Cyber Resilience Act (CRA): Neue IT-Sicherheitspflichten für Unternehmen ab dem 11. September 2026
Wer Produkte mit digitalen Elementen auf dem EU-Markt anbietet, muss sich auf neue Cybersicherheitsanforderungen einstellen: Der CRA (Verordnung (EU) 2024/2847) verpflichtet Hersteller, Importeure und Händler zu weitreichenden Sicherheitsmaßnahmen. Bereits ab dem 11. September 2026 – und damit deutlich vor der vollständigen Anwendbarkeit ab Dezember 2027 – müssen Unternehmen Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen fristgerecht melden können. Bis dahin bleibt wenig Zeit, um die dafür nötigen Prozesse und Zuständigkeiten aufzubauen.
Der CRA legt ein Mindestmaß an Cybersicherheit für Produkte mit digitalen Elementen fest. Hintergrund sind zunehmende Cyberbedrohungen und die wachsende Vernetzung von Produkten. Der CRA gilt zusätzlich zur NIS-2-Richtlinie, die organisationsbezogen kritische Infrastrukturen adressiert und zum Cybersecurity Act. Es ist also möglich, dass Unternehmen mehrere neue Gesetze erfüllen müssen.
Wir geben Ihnen im Folgenden einen Überblick über den Anwendungsbereich des CRA, die Produktklassen sowie die zentralen inhaltlichen Pflichten für Unternehmen.
- Anwendungsbereich – Wer und Was ist vom CRA erfasst?
Der CRA richtet sich an alle Wirtschaftsakteure entlang der Lieferkette eines Produkts mit digitalen Elementen. Auch Hersteller außerhalb der EU müssen die Anforderungen erfüllen, sobald sie ihre Produkte auf dem EU-Markt anbieten. Unerheblich dabei ist, ob das Produkt verkauft oder unentgeltlich bereitgestellt wird.
Sachlich erfasst sind „Produkte mit digitalen Elementen“ (PmdE), also Produkte einschließlich ihrer Datenfernverarbeitungslösungen, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. Darunter fallen sowohl
- Hardwareprodukte mit digitalen Elementen (etwa Smartphones, Smarthome-Geräte oder Smart-Meter-Gateways), als auch
- reine Softwareprodukte (etwa Buchhaltungssoftware, Computerspiele oder mobile Apps).
- Einbezogen sind zudem Remote-Datenverarbeitungslösungen, die die Funktionalität eines PmdE erst ermöglichen (etwa die zugehörige mobile App eines IoT-Geräts).
Nicht vom CRA erfasst sind nicht-kommerzielle Open-Source-Software sowie eigenständige Websites und Cloud-Dienste (wie etwa SaaS), soweit diese nicht mit dem PmdE verbunden sind. Darüber hinaus nimmt der CRA einige Produktkategorien vollständig aus (Art. 2 Abs. 2 – 4, 7 CRA): Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Produkte der zivilen Luftfahrt sowie der Schiffsausrüstung und Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt wurden.
- Welche Produktkategorien fallen unter den CRA?
Die Verordnung unterscheidet zwischen Standardprodukten, wichtigen Produkten der Klasse I und II sowie kritischen Produkten. Maßgeblich für diese Einordnung ist das jeweilige Cybersicherheitsrisiko des Produkts.
Kritische Produkte sind etwa Hardwaregeräte mit Sicherheitsboxen, Smartcards einschließlich Secure Elements. Wichtige Produkte der Klasse II sind beispielsweise Firewalls oder manipulationssichere Mikroprozessoren. Der Klasse I werden unter anderem Passwortmanager oder internetfähiges Spielzeug zugeordnet. Demgegenüber gehören alltägliche Produkte wie Smartphones oder Saugroboter regelmäßig zu den Standardprodukten.
Die Produktklassifizierung wirkt sich insbesondere auf das Verfahren der Konformitätsbewertung (Art. 32 CRA) aus. Alle erfassten Produkte müssen eine Konformitätsbewertung aufweisen, jedoch gibt es Unterschiede bei den Maßnahmen. Für Standardprodukte ist grundsätzlich eine interne Fertigungskontrolle (Selbstbewertung) vorgesehen. Auch bei wichtigen Produkten der Klasse I kann dieses Verfahren in Betracht kommen, sofern harmonisierte europäische Normen vollständig angewendet werden. Für wichtige Produkte der Klasse II und kritische Produkte gelten dagegen regelmäßig strengere Konformitätsbewertungsverfahren unter Einbeziehung einer notifizierten Stelle.
Verfügt ein Produkt bereits über eine EU-Konformitätserklärung oder ein Zertifikat aus einem europäischen Cybersicherheitszertifizierungssystem nach dem Cybersecurity Act (CSA) kann es unter den Voraussetzungen des Art. 27 Abs. 8 CRA eine Konformitätsvermutung begründen.
Die CE-Kennzeichnungspflicht trifft dabei alle PmdE gleichermaßen (Art. 29, 30 CRA). Ist die Konformität mit den jeweils geltenden Anforderungen nachgewiesen, muss der Hersteller oder sein Bevollmächtigter die CE-Kennzeichnung vor dem Inverkehrbringen anbringen. Sie bringt nach außen die Konformität des Produkts mit den Anforderungen des CRA zum Ausdruck.
- Zeitlicher Anwendungsbereich der Cybersicherheitsanforderungen
Die Umsetzung der Pflichten erfolgt gestaffelt:
- 9.2026: Meldepflichten für Schwachstellen und Sicherheitsvorfälle werden verbindlich.
- 12.2027: Sämtliche CRA-Anforderungen müssen bei neu in Verkehr gebrachten Produkten eingehalten werden.
Für Unternehmen, deren Produkte der Klasse II oder den kritischen Produkten zuzuordnen sind, ist zudem eine Fremdbewertung durch eine notifizierte Konformitätsbewertungsstelle (KBS) erforderlich. Solche Stellen können sich seit dem 11.6.2026 notifizieren lassen.
- Zentrale Inhalte des CRA
Der CRA beinhaltet einen Pflichtenkatalog, der sich in drei Phasen gliedert:
- Vor Markteinführung (Art. 13 Abs. 1 CRA): Risikobewertung, Umsetzung von „Security by Design/Default“, Software Bill Of Materials (SBOM), technische Dokumentation, Nutzerinformationen, Konformitätsbewertung sowie EU-Konformitätserklärung und CE-Kennzeichnung.
- Während der Nutzungsdauer (Art. 13 Abs. 8 CRA): Schwachstellenmanagement, unverzügliche kostenlose Sicherheitsupdates, Coordinated Vulnerability Disclosure – jeweils für die Dauer des Unterstützungszeitraums (i.d.R. min. 5 Jahre) sowie Aufbewahrung der Dokumentation über mindestens zehn Jahre.
- Meldepflichten bei Schwachstellen und Sicherheitsvorfällen (Art. 14 CRA, bereits ab 11.9.2026): Frühwarnung binnen 24 Stunden, detaillierte Meldung binnen 72 Stunden sowie Abschlussbericht binnen 14 Tagen bzw. einem Monat – jeweils über zentrale Meldeplattformen der ENISA; betroffene Nutzer sind zusätzlich zu informieren. Die Pflicht gilt unabhängig davon, ob das Produkt bereits vollständig CRA-konform ausgestaltet ist.
- Folgen bei Verstößen (Art. 64 CRA): Bußgelder bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, daneben Marktbeschränkungen und Produktrückrufe.
Die Einhaltung harmonisierter Normen soll künftig eine Konformitätsvermutung nach Art. 27 CRA begründen. Die Konformität ist bis dahin anderweitig nachzuweisen, etwa orientiert an der technischen Richtlinie des BSI.
Für Kleinst-, kleine und mittlere Unternehmen (zur Begriffsbestimmung siehe Art. 3 der RL (EU) 2013/34 in der Fassung der Delegierten RL (EU) 2023/2775) sowie Start-ups sieht Art. 33 CRA ausdrückliche Erleichterungen vor, etwa vereinfachte technische Dokumentation, Schulungsangebote und finanzielle Förderung über das EU-Programm „Digitales Europa“.
- Fazit und Empfehlung
Mit dem CRA schafft die EU erstmals einen einheitlichen Cybersicherheitsrahmen. Wer PmdE in der EU anbietet, muss die Anforderungen erfüllen, unabhängig von Unternehmensgröße oder Sitz. Auf die betroffenen Unternehmen kommen damit erhebliche und teilweise weitreichende Pflichten zu – während des gesamten Produktlebenszyklus und im Umgang mit Sicherheitsvorfällen.
Zeitlich vorrangig ist die Meldepflicht ab dem 11.9.2026 zu beachten. Sie gilt unabhängig von der Produktklasse für alle Produkte mit digitalen Elementen und lässt sich nicht kurzfristig herstellen. Wer jetzt beginnt, sollte zunächst Zuständigkeiten festlegen, das eigene Produktportfolio auf CRA-Relevanz prüfen und einen belastbaren Prozess für Sicherheitsvorfälle mit klaren Meldewegen zu CSIRT und ENISA aufbauen.
Die vollständige Anwendung der übrigen Pflichten ab dem 11.12.2027 verschafft zwar noch etwas Vorlauf, doch auch hier lohnt sich frühzeitiges Handeln: Sicherheitsanforderungen wie „Security by Design” lassen sich nachträglich kaum noch wirtschaftlich in bestehende Produkte integrieren. Wer schon jetzt eine Risikobewertung durchführt, die eigene Produktgestaltung überprüft und die technische Dokumentation vorbereitet, schafft zugleich die Grundlage dafür, die kurzfristige Meldepflicht fristgerecht zu erfüllen, vermeidet empfindliche Bußgelder und verschafft sich einen Wettbewerbsvorteil gegenüber Anbietern, die erst kurz vor der Frist reagieren.
Wir unterstützen Sie gerne dabei, Ihre Produkte und Prozesse auf CRA-Konformität zu prüfen und die erforderlichen Maßnahmen praxisnah umzusetzen. Für Rückfragen und eine individuelle Beratung stehen wir Ihnen gerne zur Verfügung.
Ihre Ansprechpartner im IT-Sicherheitsrecht:
Dr. Matthias Lachenmann
Tel.: +49 221 / 270 956 – 180; E-Mail: matthias.lachenmann@bho-legal.com
Dr. Jana Jentzsch
Tel.: +49 221 / 270 956 – 270; E-Mail: jana.jentzsch@bho-legal.com
Dr. Philip Lüghausen
Tel.: +49 221 / 270 956 – 210; E-Mail: philip.lueghausen@bho-legal.com