Cyber Resilience Act: Produktsicherheit wird Pflicht

Der CRA erfasst nahezu alle Produkte mit digitalen Elementen – also Hardware und Software, die direkt oder indirekt mit einem Netzwerk verbunden werden können. Dazu gehören Smart-Home-Geräte, industrielle Steuerungen, Softwareanwendungen, Betriebssysteme und IoT-Produkte. Ausgenommen sind unter anderem Medizinprodukte, Fahrzeuge und bestimmte Open-Source-Software ohne kommerzielle Nutzung. Mit unserem kostenlosen CRA Self-Check kannst du deine Betroffenheit in wenigen Minuten prüfen.

Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Umsetzung erfolgt gestaffelt: Ab 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab 11. Dezember 2027 müssen alle neu auf den Markt gebrachten Produkte vollständig CRA-konform sein. Einen detaillierten Zeitplan findest du in unserem CRA-Leitfaden und Umsetzungsfahrplan.

Security by Design bedeutet, dass Cybersicherheit von Beginn an in den Entwicklungsprozess integriert wird – nicht als nachträgliche Ergänzung. Der CRA fordert, dass Produkte so konzipiert werden, dass sie ein angemessenes Sicherheitsniveau bieten, im Auslieferungszustand sicher konfiguriert sind und nur notwendige Funktionen aktiviert haben. Das umfasst sichere Authentifizierung, Verschlüsselung und den Schutz vor bekannten Schwachstellen.

Eine SBOM ist ein maschinenlesbares Verzeichnis aller Softwarekomponenten eines Produkts – einschließlich Open-Source-Bibliotheken und Drittanbieter-Code. Der CRA fordert, dass Hersteller ihre Softwareabhängigkeiten kennen und dokumentieren. Bei Bekanntwerden einer Schwachstelle in einer Komponente kann so schnell ermittelt werden, welche Produkte betroffen sind. Die SBOM ist damit zentral für ein effektives Schwachstellenmanagement.

Importeure müssen vor dem Inverkehrbringen prüfen, ob Produkte die CRA-Anforderungen erfüllen, die CE-Kennzeichnung tragen und die technische Dokumentation vorliegt. Händler müssen auf offensichtliche Nicht-Konformität achten und im Zweifelsfall Produkte nicht vertreiben. Beide müssen bei Kenntnis von Sicherheitsproblemen die Marktüberwachungsbehörden informieren und gegebenenfalls mit dem Hersteller bei Korrekturmaßnahmen kooperieren.

Die Sanktionen sind erheblich: Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen drohen Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Andere Verstöße wie fehlende CE-Kennzeichnung oder mangelhafte Dokumentation können mit bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes geahndet werden. Hinzu kommt das Risiko von Produktrückrufen und Marktverboten.