Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) oder das Cyber-Resilienz-Gesetz ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates. Es handelt sich um die erste europäische Norm, die allen Produkten mit digitalen Elementen, die in der Europäischen Union vermarktet werden, verpflichtende horizontale Cybersicherheitsanforderungen auferlegt. Die Logik dahinter ist einfach und bahnbrechend: Wenn ein Produkt – direkt oder indirekt – mit einem Datennetz verbunden ist, darf es in der EU nur verkauft werden, wenn nachgewiesen wird, dass es „secure by design“ ist und der Hersteller diese Sicherheit über die gesamte Lebensdauer des Produkts aufrechterhält.
Bisher war die Cybersicherheit von Software und vernetzter Hardware praktisch eine freiwillige Selbstverpflichtung der Hersteller. Der CRA ändert die Ausgangslage: Er macht Sicherheit zu einer gesetzlichen Marktzugangsvoraussetzung, auf derselben Stufe wie die elektrische Sicherheit oder die elektromagnetische Verträglichkeit. Das Instrument, das dies umsetzt, ist bekannt und wiedererkennbar: die CE-Kennzeichnung, die ab dem CRA auch die Konformität im Bereich der Cybersicherheit bescheinigt.
Der Anwendungsbereich ist bewusst breit gefasst. Die Verordnung deckt alles ab, vom Babyphone oder der Smartwatch bis hin zu Betriebssystemen, industriellen Firewalls, mobilen Apps oder Mikrocontrollern. Dabei werden nicht nur große Technologiehersteller in die Pflicht genommen: Auch Importeure, Händler und jedes Unternehmen, das ein vernetztes Produkt unter eigener Marke auf dem europäischen Markt bereitstellt, fallen in den Anwendungsbereich.
Dieser Leitfaden ist in zwei Teile gegliedert. In diesem ersten Teil klären wir die Einordnung: Was der CRA regelt, wen er verpflichtet, welche Produkte darunter fallen und welche ausgenommen sind, was zu welchem Zeitpunkt gefordert wird, wie Produkte nach ihrem Risiko klassifiziert werden und welche Sanktionen bei Nichteinhaltung drohen. Den operativen Teil – die technischen Anforderungen aus Anhang I, die Meldefristen für Schwachstellen, die technische Dokumentation für die CE-Kennzeichnung, die Abstimmung mit NIS2 und ISO 27001 sowie den Fahrplan zur Vorbereitung – behandeln wir in So erfüllen Sie den Cyber Resilience Act.
Der CRA ist seit dem 10. Dezember 2024 in Kraft und seine Anwendung erfolgt schrittweise. Zwei Meilensteine wurden bereits erreicht: Die Durchführungsverordnung (EU) 2025/2392, in Kraft seit dem 29. November 2025, legt die präzisen technischen Beschreibungen der 28 Kategorien wichtiger und kritischer Produkte fest; und seit dem 11. Juni 2026 sind die Bestimmungen über benannte Stellen und notifizierende Behörden in Kraft.
Der nächste Meilenstein steht unmittelbar bevor: Am 11. September 2026 treten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle in Kraft – auch für bereits vermarktete Produkte – zusammen mit der zentralen Meldeplattform, die von der ENISA verwaltet wird. Die übrigen Verpflichtungen werden am 11. Dezember 2027 verbindlich.
Parallel dazu veröffentlichte die Kommission am 27. Juli 2026 ihren offiziellen Leitfaden zum Anwendungsbereich der Verordnung und hat vorgeschlagen, die Fristen für den Normungsauftrag um zwei Monate zu verschieben: Die horizontalen Normen für das Schwachstellenmanagement werden für Ende Oktober 2026 erwartet, die vertikalen produktspezifischen Normen im Laufe des Dezembers 2026. Es empfiehlt sich, den Status der harmonisierten Normen zu prüfen, bevor Konformitätspläne abgeschlossen werden.
Wen verpflichtet der Cyber Resilience Act?
Der CRA verteilt die Verpflichtungen über die gesamte digitale Lieferkette, wobei die Intensität je nach Rolle des Akteurs variiert:
Hersteller
Sie entwerfen und entwickeln das Produkt. Sie tragen die Hauptlast der Verpflichtungen: wesentliche Anforderungen gemäß Anhang I, Cybersicherheits-Risikoanalyse, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenmanagement während des Support-Zeitraums und Meldung an die Behörden.
Importeure
Sie dürfen nur Produkte auf dem EU-Markt in Verkehr bringen, die der Verordnung entsprechen. Sie müssen sicherstellen, dass der Hersteller die Konformitätsbewertung durchgeführt hat, die technische Dokumentation vorliegt und das Produkt die CE-Kennzeichnung sowie eine Gebrauchsanleitung trägt.
Händler
Sie müssen mit der gebotenen Sorgfalt handeln: das Vorhandensein der CE-Kennzeichnung und der Dokumentation prüfen und dürfen kein Produkt vermarkten, von dem sie wissen oder vermuten müssen, dass es nicht konform ist. Wenn sie ein Risiko feststellen, informieren sie den Hersteller und die Behörden.
Open-Source-Stewards
Stiftungen und Organisationen, die Open-Source-Software unterstützen (open-source stewards), unterliegen einer spezifischen und leichteren Regelung, die sich auf Sicherheitsrichtlinien und Zusammenarbeit konzentriert, und unterliegen keinen Geldbußen bei Verstößen gegen die Verordnung.
Achtung, ein kritischer Punkt: Ein Importeur oder Händler, der ein Produkt unter seiner eigenen Marke vermarktet oder es wesentlich verändert, gilt in jeder Hinsicht als Hersteller und übernimmt alle damit verbundenen Pflichten. Dies ist der häufigste Fehler bei der Einordnung in ersten internen Bewertungen und sollte vor allem anderen geklärt werden: Von Ihrer Rolle hängt der gesamte Arbeitsaufwand ab, der vor Ihnen liegt.
Was ist ein „Produkt mit digitalen Elementen“ und was ist ausgenommen?
Die Verordnung definiert ein Produkt mit digitalen Elementen als jedes Software- oder Hardwareprodukt – und die damit verbundenen Lösungen zur Fernverarbeitung von Daten –, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine logische oder physische Verbindung, direkt oder indirekt, zu einem Gerät oder einem Netz beinhaltet. In der Praxis umfasst diese Definition fast alle vernetzte Hardware und praktisch jede in der EU vermarktete Software.
Die Ausnahmen sind begrenzt und folgen zwei Kriterien: dem Bestehen einer gleichwertigen sektorspezifischen Gesetzgebung oder dem Fehlen einer kommerziellen Zweckbestimmung. Vom CRA ausgenommen sind:
- Medizinprodukte, die unter die Verordnungen (EU) 2017/745 und 2017/746 fallen.
- Kraftfahrzeuge, die der Verordnung (EU) 2019/2144 und den Cybersicherheitsanforderungen der Typgenehmigung unterliegen.
- Zivilluftfahrt gemäß Verordnung (EU) 2018/1139 sowie Schiffsausrüstung.
- Freie und Open-Source-Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird.
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit, der Verteidigung oder der Verarbeitung klassifizierter Informationen entwickelt wurden.
- Ersatzteile, die dazu bestimmt sind, identische Komponenten in bereits vermarkten Produkten zu ersetzen.
Alles andere – einschließlich Software, die als SaaS vertrieben wird, wenn sie Teil der Fernverarbeitungslösung eines Produkts ist – fällt in den Anwendungsbereich. Der am 27. Juli 2026 veröffentlichte Leitfaden der Kommission zum Anwendungsbereich ist die Referenz für Grenzfälle.
Zeitplan des CRA: Was bereits gilt und was noch bevorsteht
Der CRA wird nicht auf einen Schlag angewendet. Seine schrittweise Einführung lässt Zeit zur Vorbereitung, erfordert aber eine präzise Unterscheidung zwischen dem, was bereits abgelaufen ist, und dem, was noch kommt. Stand August 2026 sieht der Zeitplan wie folgt aus:
Inkrafttreten der Verordnung
Die Verordnung (EU) 2024/2847 tritt in Kraft. Die Übergangsfrist beginnt: Es sind noch keine materiellen Verpflichtungen verbindlich.
ErledigtTechnische Beschreibungen der 28 Kategorien
Die Durchführungsverordnung (EU) 2025/2392 ersetzt die allgemeinen Kategorien aus Anhang III durch präzise technische Beschreibungen. Sie ist heute die maßgebliche Referenz für die Klassifizierung eines Produkts.
ErledigtBenannte Stellen einsatzbereit
Die Bestimmungen über notifizierende Behörden und Konformitätsbewertungsstellen treten in Kraft: Diese können nun benannt und notifiziert werden.
ErledigtMeldepflichten für Schwachstellen und Vorfälle
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die zentrale Meldeplattform an das koordinierende CSIRT und die ENISA melden. Dies gilt auch für bereits vermarktete Produkte, ohne Übergangsfrist.
Nächster Meilenstein · in wenigen WochenVollständige Anwendung der Verordnung
Die wesentlichen Anforderungen aus Anhang I, die Konformitätsbewertung, die technische Dokumentation, die EU-Konformitätserklärung und die CE-Kennzeichnung werden verbindlich. Ab diesem Datum darf ein nicht konformes Produkt in der EU nicht mehr vermarktet werden.
AusstehendDas heißt: Obwohl die vollständige Anwendung erst Ende 2027 erfolgt, gibt es einen Block von Verpflichtungen, der in wenigen Wochen beginnt und das gesamte bisher verkaufte Portfolio betrifft. Die konkreten Fristen – 24 Stunden, 72 Stunden, 14 Tage – und wie der Prozess aufzusetzen ist, erläutern wir im zweiten Teil dieses Leitfadens.
Klassifizierung von Produkten: Standard, wichtig und kritisch
Der CRA passt die Anforderungen je nach Risiko des Produkts in vier Stufen an. Diese Klassifizierung bestimmt das Konformitätsbewertungsverfahren: Je höher das Risiko, desto geringer ist der Spielraum für eine Selbsteinschätzung.
| Stufe | Produktbeispiele | Konformitätsweg |
|---|---|---|
| Standard (~90 % des Marktes) |
Mobile Apps, Videospiele, externe Festplatten, vernetzte Lautsprecher, allgemeine Management-Software. | Selbstbewertung Interne Kontrolle (Modul A). |
| Wichtig Klasse I (Anhang III, 19 Kategorien) |
Passwort-Manager, Browser, Antivirensoftware, VPN, SIEM, Identitäts- und Zugriffsmanagementsysteme, Betriebssysteme, Router und Switches, PKI, Bootloader, Smart-Home-Assistenten, intelligente Schlösser und Kameras, vernetztes Spielzeug, Health Wearables. | Selbstbewertung nur wenn harmonisierte Normen oder ein Zertifizierungsschema angewendet werden; andernfalls Bewertung durch Dritte. |
| Wichtig Klasse II (Anhang III) |
Hypervisoren und Container-Engines, Firewalls, Intrusion Detection and Prevention Systems (IDS/IPS), manipulationssichere Mikroprozessoren und Mikrocontroller, industrielle Steuerungssysteme, die für NIS2-Einrichtungen kritisch sind. | Dritter obligatorisch EU-Baumusterprüfung (B+C) oder umfassende Qualitätssicherung (H). |
| Kritisch (Anhang IV, 3 Kategorien) |
Hardware-Geräte mit Sicherheitsmodulen (HSM), Smart-Meter-Gateways und sichere Kryptoprozessoren, Smartcards und Sicherheitselemente. | Zertifizierung Europäische Cybersicherheitszertifizierung (EUCC) mindestens auf der Stufe „erheblich“, sofern von der Kommission gefordert. |
Die richtige Klassifizierung des Produkts ist die erste strukturelle Entscheidung des Konformitätsprojekts: Von ihr hängen Kosten, Fristen und die Notwendigkeit ab, eine benannte Stelle zu beauftragen. Die Durchführungsverordnung (EU) 2025/2392 ist heute die maßgebliche Referenz dafür, da sie die allgemeinen Kategorien aus Anhang III durch präzise technische Beschreibungen ersetzt.
Und dies hat eine praktische Konsequenz mit eigenem Zeitplan: Wenn ein Produkt aus Ihrem Portfolio in die wichtige Klasse II oder kritisch fällt, benötigen Sie einen Dritten. Die benannten Stellen sind seit Juni 2026 einsatzbereit, aber ihre Kapazitäten sind begrenzt und die Nachfrage wird sich mit Herannahen des Dezembers 2027 konzentrieren.
Sie wissen nicht, in welche CRA-Kategorie Ihre Produkte fallen? Wir zeigen Ihnen, wie Sie diese inventarisieren, klassifizieren und ihre Anforderungen auf der Plattform abbilden.
Fordern Sie eine Demo anSanktionen bei Nichteinhaltung des Cyber Resilience Act
Das Sanktionsregime des CRA ist in drei Stufen gegliedert, nach dem üblichen Kriterium des europäischen Rechts: der höhere Betrag zwischen einem Festbetrag und einem Prozentsatz des weltweiten Vorjahresumsatzes.
| Art des Verstoßes | Höchstsanktion |
|---|---|
| Nichteinhaltung der wesentlichen Anforderungen aus Anhang I – Cybersicherheitseigenschaften des Produkts und Schwachstellenmanagement – sowie der Pflichten aus den Artikeln 13 und 14 (Herstellerpflichten und Meldung). | 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. |
| Nichteinhaltung jeder anderen Verpflichtung aus der Verordnung (Importeure, Händler, Bevollmächtigte, benannte Stellen). | 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. |
| Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen gegenüber benannten Stellen oder Marktüberwachungsbehörden. | 5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes. |
Über das Bußgeld hinaus können die Marktüberwachungsbehörden den Rückruf des Produkts verlangen, dessen Vermarktung untersagen oder die Verfügbarkeit einschränken. Für einen Hersteller wiegt dieses kommerzielle Risiko oft schwerer als die finanzielle Sanktion. Ein relevanter Aspekt für kleinere Unternehmen: Kleinst- und Kleinunternehmen drohen keine Bußgelder speziell bei Nichteinhaltung der 24-Stunden-Frist für die Frühwarnung, obwohl sie ansonsten alle Pflichten behalten.
In Prioritäten übersetzt: Das Hauptrisiko konzentriert sich auf den oberen Bereich – Anforderungen aus Anhang I und Meldepflichten –, genau den Arbeitsblock, den wir im zweiten Teil dieses Leitfadens behandeln.
Wie kann eine GRC-Software bei der Einordnung des CRA helfen?
Bei GlobalSuite Solutions betrachten wir den CRA als das, was er wirklich ist: eine Herausforderung für Governance, Risiko und Compliance mit festen gesetzlichen Fristen, nicht nur eine Tabelle mit technischen Anforderungen. Und alles beginnt mit der Einordnung, die wir in diesem Artikel durchlaufen haben. Unsere Plattform GlobalSuite® ermöglicht es, das Inventar der Produkte mit digitalen Elementen und deren Komponenten zu erstellen, die Rolle der Organisation für jedes einzelne zu erfassen – Hersteller, Importeur oder Händler, unter Berücksichtigung der Eigenmarke –, sie gemäß den Anhängen III und IV sowie der Durchführungsverordnung 2025/2392 zu klassifizieren und daraus den Konformitätsweg sowie die verbindlichen Termine für jedes Produkt abzuleiten. Auf dieser Basis werden die Rückverfolgbarkeit jeder gesetzlichen Anforderung bis hin zu einer Kontrolle, einem Verantwortlichen und einem Nachweis, die Verfolgung des Aktionsplans mit Ablaufwarnungen sowie das Multi-Standard-Mapping mit NIS2, ISO 27001, IEC 62443, DORA oder dem ENS verwaltet, sodass ein Nachweis für mehrere Rahmenwerke dient. Das Ergebnis ist ein zentrales Dashboard über den Compliance-Status und das Restrisiko, bereit für Audits oder eine Inspektion durch die Marktüberwachungsbehörde.
Häufig gestellte Fragen zum Cyber Resilience Act
Wann tritt der Cyber Resilience Act in Kraft?
Die Verordnung (EU) 2024/2847 ist seit dem 10. Dezember 2024 in Kraft, aber ihre Anwendung erfolgt schrittweise. Die Bestimmungen über benannte Stellen gelten seit dem 11. Juni 2026, die Meldepflichten für Schwachstellen und Vorfälle ab dem 11. September 2026 und die übrigen Verpflichtungen – wesentliche Anforderungen, Konformitätsbewertung und CE-Kennzeichnung – ab dem 11. Dezember 2027.
Für welche Produkte gilt der CRA?
Für alle in der EU vermarkten Produkte mit digitalen Elementen, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Verbindung zu einem Gerät oder einem Netz beinhaltet: vernetzte Hardware, Software, Anwendungen, Betriebssysteme und die damit verbundenen Lösungen zur Fernverarbeitung von Daten. Ausgenommen sind Medizinprodukte, Kraftfahrzeuge, die Zivilluftfahrt, Schiffsausrüstung, freie Software ohne Geschäftstätigkeit sowie Verteidigungs- oder nationale Sicherheitsprodukte.
Betrifft der CRA Produkte, die bereits auf dem Markt sind?
Ja, in einem spezifischen Punkt und mit sofortiger Wirkung: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die ab dem 11. September 2026 verbindlich sind, gelten auch für bereits vermarktete Produkte, ohne Übergangsfrist oder Ausnahme aufgrund des Alters. Die wesentlichen Anforderungen aus Anhang I und die CE-Kennzeichnung gelten hingegen für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Was passiert, wenn ich ein von einem anderen Hersteller gefertigtes Produkt unter meiner eigenen Marke verkaufe?
Sie sind dann kein Importeur oder Händler mehr, sondern gelten im Sinne der Verordnung in jeder Hinsicht als Hersteller. Dasselbe gilt, wenn Sie ein bereits vermarktes Produkt wesentlich verändern. Dies bedeutet die Übernahme des vollständigen Pflichtenpakets: Anforderungen aus Anhang I, Risikoanalyse, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenmanagement und Meldung. Dies ist der erste Punkt, der bei jeder internen Bewertung zu prüfen ist, da er den tatsächlichen Umfang des Projekts bestimmt.
Benötige ich eine benannte Stelle, um mein Produkt zu zertifizieren?
Das hängt von der Klassifizierung ab. Standardprodukte werden durch interne Kontrolle selbst bewertet. Wichtige Produkte der Klasse I können nur dann selbst bewertet werden, wenn harmonisierte Normen oder ein europäisches Zertifizierungsschema angewendet werden; andernfalls ist ein Dritter erforderlich. Wichtige Produkte der Klasse II erfordern immer eine Bewertung durch eine benannte Stelle, und für kritische Produkte aus Anhang IV kann eine europäische Cybersicherheitszertifizierung verlangt werden.
Welche Sanktionen sieht der CRA vor?
Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes bei Nichteinhaltung der wesentlichen Anforderungen aus Anhang I und der Pflichten aus den Artikeln 13 und 14; bis zu 10 Millionen oder 2 % bei den übrigen Pflichten; und bis zu 5 Millionen oder 1 % bei Bereitstellung unrichtiger oder irreführender Informationen gegenüber den Behörden. Es wird immer der höhere Betrag angewendet, zudem kann der Rückruf des Produkts vom Markt angeordnet werden.
Der Cyber Resilience Act macht Cybersicherheit zur Bedingung für den Zugang zum europäischen Markt für jedes vernetzte Produkt, mit der CE-Kennzeichnung als Nachweis und Sanktionen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes. Er verpflichtet Hersteller, Importeure und Händler – wobei Eigenmarkenverkäufer als Hersteller zählen –, mit begrenzten Ausnahmen für Sektoren, die bereits über eine gleichwertige Gesetzgebung verfügen.
Der Zeitplan lässt wenig Spielraum: Drei Meilensteine sind bereits abgelaufen, der 11. September 2026 für die Meldepflichten – auch für bereits vermarktete Produkte – und der 11. Dezember 2027 für den Rest. Die beiden Entscheidungen, die alles andere ordnen, sind die Bestimmung Ihrer Rolle und die Klassifizierung des Portfolios gemäß den Anhängen III und IV: Daraus ergeben sich Kosten, Fristen und die Notwendigkeit einer benannten Stelle.
Nachdem die Einordnung geklärt ist, folgt als nächster Schritt die technische und dokumentarische Arbeit: So erfüllen Sie den Cyber Resilience Act: Anforderungen aus Anhang I, Meldung und Fahrplan.
Inventarisieren und klassifizieren Sie Ihr Produktportfolio auf einer einzigen Plattform
Inventar von Produkten mit digitalen Elementen und Komponenten, Erfassung der Rolle pro Produkt, Klassifizierung gemäß den Anhängen III und IV, verbindliche Termine pro Produkt und Multi-Standard-Mapping mit NIS2 und ISO 27001. Wir zeigen es Ihnen anhand eines realen Falls.
Fordern Sie eine Demo an
