Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

Gilt der Cyber Resilience Act für Ihr Produkt?

8 Min. Lesezeit

Auf dieser Seite
  1. 1. Ist es ein „Produkt mit digitalen Elementen“?
  2. 2. Stellen Sie es im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereit?
  3. 3. Reines SaaS: meist nicht erfasst
  4. 4. Gilt bereits ein anderes EU-Produktrecht?
  5. 5. In welcher Klasse ist Ihr Produkt?
  6. 6. Sind Sie der Hersteller?
  7. Was gilt, und ab wann
  8. Wo Sie anfangen
  9. Quellen

Die Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847, der „CRA“) legt Cybersicherheitsregeln für fast jedes Produkt fest, das Software enthält und in der Europäischen Union verkauft wird. Ihre Meldepflichten gelten seit dem 11. September 2026; die meisten übrigen Pflichten gelten ab dem 11. Dezember 2027. Dieser Leitfaden geht die Fragen durch, die entscheiden, ob sie für Sie gilt und wie schwer Ihre Pflichten wiegen.

Wenn Sie lieber ein paar Fragen beantworten als lesen, nutzen Sie unseren kostenlosen Check.

1. Ist es ein „Produkt mit digitalen Elementen“?

Der CRA erfasst Hardware- und Softwareprodukte sowie ihre separat verkauften Komponenten, deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. In der Praxis umfasst das:

  • installierbare Software und Mobil-Apps;
  • vernetzte Geräte, von Kameras und Routern bis zu Industriesensoren und Spielzeug;
  • Firmware sowie Softwarekomponenten wie Bibliotheken oder SDKs, die Sie einzeln verkaufen;
  • die Datenfernverarbeitung, die ein Produkt zum Funktionieren braucht, etwa das Cloud-Backend eines vernetzten Geräts.

Ein Produkt, das sich nie mit etwas verbindet, weder direkt noch indirekt, fällt nicht unter den CRA.

2. Stellen Sie es im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereit?

Der CRA gilt, wenn ein Produkt auf dem EU-Markt in Verkehr gebracht wird, egal wo der Hersteller sitzt. Ein Unternehmen außerhalb der EU, das an Kunden in der EU verkauft, fällt darunter.

Die „Geschäftstätigkeit“ ist für Open-Source-Software entscheidend. Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, fällt nicht darunter. Sobald Open Source monetarisiert oder in ein verkauftes Produkt eingebaut wird, treffen die Pflichten denjenigen, der dieses Produkt in Verkehr bringt. Organisationen, die Open-Source-Projekte für die kommerzielle Nutzung systematisch unterstützen („Verwalter quelloffener Software“), haben eine eigene, leichtere Regelung, und gegen sie können nach dem CRA keine Geldbußen verhängt werden.

3. Reines SaaS: meist nicht erfasst

Software, die nur als Dienst über das Netz angeboten wird, fällt in der Regel nicht unter den CRA; für das Unternehmen, das sie betreibt, kann die NIS-2-Richtlinie gelten. Die Ausnahme ist eine Datenfernverarbeitung, die zu einem Produkt gehört: Das Backend eines vernetzten Geräts oder einer installierten App ist Teil dieses Produkts.

4. Gilt bereits ein anderes EU-Produktrecht?

Einige Produkte haben bereits eigene Cybersicherheitsregeln und sind ausgenommen, insbesondere:

  • Medizinprodukte und In-vitro-Diagnostika;
  • Kraftfahrzeuge und ihre Systeme, die unter die Typgenehmigungsvorschriften fallen;
  • Erzeugnisse der Zivilluftfahrt, die nach den EU-Vorschriften zur Flugsicherheit zertifiziert sind;
  • Schiffsausrüstung;
  • Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt werden.

Ersatzteile, die gleiche Komponenten eines Produkts ersetzen, sind ebenfalls ausgenommen.

5. In welcher Klasse ist Ihr Produkt?

Die meisten Produkte gehören zur Standardkategorie. Der Hersteller bewertet die Konformität dann selbst (interne Kontrolle, „Modul A“).

Einige Produkte sind als wichtig oder kritisch aufgeführt, weil eine Schwachstelle in ihnen weiterreichende Folgen hätte:

Kategorie Beispiele aus den Anhängen Wie die Konformität bewertet wird
Standard Die meisten Apps, Spiele, Bürosoftware, Verbrauchergeräte ohne aufgeführte Sicherheitsfunktion Selbstbewertung
Wichtig, Klasse I Betriebssysteme, Browser, Passwortmanager, VPNs, Router und Modems, Identitäts- und Zugangsverwaltung, smarte Türschlösser, Sicherheitskameras, Babyphones, Spielzeug mit sozialer Interaktion oder Ortungsfunktion Selbstbewertung nur, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema anwenden; sonst eine notifizierte Stelle
Wichtig, Klasse II Hypervisoren und Container-Laufzeitumgebungen, Firewalls, Systeme zur Angriffserkennung und -abwehr, manipulationssichere Mikroprozessoren und Mikrocontroller Eine notifizierte Stelle oder ein Zertifizierungsschema
Kritisch Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten und Sicherheitselemente Eine notifizierte Stelle oder, wo verlangt, eine europäische Cybersicherheitszertifizierung

Die genauen Listen stehen in den Anhängen III und IV der Verordnung und in der Durchführungsverordnung (EU) 2025/2392, die jede Kategorie technisch beschreibt. Freie und quelloffene Produkte der Klassen I und II dürfen sich selbst bewerten, wenn ihre technische Dokumentation öffentlich ist.

6. Sind Sie der Hersteller?

Die schwersten Pflichten treffen den Hersteller: wer das Produkt entwickelt oder herstellt oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet. Einführer und Händler haben eigene, leichtere Prüfpflichten. Wenn Sie das Produkt eines anderen Unternehmens unter Ihrer Marke verkaufen oder es wesentlich ändern, gelten Sie als Hersteller.

Was gilt, und ab wann

Datum Was sich ändert
10. Dezember 2024 Der CRA tritt in Kraft
11. Juni 2026 Die Vorschriften über notifizierte Stellen gelten
11. September 2026 Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle an die ENISA (Artikel 14), auch für bereits auf dem Markt befindliche Produkte
11. Dezember 2027 Alles Übrige: grundlegende Anforderungen, Umgang mit Schwachstellen, SBOM, technische Dokumentation, CE-Kennzeichnung. Vor diesem Datum in Verkehr gebrachte Produkte müssen sie nur erfüllen, wenn sie danach wesentlich geändert werden

Seit September 2026 startet eine aktiv ausgenutzte Schwachstelle eine Uhr: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur verfügbar ist. Unser Leitfaden zur Meldeuhr erklärt jeden Schritt.

Geldbußen können für die grundlegenden Anforderungen und die Meldepflichten 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Gegen Kleinst- und kleine Unternehmen kann wegen einer versäumten 24-Stunden-Frist keine Geldbuße verhängt werden, die Meldepflicht gilt für sie aber trotzdem.

Wo Sie anfangen

  1. Erstellen Sie eine Liste Ihrer Produkte und prüfen Sie jedes anhand der obigen Fragen.
  2. Notieren Sie für jedes erfasste Produkt seine Klasse und wie Sie die Konformität bewerten werden.
  3. Erstellen Sie eine Software-Stückliste, damit Sie wissen, was in jedem Produkt steckt. Unser SBOM-Leitfaden erklärt, was der CRA erwartet.
  4. Richten Sie das Meldeverfahren jetzt ein: Die Uhr läuft seit dem 11. September 2026.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung. Lesen Sie für Grenzfälle die Leitlinien der Kommission und fragen Sie Ihre Anwältin oder Ihren Anwalt.

Quellen