Machen Sie Ihre Produkte fit für den Cyber Resilience Act
Anforderungen aus Anhang I, Schwachstellen, Meldungen an die ENISA und die Unterlagen zur CE-Kennzeichnung auf einer Plattform, Produkt für Produkt.
Was der Cyber Resilience Act ist und was er von Ihnen verlangt
Die Verordnung (EU) 2024/2847, die Cyberresilienz-Verordnung, verlangt Cybersicherheit von jedem Produkt mit digitalen Elementen, das in der EU verkauft wird: Software, vernetzte Geräte, Komponenten. Ohne sie gibt es keine CE-Kennzeichnung, und ohne CE-Kennzeichnung kommt das Produkt nicht auf den Markt.
Er verpflichtet vor allem Hersteller, aber auch Einführer und Händler. Und wer ein Produkt unter eigener Marke verkauft, gilt in jeder Hinsicht als Hersteller. Seit dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gemeldet werden, auch für bereits verkaufte Produkte. Alles Weitere gilt ab dem 11. Dezember 2027.
Die Details finden Sie in unserem Leitfaden, was der Cyber Resilience Act ist, und im praktischen Teil, wie Sie ihn erfüllen.
- Rechtsakt
- Verordnung (EU) 2024/2847
- In Kraft
- 10. Dezember 2024
- Meldepflicht
- Seit dem 11. September 2026
- Volle Anwendung
- 11. Dezember 2027
- Sanktionen
- Bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes
1
Rolle und Produkte
Sie klären, ob Sie Hersteller, Einführer oder Händler sind, und stufen jedes Produkt ein.
2
Risiken und Lücken
Sie bewerten das Risiko jedes Produkts und gleichen es mit Anhang I ab.
3
Schwachstellen
SBOM, Patches und fristgerechte Meldungen an die ENISA über den gesamten Support-Zeitraum.
4
CE-Kennzeichnung
Technische Dokumentation, Konformitätsbewertung und EU-Konformitätserklärung.
Wie ein Produkt eingestuft wird
Standard
Die meisten
Der Hersteller bewertet die Konformität selbst.
Klasse I
Wichtig
Passwortmanager, VPN, Router… Harmonisierte Normen oder eine benannte Stelle.
Klasse II
Wichtig
Firewalls, Hypervisoren, Angriffserkennung… Immer mit einer dritten Stelle.
Kritisch
Kritisch
Chipkarten oder Smart-Meter-Gateways. Eine europäische Zertifizierung kann Pflicht werden.
Meldefristen:
24 h · Frühwarnung
72 h · Meldung
14 Tage · Abschlussbericht zur Schwachstelle
1 Monat · Abschlussbericht zum Vorfall
Der CRA in GlobalSuite®
Jedes Produkt mit Einstufung, Anforderungen, Schwachstellen und Unterlagen. Und jede Anforderung verknüpft mit einer Kontrolle, einer verantwortlichen Person und einem Nachweis.
Compliance›Cyber Resilience Act›Produkte
Produktinventar23 Produkte · 7 wichtige
CodeProduktKategorieStatus
PRD-014
Heimrouter R2
Hersteller · Support bis 2032
Klasse IIn BewertungPRD-021
Smart-Home-App
Hersteller · Support bis 2031
StandardKonformPRD-009
Industrie-Gateway G7
Einführer · Support bis 2034
Klasse IILückePRD-030
Outdoor-IP-Kamera
Eigenmarke · Support bis 2031
StandardTeilweiseCompliance›Cyber Resilience Act›Anhang I · Heimrouter R2
13
Anforderungen mit Nachweis
5
Teilweise
3
Ohne Kontrolle
CodeAnforderungVerantwortlichStatus
I.2.b
Sichere Standardkonfiguration
Teil I · Produktanforderungen
ProduktAbgedecktI.2.c
Automatische Sicherheitsupdates
Teil I · Produktanforderungen
FirmwareTeilweiseII.1
SBOM der Komponenten
Teil II · Umgang mit Schwachstellen
PSIRTAbgedecktII.5
Richtlinie zur koordinierten Offenlegung
Teil II · Umgang mit Schwachstellen
CISOOhne KontrolleCompliance›Cyber Resilience Act›Schwachstellen und Meldungen
Schwachstellen und Meldungen9 offen · 1 aktiv ausgenutzt
SchwachstelleVerantwortlichFristStatus
TLS-Bibliothek der Firmware · Router R2 · ausgenutztMIM. Ibáñez72 h · noch 31 hMeldung offen
Frühwarnung an die ENISA · Router R2MIM. Ibáñez24 h · fristgerechtGesendet
Standard-Zugangsdaten · IP-KameraJRJ. RomeroPatch am 4. Nov.In Arbeit
Komponente ohne Support im SBOM · Gateway G7ALA. LeónPrüfung am 20. Nov.In Arbeit
Compliance›Cyber Resilience Act›Mappings
MappingsBewertungen aus anderen Normen übernommen
Anforderung und zugehörige KontrolleStatusStandard
I.2.d · ZugriffskontrolleÜbernommenISO 27001
Art. 14 · Meldung schwerwiegender VorfälleÜbernommenNIS2
I.2.f · Integrität von Daten und SoftwareÜbernommenIEC 62443
II.1 · Komponenten von DrittanbieternPrüfenDrittparteien
Meldungen fristgerecht
Sobald eine Schwachstelle als ausgenutzt markiert ist, laufen die Fristen, und jede Meldung an die ENISA und das CSIRT wird protokolliert.
Ihre Lieferanten inklusive
Die Komponenten im SBOM sind mit dem Modul für Drittparteirisiken verknüpft: Sie wissen, wer jedes Teil liefert und ob es noch Support hat.
Die Unterlagen entstehen von selbst
Risiken, Kontrollen und Nachweise liegen schon in der Plattform. Die technische Dokumentation entsteht dort, nicht in einem losen Ordner.
Der CRA passt zu dem, was Sie schon tun
Cyber Resilience Act
Produkte, Anforderungen aus Anhang I, Schwachstellen, Meldungen und CE-Kennzeichnung.
Sie sind hierNIS2
Die Richtlinie für Organisationen. Der CRA tut dasselbe für die Produkte, die sie verkaufen.
Zur Lösung →ISO 27001
Wenn Sie bereits ein ISMS haben, ist ein guter Teil der CRA-Kontrollen erledigt.
Zur Lösung →Drittparteirisiko
Ihre Lieferanten und die Komponenten, die sie Ihnen verkaufen, bewertet und überwacht.
Zur Lösung →
Häufige Fragen zum Cyber Resilience Act
Betrifft mich das, wenn ich nichts herstelle?
Möglicherweise. Einführer und Händler haben eigene Pflichten, und wer ein Produkt unter eigener Marke verkauft oder wesentlich verändert, wird von der Verordnung als Hersteller behandelt.
Was ist schon Pflicht?
Seit dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gemeldet werden, auch für Produkte, die bereits verkauft wurden. Die Anforderungen aus Anhang I, die Konformitätsbewertung und die CE-Kennzeichnung gelten ab dem 11. Dezember 2027.
Fällt Software as a Service darunter?
Reines SaaS ist ausgenommen, weil NIS2 es abdeckt. Ist der Cloud-Dienst aber Teil der Funktion eines Produkts, etwa die App, die ein Gerät steuert, fällt er als dessen Lösung zur Datenfernverarbeitung darunter.
Wie lange muss ich Support leisten?
So lange, wie das Produkt voraussichtlich genutzt wird, mindestens fünf Jahre, es sei denn, die Nutzungsdauer ist kürzer. In dieser Zeit müssen Sie Schwachstellen beheben und Sicherheitsupdates bereitstellen.
Wie hängt er mit NIS2 zusammen?
Beide ergänzen sich. NIS2 verlangt Cybersicherheit von der Organisation, der CRA von den Produkten, die sie in Verkehr bringt. Viele Maßnahmen überschneiden sich, deshalb bearbeiten Sie sie in GlobalSuite® einmal und sie zählen für beide.
Was ist eine SBOM?
Die Software-Stückliste: die Komponenten und Bibliotheken, die im Produkt stecken. Der CRA verlangt, sie zu führen, damit Sie bei einer neuen Schwachstelle wissen, welche Produkte betroffen sind.
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates, veröffentlicht im Amtsblatt der Europäischen Union.
Ihre Produkte bereit
für den CRA.
Wir zeigen Ihnen Anhang I, Schwachstellen und Meldungen in GlobalSuite®.