderungen ist für ein Team, das bereits mit Secure-Development-Praktiken arbeitet, exotisch. Neu ist nicht das „Was“, sondern dass man ab Dezember 2027 in der Lage sein muss, es dokumentarisch nachzuweisen —Produkt für Produkt— gegenüber einer Marktüberwachungsbehörde.
Teil II — Schwachstellenmanagement während des Supportzeitraums
Der zweite Teil verpflichtet dazu, das Produkt nach dem Verkauf sicher zu halten. Hier erscheinen die drei Neuerungen mit dem größten operativen Impact:
Software-Stückliste
Der Hersteller muss die Komponenten des Produkts identifizieren und dokumentieren und eine SBOM in maschinenlesbarem Format erstellen, die mindestens die Abhängigkeiten der ersten Ebene abdeckt.
Supportzeitraum
Es ist ein Supportzeitraum von mindestens fünf Jahren anzugeben —oder die erwartete Lebensdauer des Produkts, falls diese kürzer ist—, mit einem expliziten Enddatum (Monat und Jahr), das zum Kaufzeitpunkt bekannt ist.
Koordinierte Offenlegung
Es ist eine Richtlinie zur koordinierten Offenlegung von Schwachstellen zu veröffentlichen, ein Kontaktpunkt für Meldungen bereitzustellen und Sicherheits-Patches kostenlos und unverzüglich zu verteilen.
Diese drei Bausteine hängen zusammen: Ohne SBOM weiß man nicht, ob eine veröffentlichte Schwachstelle das Produkt betrifft; ohne diese Kenntnis kann man innerhalb des angegebenen Supportzeitraums nicht patchen; und ohne Patch gibt es nichts, was innerhalb der nachfolgend genannten Meldefristen zu kommunizieren wäre.
Meldung von Schwachstellen und Vorfällen: 24 Stunden, 72 Stunden und 14 Tage
Ab dem 11. September 2026 müssen Hersteller gleichzeitig an das als Koordinator benannte CSIRT —das des Mitgliedstaats ihres Hauptsitzes; in Spanien INCIBE-CERT— und an ENISA über die einheitliche Meldeplattform melden. Gemeldet werden zwei Fälle: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen.
Frühwarnung
Ab dem Zeitpunkt, an dem der Hersteller Kenntnis erlangt. Es genügt anzugeben, dass sie besteht, und —falls bekannt— die betroffenen Mitgliedstaaten.
Meldung
Allgemeine Informationen zum betroffenen Produkt, zur Art des Problems sowie zu verfügbaren Korrektur- oder Minderungsmaßnahmen.
Abschlussbericht
14 Tage ab dem Zeitpunkt, an dem eine Korrekturmaßnahme verfügbar ist, bei aktiv ausgenutzten Schwachstellen. 1 Monat ab der Meldung bei schwerwiegenden Vorfällen.
Parallel zu diesen drei Meilensteinen muss der Hersteller die betroffenen Nutzer unverzüglich informieren —und gegebenenfalls die Öffentlichkeit— über den Vorfall und die Korrekturmaßnahmen, die sie anwenden müssen. Das ist keine vierte Frist: Es ist eine parallele Pflicht, die man skripten sollte, weil sie Kommunikation und Support betrifft, nicht nur Security.
Kleinstunternehmen und kleine Unternehmen müssen keine Geldbußen befürchten, wenn sie speziell die 24-Stunden-Frist der Frühwarnung nicht einhalten, behalten aber die übrigen Meldepflichten bei.
CE-Kennzeichnung und Konformitätsbewertung
Bevor das Produkt in Verkehr gebracht wird —und spätestens bis zum 11. Dezember 2027— muss der Hersteller eine Konformitätsakte erstellen und aufbewahren. In dieser Reihenfolge:
- Durchführen und Dokumentieren einer Cybersicherheits-Risikobewertung des Produkts.
- Durchlaufen des passenden Konformitätsbewertungsverfahrens für seine Klasse —Selbstbewertung durch interne Fertigungskontrolle, EU-Baumusterprüfung, umfassende Qualitätssicherung oder europäische Zertifizierung, je nach Produktklassifizierung.
- Erstellen der technischen Dokumentation, die die Erfüllung der Anforderungen aus Anhang I belegt.
- Ausstellen der EU-Konformitätserklärung.
- Anbringen der CE-Kennzeichnung am Produkt, an der Verpackung oder in der Begleitdokumentation.
- Bereitstellen von Gebrauchsanweisungen und Nutzerinformationen, einschließlich des Enddatums des Supportzeitraums.
Diese Dokumentation ist mindestens zehn Jahre aufzubewahren —oder für den Supportzeitraum, falls dieser länger ist— und den Marktüberwachungsbehörden auf Verlangen bereitzustellen.
In Spanien ist die vorgesehene institutionelle Zuständigkeit wie folgt:
| Funktion | Organisation |
|---|---|
| Marktüberwachungsbehörde Inspektiert, fordert Dokumentation an und kann die Rücknahme des Produkts anordnen. |
Ministerium für digitale Transformation und öffentlichen Dienst |
| Notifizierende Behörde Bennt und überwacht die Konformitätsbewertungsstellen. |
Nationales Kryptologisches Zentrum (CCN) |
| Koordinierendes CSIRT Empfänger der Meldungen zu Schwachstellen und Vorfällen, zusammen mit ENISA. |
INCIBE-CERT |
Müssen Sie den Meldeprozess vor September 2026 fertig haben? Wir zeigen Ihnen, wie die 24-Std.-, 72-Std.- und 14-Tage-Uhren mit auditierbarer Protokollierung jeder Kommunikation gesteuert werden.
Fordern Sie eine Demo anCRA, NIS2 und ISO 27001: wie sie zusammenpassen, ohne Arbeit zu doppeln
Das ist die häufigste Verwirrung, und die Antwort ist klar: Der CRA reguliert Produkte; NIS2 reguliert Organisationen. Ein Unternehmen kann beiden unterliegen —als wesentliche oder wichtige Einrichtung nach NIS2 und als Hersteller nach dem CRA—; dann überschneiden sich beide Rahmenwerke bei Governance, Risikomanagement und Incident-Meldung, aber nicht beim Regelungsgegenstand.
Silo-Ansatz
- Ein separates Projekt pro Norm: CRA, NIS2, ISO 27001, ENS.
- Doppelte und nicht abgestimmte Asset- und Produktinventare.
- Nachweise dreimal gesammelt für Kontrollen, die identisch sind.
- Meldungen per E-Mail, ohne Fristennachverfolgung.
- Kein konsolidierter Risikoblick für die Geschäftsleitung.
Integrierter Ansatz
- Ein einheitliches Kontroll-Framework mit Nachverfolgbarkeit zu jeder gesetzlichen Anforderung.
- Gemeinsames Inventar von Produkten, Komponenten und Lieferanten.
- Ein Nachweis erfüllt zugleich CRA, NIS2 und ISO 27001.
- Melde-Workflows mit 24-Std./72-Std.-Uhren und auditierbarer Protokollierung.
- Ein einziges Dashboard für Risiko und Compliance für das Komitee.
Die gute Nachricht: Ein Informationssicherheits-Managementsystem auf Basis von ISO/IEC 27001:2022 deckt einen großen Teil der gemeinsamen Schnittmenge mit Teil I und Teil II von Anhang I ab: Risikoanalyse, Management technischer Schwachstellen, Sicherheit in der Entwicklung, Lieferantenbeziehungen und Incident-Management. Für den Produktlebenszyklus ist die branchenspezifische Referenz die Reihe IEC 62443 (insbesondere 62443-4-1 und 4-2) und für Secure Software Development ISO/IEC 27034. Keine Zertifizierung ersetzt für sich allein die Konformität mit dem CRA, aber alle reduzieren den Aufwand der nachfolgenden Gap-Analyse drastisch.
So bereiten Sie sich auf den CRA vor: Roadmap in 7 Schritten
Da September 2026 vor der Tür steht und Dezember 2027 den Horizont der vollständigen Anwendung markiert, ist dies die Reihenfolge, die in der Praxis am besten funktioniert:
Inventarisieren und klassifizieren Sie Ihr Portfolio
Listen Sie alle Produkte mit digitalen Elementen auf, die Sie in der EU vermarkten, und klassifizieren Sie sie gemäß Anhang III/IV und der Durchführungsverordnung 2025/2392. Bestimmen Sie außerdem Ihre Rolle: Hersteller, Importeur oder Händler.
Führen Sie eine Gap-Analyse gegenüber Anhang I durch
Gleichen Sie jede grundlegende Anforderung mit dem ab, was Ihr Entwicklungsprozess heute leistet. Identifizieren Sie, was durch Ihr ISMS abgedeckt ist, was Engineering-Änderungen erfordert und was neue Dokumentation braucht.
Priorisieren Sie den Meldeblock
Er ist als Erstes durchsetzbar. Definieren Sie Prozess, Rufbereitschaftsrollen, Vorlagen und die 24-Std.-, 72-Std.- und 14-Tage-Uhren und proben Sie ihn vor September 2026.
Erstellen Sie SBOM und Komponenten-Nachverfolgbarkeit
Automatisieren Sie die SBOM-Erstellung im maschinenlesbaren Format und integrieren Sie sie in die Schwachstellenüberwachung Ihrer Abhängigkeiten.
Legen Sie den Supportzeitraum fest und veröffentlichen Sie ihn
Entscheiden Sie den Zeitraum je Produktfamilie, dokumentieren Sie das Kriterium und stimmen Sie die kommerzielle Kommunikation ab: Das Enddatum muss zum Kaufzeitpunkt sichtbar sein.
Erweitern Sie die Anforderungen auf Ihre Lieferkette
Übertragen Sie CRA-Anforderungen in Verträge mit Lieferanten von Komponenten und Drittsoftware und verlangen Sie SBOM sowie Patch-Zusagen. Ihre Konformität hängt von deren Konformität ab.
Bereiten Sie die Akte und den Konformitätsweg vor
Erstellen Sie die technische Dokumentation, die EU-Konformitätserklärung und —wenn Ihr Produkt wichtig (Klasse II) oder kritisch ist— beauftragen Sie frühzeitig die notifizierte Stelle oder das Zertifizierungsschema.
Wie kann GRC-Software helfen, den Cyber Resilience Act zu erfüllen?
Bei GlobalSuite Solutions betrachten wir den CRA als das, was er wirklich ist: ein Thema von Governance, Risiko und Compliance mit klar definierten gesetzlichen Fristen, nicht eine Excel-Liste technischer Anforderungen. Unsere Plattform GlobalSuite® ermöglicht es, jede grundlegende Anforderung aus Anhang I bis zu einer Kontrolle, einem Verantwortlichen und einem konkreten Nachweis nachzuverfolgen und dabei zu nutzen, was Sie bereits in Ihrem ISMS auf Basis von ISO 27001 implementiert haben, sodass die Gap-Analyse nicht länger ein loses Dokument bleibt, sondern zu einem Maßnahmenplan mit Verantwortlichkeiten und Fälligkeitswarnungen wird. Auf derselben Grundlage werden die Cybersicherheits-Risikobewertung des Produkts, der Schwachstellen-Lebenszyklus in Verbindung mit Komponenteninventar und SBOM, die Bewertung von Lieferanten und der Lieferkette sowie die Melde-Workflows mit 24-Std.-, 72-Std.- und 14-Tage-Uhren und auditierbarer Protokollierung jeder Kommunikation an INCIBE-CERT und ENISA gesteuert. Und weil sich kaum eine Organisation dem CRA allein stellt, erlaubt der Multi-Standard-Ansatz der Plattform, gemeinsame Kontrollen einmalig über NIS2, ISO 27001, IEC 62443, DORA oder das ENS zu mappen, sodass ein Nachweis für mehrere Rahmenwerke reicht und die Leitung ein einziges Dashboard zum Compliance-Status und Restrisiko erhält —bereit für Audit oder eine Inspektion der Marktüberwachungsbehörde.
Häufige Fragen zur CRA-Konformität
Was ist eine SBOM und warum verlangt der CRA sie?
Die Software Bill of Materials (SBOM) ist die Liste der Komponenten und Abhängigkeiten, aus denen ein Softwareprodukt besteht, in maschinenlesbarem Format. Anhang I, Teil II, des CRA verlangt, sie zu erstellen und zu pflegen —mindestens mit den Abhängigkeiten der ersten Ebene—, weil man ohne Kenntnis der Komponenten nicht feststellen kann, ob eine veröffentlichte Schwachstelle das Produkt betrifft, und nicht fristgerecht handeln kann.
Wie lange muss der Hersteller die Produktsicherheit aufrechterhalten?
Während des Supportzeitraums, der mindestens fünf Jahre betragen muss —oder der erwarteten Lebensdauer des Produkts entspricht, wenn diese kürzer ist— und dessen Enddatum (Monat und Jahr) dem Käufer zum Zeitpunkt des Erwerbs bekannt sein muss. In diesem Zeitraum managt der Hersteller Schwachstellen und verteilt Sicherheits-Patches kostenlos.
Wem muss eine aktiv ausgenutzte Schwachstelle gemeldet werden und innerhalb welcher Frist?
Gleichzeitig an das als Koordinator benannte CSIRT —das des Mitgliedstaats des Hauptsitzes; in Spanien INCIBE-CERT— und an ENISA über die einheitliche Meldeplattform. Die Fristen sind 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung mit Produktdetails und Maßnahmen sowie 14 Tage ab Verfügbarkeit einer Korrekturmaßnahme für den Abschlussbericht (1 Monat bei schwerwiegenden Vorfällen). Parallel sind die betroffenen Nutzer zu informieren.
Welche technische Dokumentation ist aufzubewahren und wie lange?
Die Cybersicherheits-Risikobewertung, die technische Dokumentation, die die Erfüllung von Anhang I belegt, die Ergebnisse des Konformitätsbewertungsverfahrens sowie die EU-Konformitätserklärung. Sie ist mindestens zehn Jahre ab dem Inverkehrbringen des Produkts aufzubewahren —oder während des Supportzeitraums, falls dieser länger ist— und den Marktüberwachungsbehörden bereitzustellen.
Was ist der Unterschied zwischen CRA und NIS2?
Der CRA reguliert Produkte und NIS2 reguliert Organisationen. Der CRA macht Cybersicherheitsanforderungen für das, was hergestellt und verkauft wird, verbindlich, mit der CE-Kennzeichnung als Konformitätsnachweis; NIS2 verpflichtet wesentliche und wichtige Einrichtungen in kritischen Sektoren, Risikomanagementmaßnahmen umzusetzen und Vorfälle zu melden. Ein Unternehmen kann beiden unterliegen, und es ist sinnvoll, sie integriert anzugehen, um Kontrollen und Nachweise nicht zu doppeln.
Hilft ISO 27001 bei der Erfüllung des CRA?
Sie ersetzt die Konformität mit dem CRA nicht, verkürzt aber den Weg erheblich. Ein ISMS nach ISO/IEC 27001:2022 deckt bereits Risikomanagement, Management technischer Schwachstellen, Sicherheit in der Entwicklung, Lieferantenbeziehungen und Incident-Management ab. Für die spezifischen Anforderungen des Produktlebenszyklus sollte es durch die Reihe IEC 62443 und Secure-Development-Praktiken ergänzt werden.
Die CRA-Konformität stützt sich auf drei Blöcke. Anhang I legt die Cybersicherheitseigenschaften des Produkts (Teil I) und das Schwachstellenmanagement während des Supportzeitraums (Teil II) fest, wobei SBOM, mindestens fünf Jahre Support und Richtlinie zur koordinierten Offenlegung die Neuerungen mit dem größten operativen Impact sind. Die Meldung setzt Uhren von 24 Stunden, 72 Stunden und 14 Tagen gegenüber INCIBE-CERT und ENISA in Gang. Und die CE-Kennzeichnungsakte —Risikobewertung, technische Dokumentation und EU-Konformitätserklärung— ist zehn Jahre aufzubewahren.
Die Reihenfolge ist entscheidend: zuerst der Meldeblock, weil er ab dem 11. September 2026 gilt und auch für bereits verkaufte Produkte; danach die Gap-Analyse gegenüber Anhang I, SBOM, Supportzeitraum, Lieferkette und Akte —mit Blick auf den 11. Dezember 2027. Je integrierter der Ansatz mit NIS2 und ISO 27001 ist, desto geringer sind die Gesamtkosten: Ein einziger Nachweis kann für mehrere Rahmenwerke dienen.
Bereiten Sie Ihre CRA-Konformität auf einer einzigen Plattform vor
Nachverfolgbarkeit von Anhang I bis zu Kontrolle, Verantwortlichem und Nachweis; Schwachstellenmanagement in Verbindung mit der SBOM; Melde-Workflows mit 24-Std.- und 72-Std.-Uhren und auditierbarer Protokollierung; Lieferantenbewertung und Multi-Standard-Mapping mit NIS2 und ISO 27001. Wir zeigen es Ihnen anhand eines realen Falls.
Fordern Sie eine Demo an
