Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Er betrifft viele Hard- und Softwareprodukte, die in der EU in Verkehr gebracht werden, und betrachtet Sicherheit über Planung, Entwicklung, Auslieferung, Betrieb und Supportzeitraum hinweg.

Wer ist betroffen?

Der CRA richtet sich insbesondere an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Dazu zählen Software und Hardware samt Fernverarbeitungslösungen, wenn diese für die Funktion des Produkts erforderlich sind. Für bestimmte bereits sektoral geregelte Produkte, reine nichtkommerzielle Open-Source-Entwicklung und einzelne Produktgruppen gelten besondere Regeln oder Ausnahmen. Die konkrete Einordnung muss am Produkt und Geschäftsmodell erfolgen.

Zentrale Pflichten für Hersteller

• Risikobasierte Sicherheit:
  Cybersecurity-Risikobewertung erstellen und über den Lebenszyklus pflegen.
• Secure by Design und Default:
  Angemessenes Sicherheitsniveau, sichere Voreinstellungen, Schutz von Daten und Angriffsflächenminimierung.
• Vulnerability Handling:
  Schwachstellen identifizieren, dokumentieren, beheben und Sicherheitsupdates bereitstellen.
• Komponenten:
  Abhängigkeiten nachvollziehen; der CRA nennt ausdrücklich eine maschinenlesbare SBOM als Bestandteil der technischen Dokumentation.
• Konformität:
  Technische Dokumentation, passende Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung.

Was muss ab September 2026 gemeldet werden?

Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die CRA Single Reporting Platform melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden nach Kenntnis. Für aktiv ausgenutzte Schwachstellen folgt der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur oder Mitigation; bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Wie sollten Unternehmen sich vorbereiten?

1. Produktportfolio, Rollen und CRA-Anwendbarkeit mit Rechts- und Produktexperten klären.
2. Secure-Development-, Release-, Update- und Supportprozesse mit Verantwortlichkeiten dokumentieren.
3. SBOMs, Schwachstellenmonitoring und risikobasierte Priorisierung je Release etablieren.
4. Eine Meldestelle für Schwachstellen und koordinierte Disclosure-Prozesse betreiben.
5. 24-/72-Stunden-Meldewege mit Produkt, Legal, Management und CSIRT praktisch üben.
6. Nachweise früh sammeln; eine kurz vor 2027 erstellte Dokumentation ersetzt keinen gelebten Lebenszyklus.

Dieser Glossarbeitrag bietet eine technische Orientierung und keine Rechtsberatung. Maßgeblich sind der Verordnungstext, aktuelle Durchführungs- und Delegierte Rechtsakte sowie offizielle Leitlinien.