CRA-Pflichten für Hersteller: Rollen, Verfahren und Fristen
Welche CRA-Pflichten Hersteller wirklich treffen
CRA-Pflichten sind die Anforderungen, die der Cyber Resilience Act, die Verordnung (EU) 2024/2847, an Hersteller von Produkten mit digitalen Elementen stellt. Sie umfassen sichere Konzeption, sichere Voreinstellungen, eine dokumentierte Risikobewertung, technische Dokumentation, ein laufendes Schwachstellenmanagement mit kostenlosen Sicherheitsupdates, Meldungen an ENISA und das zuständige CSIRT sowie die Konformitätsbewertung vor der CE-Kennzeichnung.
Der Preis für Versäumnisse ist bezifferbar. Die Verordnung erlaubt Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, gestaffelt nach Art des Verstoßes. Betroffen ist jedes Produkt mit digitalen Elementen auf dem EU-Markt.
Wann ein Unternehmen selbst zum Hersteller wird
Hersteller im Sinne der Cyberresilienz-Verordnung ist nicht allein, wer entwickelt. Nach Artikel 21 gilt als Hersteller auch ein Einführer oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt. Artikel 22 zieht denselben Schluss für jeden, der ein bereits in Verkehr gebrachtes Produkt wesentlich ändert und danach bereitstellt. Die CRA-Pflichten folgen damit aus dem Handeln, nicht aus dem Selbstverständnis. Was das für die Einkaufsseite bedeutet, zeigt der Beitrag zu Cyber Resilience beim Kauf von Individualsoftware.
Vier Auslöser der Herstellerrolle
Die Herstellerrolle entsteht durch einen Vorgang am Produkt, nicht durch Erklärung. Sie trifft deshalb Unternehmen, die ein zugekauftes System anpassen und unter eigenem Label ausliefern. Wie sich die Rollenfrage in das IT-Sicherheitsmanagement einordnet, hängt vom Reifegrad der Prozesse ab. Die CRA-Pflichten für Hersteller greifen in diesen Fällen:
❗ Vertrieb eines fremden Produkts unter eigenem Namen oder eigener Marke
❗ wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt
❗ Bereitstellung des geänderten Produkts, entgeltlich oder unentgeltlich
❗ Einführer und Händler in beiden Fällen, nach Artikel 13 und 14
Security by Default im Auslieferungszustand
Der CRA verlangt Produkte, die im Lieferzustand sicher konfiguriert sind. Voreinstellungen, die Komfort über Schutz stellen, gefährden damit die CRA-Konformität. Das betrifft vor allem die Authentifizierung in Unternehmenssoftware, also getrennte Zugänge statt gemeinsamer Werkskennungen, dazu abgeschaltete Fernwartungspfade und eine Dokumentation, die jede Abweichung begründet. Diese CRA-Anforderungen entstehen in der Architektur, nicht im Abnahmetest. Ohne diese Grundlage lassen sich die CRA-Pflichten später nur mit Umbau erfüllen.
Produktklasse entscheidet über die CRA-Konformität
Die Verordnung sortiert Produkte mit digitalen Elementen in drei Gruppen, und daraus folgt das Bewertungsverfahren. Diese Weiche bestimmt Aufwand, Kosten und Zeitplan der CRA-Konformität stärker als jede andere Einzelfrage. Sie gehört an den Anfang der Planung, nicht in die Abnahme. In der individuellen Softwareentwicklung entscheidet die Einordnung über Architektur, Testtiefe und Dokumentationsumfang, also über die CRA-Pflichten im Projektplan.
Welche Bewertung gilt für welche Produktklasse
Standardprodukte darf der Hersteller selbst als CRA-konform bewerten. Dazu zählen nach Darstellung der Kommission Speicherchips, mobile Apps und Computerspiele. Wichtige Produkte nach Anhang III, etwa Betriebssysteme, Router und Firewalls, sind in Klasse I und II unterteilt. Kritische Produkte nach Anhang IV wie Smartcards, sichere Elemente und Smart-Meter-Gateways bilden die dritte Gruppe. Die Einordnung entscheidet, ob eine Selbstbewertung genügt. Die technischen Produktkategorien regelt die Durchführungsverordnung (EU) 2025/2392, eine zweite Rechtsquelle neben den CRA-Pflichten.
Wann eine benannte Stelle zwingend wird
Bei kritischen Produkten nach Anhang IV ist eine notifizierte Stelle nach Angabe der Europäischen Kommission in jedem Fall verpflichtend. Bei wichtigen Produkten hängt es davon ab, ob harmonisierte Normen angewandt wurden. Ohne solche Normen wird eine benannte Stelle obligatorisch, mit ihnen bleibt in Klasse I die Selbstbewertung möglich. Eine CRA-Zertifizierung durch eine benannte Stelle ersetzt die Herstellerpflichten nicht, sie bestätigt nur die geprüfte Konformität mit dem CRA.
Welche Unterlagen die CRA-Konformität belegen
Am Ende steht die EU-Konformitätserklärung, mit der der Hersteller die Verantwortung trägt. Die CRA-Konformität trägt nur, wenn die Unterlagen dahinter vollständig und aktuell sind. Diese Nachweise belegen die CRA-Anforderungen:
- Risikobewertung über den gesamten Produktlebenszyklus
- technische Dokumentation nach den Vorgaben der Verordnung
- eine CRA-SBOM über alle enthaltenen Komponenten
- dokumentierter Prozess zur koordinierten Offenlegung von Schwachstellen
Die Angabe des Unterstützungszeitraums bindet den Hersteller an einen vereinbarten Betrieb mit laufenden Sicherheitsupdates. Ohne diese Zusage sind die CRA-Pflichten nur auf dem Papier erfüllt.
Welche Fristen die CRA-Pflichten im Betrieb setzen
Die CRA-Pflichten für Hersteller werden ab dem 11. September 2026 erstmals operativ, dann gelten die Meldepflichten aus Artikel 14 der Cyberresilienz-Verordnung. Sie greifen bei aktiv ausgenutzten Schwachstellen und bei schwerwiegenden Sicherheitsvorfällen. Die Fristen laufen in Stunden, nicht in Wochen, unabhängig davon, ob eine Korrektur schon bereitsteht. Zusammengefasst wirken die Cyber-Resilience-Act-Pflichten in zwei Stufen. Die Verordnung ist seit dem 10. Dezember 2024 in Kraft und ab dem 11. Dezember 2027 vollständig anwendbar.
Die Meldekette in vier Schritten
Der CRA verlangt keine einzelne Meldung, sondern eine Kette. Zwei laufen in Stunden, zwei nach Bereitstellung einer Abhilfe. Voraussetzung ist ein laufendes Schwachstellenmanagement, das Lücken erkennt. Nach Artikel 14 und den Angaben des BSI gilt:
- Frühwarnung unverzüglich, in jedem Fall innerhalb von 24 Stunden
- detaillierte Meldung unverzüglich, in jedem Fall innerhalb von 72 Stunden
- Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Abhilfe
- Abschlussbericht bei Sicherheitsvorfällen innerhalb eines Monats nach der Meldung
Ohne gepflegte Komponentenliste sind diese CRA-Pflichten kaum einzuhalten, weil die Betroffenheitsprüfung länger dauert als die erste Frist.
An wen gemeldet wird
Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die Meldeplattform nach Artikel 16. Diese Kette ist von der Betreiberseite zu trennen. Meldungen nach NIS-2 betreffen den Betrieb einer Einrichtung, die CRA-Pflichten betreffen das Produkt und seinen Hersteller. Beide Wege können denselben Vorfall auslösen und laufen trotzdem getrennt.
Was die Cyberresilienz-Verordnung im Betrieb fordert
Nach Artikel 13 Absatz 8 legt der Hersteller einen Unterstützungszeitraum fest, der die erwartete Nutzungsdauer des Produkts abbildet. Er beträgt mindestens fünf Jahre. Kürzer darf er nur ausfallen, wenn die erwartete Nutzungsdauer selbst unter fünf Jahren liegt. In dieser Zeit sind Sicherheitsupdates kostenlos bereitzustellen und Schwachstellen zu behandeln. Ein Unterstützungszeitraum ohne Budget für Wartung ist eine Zusage ohne Deckung. Für das SBOM-Format gibt das BSI mit BSI TR-03183 eine Vorgabe, die die CRA-Compliance nachprüfbar macht.
Aufsicht und Durchsetzung in Deutschland
Die CRA-Verordnung gilt unmittelbar, ein Umsetzungsgesetz braucht es nicht. Häufig wird sie dennoch als CRA-Richtlinie bezeichnet, was die Rechtslage verkehrt. Erforderlich ist ein Durchführungsgesetz, das Zuständigkeiten und Sanktionen national verankert. Das Bundesamt für Sicherheit in der Informationstechnik soll darin Marktüberwachungsbehörde und notifizierende Behörde werden. Es flankiert die CRA-Compliance mit BSI TR-03183. Damit entscheidet eine deutsche Behörde über die Prüfung der CRA-Pflichten, nicht eine europäische Stelle.
Nationale Durchführung der Cyberresilienz-Verordnung
Das Vorhaben trägt den amtlichen Titel Gesetz zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, kurz Gesetz zur Durchführung der Cyberresilienz-Verordnung. Es steckt im parlamentarischen Verfahren, verkündet ist es nicht. Der Verfahrensstand im August 2026:
-
- April 2026, Beschluss des Bundeskabinetts
-
- Mai 2026, Regierungsentwurf als Bundestagsdrucksache 21/6134
-
- Juni 2026, erste Lesung im Bundestag und Ausschussverweis
-
- Juni 2026, Stellungnahme des Bundesrates ohne Einwendungen (21/6512)
Bis zur Verkündung des Gesetzes zur Durchführung der Cyberresilienz-Verordnung bleiben die CRA-Pflichten selbst unverändert anwendbar.
Wo TenMedia bei der Umsetzung ansetzt
TenMedia entwickelt Individualsoftware und betreibt sie nach dem Go-live, mit Monitoring, Komponentenpflege und Sicherheitsupdates. Dabei entstehen die Nachweise, die die CRA-Pflichten verlangen, von der Komponentenliste bis zur belegbaren Reaktionszeit im Schwachstellenfall. Wie belastbar ein Dauerbetrieb aussieht, zeigt der Betrieb und die Wartung einer hochverfügbaren Plattform. Konformitätsbewertung und EU-Konformitätserklärung bleiben Sache des Herstellers und der benannten Stellen, TenMedia übernimmt weder eine CRA-Zertifizierung noch eine rechtliche Bewertung der CRA-Konformität.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.
