Cyber Resilience Act: Sicherheit für vernetzte Produkte

Kurz erklärt

Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung über Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“. Gemeint ist Hardware und Software, die sich direkt oder indirekt mit einem Gerät oder Netz verbinden lässt: Router, Kameras, Steuerungen, Industriesensoren, Smart-Home-Geräte, aber auch kommerzielle Software wie Apps, Betriebssysteme oder Firmware. Ausgenommen sind Bereiche mit eigenen Regeln, etwa Medizinprodukte, Fahrzeuge und Luftfahrt.

Der CRA gilt über den ganzen Lebenszyklus. Ein Produkt muss bei Auslieferung die grundlegenden Anforderungen nach Anhang I erfüllen: keine bekannten ausnutzbaren Schwachstellen, sichere Standardeinstellungen, Schutz vor unbefugtem Zugriff, Möglichkeit für Sicherheitsupdates. Danach muss der Hersteller Schwachstellen behandeln und Updates liefern, für einen Supportzeitraum, der in der Regel mindestens fünf Jahre beträgt (Art. 13). Am Ende steht die CE-Kennzeichnung, die künftig auch die Cybersicherheit abdeckt.

Für die meisten Produkte genügt eine Selbstbewertung des Herstellers. Für bestimmte wichtige und kritische Produkte, etwa Firewalls, Netzwerkgeräte oder Smartcards, braucht es je nach Klasse eine harmonisierte Norm oder eine benannte Stelle.

Wen es in Südamerika trifft

Ein Hersteller außerhalb der EU ist Hersteller im Sinne des CRA, sobald sein Produkt auf dem EU-Markt bereitgestellt wird. Ein Unternehmen in Manaus, das Steuerungselektronik an einen Maschinenbauer in Italien liefert, trägt also die Herstellerpflichten, sofern es das Produkt unter eigenem Namen in Verkehr bringt. Es kann einen Bevollmächtigten in der EU benennen (Art. 18), der einzelne Aufgaben übernimmt.

Ebenso betroffen sind Softwarehäuser mit kommerziellen Produkten: eine Buchhaltungs-App aus Santiago, eine Sicherheitssoftware aus Buenos Aires, eine Firmware für Agrarsensoren aus Rosario. Reine Auftragsentwicklung, bei der der EU-Kunde das Produkt unter seinem Namen verkauft, macht den Kunden zum Hersteller. Er wird die Anforderungen dann vertraglich an Sie weitergeben.

Dazu kommt der Weg über den Importeur. Nach Artikel 19 darf ein Einführer nur Produkte in Verkehr bringen, die den Anforderungen entsprechen. Er prüft deshalb, ob Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und Kontaktdaten des Herstellers vorhanden sind. Fehlen sie, kauft er nicht.

Händler haben nach Artikel 20 ähnliche, etwas leichtere Prüfpflichten. Erfährt ein Importeur oder Händler von einer Schwachstelle, muss er den Hersteller informieren. Bei einem ernsten Risiko kann die Marktüberwachung verlangen, dass Produkte zurückgerufen oder vom Markt genommen werden. Für einen Exporteur bedeutet das: Ein Problem bei einem Produkt kann eine ganze Lieferung in einem EU-Lager blockieren.

Fristen

Die Meldepflichten laufen bereits. Erfährt ein Hersteller von einer aktiv ausgenutzten Schwachstelle in seinem Produkt, muss er binnen 24 Stunden eine Frühwarnung abgeben, binnen 72 Stunden eine Meldung und einen Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Abhilfe. Bei schweren Sicherheitsvorfällen gilt für den Abschlussbericht ein Monat. Die Meldungen gehen über die einheitliche Meldeplattform der ENISA (Art. 16), die seit 11.09.2026 in Betrieb ist.

Was EU-Kunden konkret verlangen

• Eine EU-Konformitätserklärung, ab 11.12.2027 für alle Produkte mit digitalen Elementen.
• Die technische Dokumentation mit Risikobewertung und Beschreibung der Sicherheitsmaßnahmen.
• Eine Software-Stückliste (SBOM), die alle Komponenten und Bibliotheken auflistet.
• Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) mit einer Kontaktadresse für Meldungen.
• Die Angabe des Supportzeitraums und einen Nachweis, wie Updates ausgeliefert werden.
• Bei wichtigen oder kritischen Produkten das Ergebnis der vorgeschriebenen Konformitätsbewertung, gegebenenfalls ein Zertifikat einer benannten Stelle.
• Bei Industrieprodukten häufig Nachweise nach der Normenreihe IEC 62443.

Viele Importeure und Händler fragen schon heute danach, obwohl die meisten Pflichten erst Ende 2027 greifen. Sie wollen keine Ware auf Lager haben, die sie danach nicht mehr verkaufen dürfen.

Große Abnehmer schreiben die Anforderungen außerdem in ihre Einkaufsbedingungen: Zusicherung der CRA-Konformität ab einem Stichtag, Meldung von Schwachstellen an den Kunden, Bereitstellung von Updates über eine vereinbarte Mindestdauer und Haftung bei Rückrufen. Lesen Sie diese Klauseln genau, bevor Sie Lieferverträge über das Jahr 2027 hinaus unterschreiben.

Erste Schritte

1. Erstellen Sie eine Liste aller Produkte, die Sie in die EU liefern und die Software enthalten oder sich verbinden lassen.
2. Prüfen Sie für jedes Produkt, ob es in die Klassen wichtiger oder kritischer Produkte fällt (Anhänge III und IV).
3. Richten Sie sofort einen Meldeprozess ein: Wer nimmt Hinweise auf Schwachstellen an, wer bewertet sie, wer meldet binnen 24 Stunden?
4. Erzeugen Sie für jede Produktversion eine SBOM. Viele Build-Werkzeuge können das automatisch.
5. Prüfen Sie, welche Ihrer Systeme aus dem Internet erreichbar sind, etwa Update-Server und Fernwartungszugänge. Werkzeuge wie veyrisk zeigen das von außen.
6. Planen Sie Konformitätsbewertung und Dokumentation so, dass sie vor dem 11.12.2027 fertig sind.

Eine erste Einordnung bietet der kostenlose EU-Readiness-Check.

Bezug zu Zertifikaten

Der CRA verlangt keine Managementsystem-Zertifizierung. Ein Zertifikat nach ISO/IEC 27001 zeigt aber, dass Ihre Entwicklung, Ihre Build-Umgebung und Ihr Umgang mit Vorfällen geregelt sind, und hilft bei den Prozessanforderungen. Ein solches ISMS lässt sich mit Sightadel aufbauen. Den CRA selbst führt Sightadel nicht als eigenes Regelwerk, Aufgaben wie Meldeprozess, SBOM-Pflege und Unterlagen zur Konformitätsbewertung lassen sich dort aber mit Fristen und Nachweisen verwalten. Für Industrieprodukte ist IEC 62443 verbreitet. Zulieferer der Automobilbranche brauchen meist TISAX, auch wenn Fahrzeuge selbst nicht unter den CRA fallen. Ein Qualitätsmanagement nach ISO 9001 erleichtert die Dokumentation. Liefern Sie Produkte an Betreiber kritischer Dienste, kommt NIS2 hinzu, und KI-Funktionen in Produkten fallen auch unter die KI-Verordnung.

Für Hersteller aus Brasilien, wo viel Elektronik und Automatisierungstechnik entsteht, ist der CRA eine der wichtigsten neuen EU-Regeln. Die Anforderungen gelten gleich, ob die Ware über einen Importeur oder direkt an einen Industriekunden geht.

FAQ