Cyber Resilience Act (CRA)

Bisher entschied jeder Hersteller selbst, wie sicher ein digitales Produkt sein muss und wie lange es Updates bekommt. Der Cyber Resilience Act macht daraus eine Bedingung für den Zugang zum EU-Markt.
Eine Frau trägt eine kleine Holzkiste, aus der eine gelbgrüne Schnur zu einem riesigen Knäuel am Boden führt. Sinnbild für die Pflichten aus dem Cyber Resilience Act.
© KI-generiert (TenMedia)

Was der Cyber Resilience Act regelt

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 und legt erstmals verbindliche Cybersicherheitsanforderungen für alles fest, was mit digitalen Bestandteilen auf dem EU-Markt angeboten wird. Sie ist am 10. Dezember 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Sicherheit wird damit zur Voraussetzung für den Marktzugang, nachgewiesen über die CE-Kennzeichnung.

Der Grundgedanke reicht über den Verkauf hinaus. Ein Produkt muss über seinen gesamten Lebenszyklus sicher bleiben, von der Entwicklung über die Auslieferung bis zur laufenden Pflege mit Sicherheitsupdates.

Wer betroffen ist

Der Anwendungsbereich hängt am Begriff Produkte mit digitalen Elementen, also an Hard- und Software, die sich direkt oder indirekt mit einem Gerät oder Netzwerk verbinden lässt. Darunter fallen Router und vernetzte Geräte ebenso wie reine Softwareprodukte. Die Pflichten treffen zuerst die Hersteller, daneben Importeure und Händler. Der Firmensitz spielt keine Rolle, maßgeblich ist die Bereitstellung auf dem EU-Markt. Ausgenommen sind Bereiche mit eigener Sicherheitsregulierung, etwa Medizinprodukte, sowie Software, die eine Behörde ausschließlich für den Eigenbedarf entwickelt. Ob und wann ein Auftraggeber durch eigene Anpassungen selbst zum Hersteller wird, klärt die Seite zu Cyber Resilience bei Individualsoftware.

Pflichten und Fristen im Überblick

Vier Blöcke bestimmen die Anforderungen. Produkte müssen von Beginn an sicher entworfen und mit sicheren Voreinstellungen ausgeliefert werden. Schwachstellen sind über den gesamten Supportzeitraum zu erfassen und mit kostenlosen Updates zu beheben, gestützt auf eine gepflegte Komponentenliste. Aktiv ausgenutzte Schwachstellen sind binnen 24 Stunden zu melden. Vor dem Marktstart steht eine Konformitätsbewertung, je nach Kritikalität als Selbsteinschätzung oder unter Beteiligung einer benannten Stelle. Die Fristen laufen gestaffelt, die Meldepflichten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027. Wer nach diesen Daten liefert, plant die Anforderungen deshalb schon heute in Entwicklung und Verträge ein.

Abgrenzung zu NIS-2

Beide Regelwerke stammen aus derselben EU-Strategie, greifen aber an verschiedenen Stellen. NIS-2 reguliert Betreiber, also Einrichtungen in wichtigen Sektoren und deren eigene Absicherung. Der Cyber Resilience Act reguliert dagegen Produkte und damit ihre Hersteller. Für ein Unternehmen bedeutet das beides zugleich, die eigene Organisation nach der Betreiberseite und die eingekaufte Software nach der Produktseite. Im IT-Sicherheitsmanagement laufen die beiden Stränge zusammen, weil dieselben Nachweise für Vergabe, Vertrag und Audit gebraucht werden. Für die Beschaffung heißt das, dass Produkte mit digitalen Elementen künftig einen dokumentierten Nachweis mitbringen müssen.

Aktuelle Themen

Alle Über unsEntwicklungEventsMarketingSonstigesNews & TrendsArbeitswelt & Digitalisierung
Zwei Personen um die dreißig stehen sich vor korallenrotem Grund gegenüber. Links hält eine Frau eine einzelne durchscheinende Belegkarte mit eingravierter Gitterstruktur, rechts sinkt einem Mann ein ganzer Fächer solcher Karten in die offene Hand, die unterste davon gelbgrün. Sinnbild dafür, dass die E-Rechnungspflicht für Vereine zuerst die Eingangsseite trifft und nicht den eigenen Rechnungsausgang.
E-Rechnungspflicht für Vereine: Welcher Stichtag wirklich gilt
Zum 1. Januar 2027 endet eine Übergangsfrist, und in vielen Vereinsrundschreiben steht deshalb, die E-Rechnungspflicht für Vereine beginne jetzt. Für dein eigenes Rechnungsschreiben stimmt das fast sicher nicht. Geld kosten kann die E-Rechnung im Verein trotzdem, und drei Fragen entscheiden darüber.
Weiterlesen... Lesezeit: 6 Min.
Eine junge Frau mit Brille sitzt auf einem Bürostuhl und blickt zu einem gelbgrünen Briefumschlag, der über ihr in einem Kreis aus durchscheinenden digitalen Umschlägen schwebt. Sinnbild für die interaktive E-Mail, in der die Handlung direkt in der Nachricht stattfindet.
Interaktive E-Mail: Die Technik, die Newsletter neu definiert
Die interaktive E-Mail verändert, wie kleine und mittelständische Unternehmen Kunden über das Postfach erreichen. Statt nur Informationen zu senden, werden direkt in der Nachricht konkrete Handlungen möglich, von der Mini-Umfrage bis zur Produktwahl. Unterstützt durch interaktives E-Mail Marketing und Technologien wie AMP Email verkürzt sich der Weg von Interesse zu Aktion deutlich, was gerade im Alltag von KMU spürbare Effekte erzeugen kann.
Weiterlesen... Lesezeit: 6 Min.
Drei offene Türen nebeneinander, hinter jeder derselbe Raum mit demselben Schreibtisch, derselben Lampe und derselben Pflanze. Eine der Türen ist gelbgrün. Ein Sinnbild für viele identische Instanzen derselben Anwendung.
Kubernetes vs. Docker: Was die beiden wirklich unterscheidet
Kubernetes vs. Docker wird oft als Entscheidung zwischen zwei Alternativen dargestellt. Tatsächlich lösen die beiden unterschiedliche Aufgaben und werden in vielen Umgebungen gemeinsam eingesetzt. Dieser Beitrag ordnet ein, was Docker leistet, wo Kubernetes ansetzt und ab wann sich der Aufwand einer vollwertigen Orchestrierung überhaupt rechnet.
Weiterlesen... Lesezeit: 4 Min.