Mit dem Cyber Resilience Act (VO (EU) 2024/2847) – kurz CRA – hat die Europäische Union erstmals ein verbindliches Cybersicherheitsrahmenwerk für alle Produkte mit digitalen Elementen geschaffen, die auf dem EU-Markt in Verkehr gebracht werden. Das umfasst sowohl Hardware als auch Software: von vernetzten Haushaltsgeräten über Industriesteuerungen bis hin zu Anwendungssoftware und Betriebssystemen. Der CRA schließt damit eine langjährige Regulierungslücke, denn bislang existierten für die Cybersicherheit von Produkten nur branchenspezifische Vorgaben – ein kohärenter, produktübergreifender Mindeststandard fehlte vollständig. Genau das ändert der CRA grundlegend und setzt damit neue Maßstäbe für den gesamten europäischen Binnenmarkt.
Ab dem heutigen 11. Juni 2026 finden die Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen Anwendung. Das bedeutet: Die nationalen Behörden – in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI) – haben ab sofort die erforderlichen Verfahren zur Bewertung, Benennung und offiziellen Notifizierung von Konformitätsbewertungsstellen etabliert und veröffentlicht. Für Hersteller, die ihre Produkte durch externe Stellen zertifizieren lassen müssen oder wollen, ist dieser Meilenstein unmittelbar relevant: Ab jetzt ist klar, welche Stellen dafür offiziell zugelassen sind und welche Anforderungen an ihre Akkreditierung gestellt werden.
Der Cyber Resilience Act verfolgt einen risikobasierten Ansatz und unterscheidet je nach Kritikalität des Produkts zwischen verschiedenen Konformitätspfaden. Die grundlegende Anforderung gilt jedoch für alle Produkte mit digitalen Elementen gleichermaßen: Sie müssen so konzipiert und hergestellt sein, dass sie ein angemessenes Cybersicherheitsniveau aufweisen. Der Gesetzgeber hat dabei konkrete technische Mindestanforderungen festgelegt, die einzuhalten sind, bevor ein Produkt in der EU auf den Markt gebracht werden darf.
Im Kern schreibt der CRA vor, dass Produkte ohne bekannte ausnutzbare Schwachstellen auf den Markt gebracht werden müssen. Das Prinzip der minimalen Angriffsfläche ist verbindlich umzusetzen; Standardkonfigurationen müssen sicher sein, und Sicherheitsupdates müssen während des gesamten Produktlebenszyklus – mindestens jedoch für fünf Jahre – bereitgestellt werden. Darüber hinaus müssen Hersteller ein Schwachstellenmanagement etablieren und nachweisen, dass sie entdeckte Sicherheitslücken systematisch bearbeiten und beheben.
Der CRA teilt Produkte mit digitalen Elementen in drei Kategorien ein, denen unterschiedliche Konformitätspflichten zugeordnet sind. Die Einordnung richtet sich nach dem Sicherheitsrisiko, das von einem Produkt im Fall eines Angriffs ausgehen kann.
Der CRA folgt einem gestaffelten Anwendungsplan. Unternehmen sollten diese Fristen jetzt in ihre Compliance-Roadmap einplanen.
Betroffen sind alle Wirtschaftsakteure, die Produkte mit digitalen Elementen in der EU in Verkehr bringen: Hersteller, Importeure und Händler. Auch Open-Source-Software ist vom CRA erfasst, wenngleich für nicht-kommerzielle Projekte Ausnahmen gelten. Unternehmen, die Open-Source-Komponenten in kommerzielle Produkte einbinden, tragen die volle Verantwortung für die CRA-Konformität des Endprodukts.
Die Sanktionen sind empfindlich: Für Verletzungen der grundlegenden Cybersicherheitsanforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Das BSI als nationale Marktüberwachungsbehörde kann nicht-konforme Produkte vom Markt nehmen, Rückrufe anordnen und den Vertrieb untersagen.
Betroffene Unternehmen sollten jetzt konkrete Maßnahmen ergreifen.
Der Cyber Resilience Act markiert eine Zeitenwende im europäischen Produktrecht. Cybersicherheit wird zur gesetzlichen Pflichtanforderung – vergleichbar mit physischer Produktsicherheit nach dem Produktsicherheitsgesetz. Wer frühzeitig investiert, sichert sich Wettbewerbsvorteile und vermeidet empfindliche Bußgelder.
Haben Sie Fragen zum Cyber Resilience Act oder zu den Cybersicherheitspflichten für Ihre Produkte? Wir von HUFELD PartGmbB beraten Sie umfassend. Nehmen Sie jetzt Kontakt auf.
Sie sind auf der Suche nach einem ganz bestimmten Thema?
.png)
