Cyber Resilience Act (CRA): Definition, Pflichten, Fristen

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Hardware und Software festlegt, die auf dem europäischen Markt angeboten wird. Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt der Europäischen Union veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten. Ihr Kerngedanke lautet, dass digitale Produkte über ihren gesamten Lebenszyklus sicher sein müssen, von der Entwicklung über die Auslieferung bis zur laufenden Pflege mit Sicherheitsupdates.

Als Verordnung gilt der Cyber Resilience Act unmittelbar in allen EU-Mitgliedstaaten, ein nationales Umsetzungsgesetz ist nicht erforderlich. Cybersicherheit wird damit zur Voraussetzung für den Marktzugang, ähnlich wie es Produktsicherheitsregeln für Maschinen oder Spielzeug seit Langem sind. Sichtbares Zeichen ist die CE-Kennzeichnung, die künftig auch die Einhaltung der Cybersicherheitsanforderungen bestätigt.

Wen betrifft der Cyber Resilience Act?

Der CRA gilt für Produkte mit digitalen Elementen. Darunter versteht die Verordnung Software- oder Hardwareprodukte einschließlich ihrer Lösungen zur Datenfernverarbeitung, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Erfasst sind damit vernetzte Hardware wie Router, Firewalls oder Smart-Home-Geräte ebenso wie reine Softwareprodukte, etwa Buchhaltungssoftware, mobile Apps oder Computerspiele.

Die Pflichten treffen in erster Linie die Hersteller, also die Unternehmen, die ein Produkt entwickeln oder entwickeln lassen und unter eigenem Namen vermarkten. Daneben nimmt die Verordnung Importeure und Händler in die Pflicht, die nur konforme Produkte auf den Markt bringen beziehungsweise anbieten dürfen. Der Sitz des Herstellers spielt keine Rolle, entscheidend ist die Bereitstellung auf dem EU-Markt.

Ausgenommen sind Produktbereiche, für die bereits eigene Sicherheitsregulierung existiert, etwa Medizinprodukte oder Kraftfahrzeuge. Ebenfalls nicht erfasst sind nicht kommerzielle Open-Source-Software sowie Software, die eine öffentliche Verwaltung ausschließlich für den Eigenbedarf entwickelt oder anpasst.

Welche Pflichten legt der CRA fest?

Die Anforderungen des Cyber Resilience Act lassen sich in vier Blöcke gliedern:

• Security by Design und Security by Default
  Produkte müssen von Beginn an sicher konzipiert, entwickelt und mit sicheren Voreinstellungen ausgeliefert werden. Grundlage ist eine Risikobewertung, die der Hersteller dokumentiert und aktuell hält.
• Schwachstellenmanagement
  Hersteller müssen Schwachstellen über den gesamten Supportzeitraum systematisch erfassen, bewerten und beheben. Dazu gehören eine Software Bill of Materials über alle enthaltenen Komponenten, ein Prozess zur koordinierten Offenlegung von Schwachstellen und kostenlose Sicherheitsupdates. Wie ein solcher Prozess in der Praxis aufgebaut wird, beschreibt der Glossar-Eintrag Schwachstellenmanagement.
• Melde- und Informationspflichten
  Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen binnen 24 Stunden mit einer Frühwarnung und binnen 72 Stunden mit einer detaillierteren Meldung angezeigt werden. Nutzer sind über Vorfälle und verfügbare Gegenmaßnahmen zu informieren.
• Konformitätsbewertung und CE-Kennzeichnung
  Vor dem Marktstart durchläuft jedes Produkt eine Konformitätsbewertung, je nach Kritikalität als Selbsteinschätzung oder unter Beteiligung einer benannten Stelle. Erst danach dürfen CE-Kennzeichnung und Verkauf erfolgen, begleitet von technischer Dokumentation und verständlichen Nutzerinformationen.

Für Unternehmen, die Software einsetzen oder beschaffen, sind diese Pflichten ein Baustein der eigenen IT-Compliance, denn sie liefern nachvollziehbare Kriterien für die Auswahl von Produkten und Dienstleistern.

Zeitplan: Ab wann gilt der Cyber Resilience Act?

Die Verordnung tritt gestaffelt in Anwendung. Die wichtigsten Daten im Überblick:

• 10. Dezember 2024: Inkrafttreten der Verordnung
• 11. Juni 2026: Geltungsbeginn der Regeln für die Notifizierung von Konformitätsbewertungsstellen (Kapitel IV der Verordnung)
• 11. September 2026: Geltungsbeginn der Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Artikel 14)
• 11. Dezember 2027: Vollständige Geltung aller übrigen Pflichten

Ab dem 11. Dezember 2027 dürfen nur noch Produkte mit digitalen Elementen neu auf den EU-Markt gebracht werden, die die Anforderungen erfüllen. Das Bundesamt für Sicherheit in der Informationstechnik stellt dazu Informationen für Hersteller bereit und begleitet die Umsetzung in Deutschland. Wer Software entwickelt, die 2027 oder später ausgeliefert wird, sollte die Anforderungen daher bereits heute in Entwicklungsprozesse und Verträge einplanen.

Cyber Resilience Act und NIS-2: Was ist der Unterschied?

Beide Regelwerke stammen aus der EU-Cybersicherheitsstrategie, setzen aber an unterschiedlichen Stellen an. Die NIS-2-Richtlinie ist eine Betreiberregulierung. Sie verpflichtet Unternehmen und Einrichtungen in kritischen und wichtigen Sektoren, ihre eigene Organisation abzusichern, von Risikomanagement über Lieferkettensicherheit bis zu Meldeprozessen. Was das konkret bedeutet, erklärt die Kompetenzseite zur NIS-2-Richtlinie.

Der Cyber Resilience Act ist dagegen eine Produktregulierung. Er verpflichtet die Hersteller der Produkte, die in diesen Organisationen zum Einsatz kommen. Beide Regelwerke ergänzen sich damit. Ein Energieversorger muss als NIS-2-Einrichtung seinen Betrieb absichern und profitiert zugleich davon, dass die eingekaufte Software künftig CRA-konform entwickelt, dokumentiert und mit Updates versorgt wird.

Was bedeutet der Cyber Resilience Act für Individualsoftware?

Der CRA knüpft an die Bereitstellung auf dem Markt an. Gemeint ist die entgeltliche oder unentgeltliche Abgabe eines Produkts zum Vertrieb oder zur Verwendung auf dem EU-Markt im Rahmen einer Geschäftstätigkeit. Bei kommerzieller Standardsoftware, die an viele Kunden vertrieben wird, ist die Einordnung eindeutig. Ob Software, die individuell für einen einzelnen Auftraggeber entwickelt wird, im Einzelfall als solches Produkt gilt, beantwortet der Verordnungstext nicht ausdrücklich. Ausdrücklich ausgenommen ist nur die Konstellation, dass eine öffentliche Verwaltung Software ausschließlich für den Eigenbedarf entwickelt oder anpasst.

Für Auftraggeber ist die formale Einordnung allerdings nur die halbe Wahrheit. Individualsoftware baut fast immer auf Komponenten von Drittherstellern auf, die ihrerseits unter den CRA fallen, und Anforderungen wie Security by Design, eine gepflegte Komponentenliste und geregelte Sicherheitsupdates sind unabhängig von der Rechtsfrage sinnvolle Vergabe- und Vertragskriterien. Welche Fragen Unternehmen und Behörden ihrem Dienstleister dazu stellen sollten, behandelt der Beitrag Cyber Resilience beim Kauf von Individualsoftware.

Cyber Resilience Act und TenMedia

TenMedia entwickelt als Softwareagentur aus Berlin individuelle Softwarelösungen nach Security-by-Design-Prinzipien und betreut Anwendungen nach dem Go-live im Rahmen von Maintenance- und Support-Leistungen, inklusive Monitoring und laufender Sicherheitsupdates. Damit sind zentrale Anforderungen abgedeckt, die der Cyber Resilience Act an moderne Softwareprodukte stellt. Fragen zur sicheren Umsetzung eines konkreten Projekts beantworten wir gern per E-Mail oder telefonisch unter +49(0) 30 5 490 650-0.