Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

Was ist der Cyber Resilience Act? Die CRA einfach erklärt

9 Min. Lesezeit

Auf dieser Seite
  1. Warum die EU ihn erlassen hat
  2. Was er erfasst
  3. Wer was tun muss
  4. Die grundlegenden Anforderungen
  5. Produktklassen
  6. Meldungen an die ENISA
  7. Wichtige Termine
  8. Bußgelder
  9. Wie der CRA zu anderen Gesetzen passt
  10. Wo Sie anfangen
  11. Wie Provetry hilft
  12. Quellen

Der Cyber Resilience Act (CRA), auf Deutsch Cyberresilienz-Verordnung, ist das Gesetz der Europäischen Union zur Cybersicherheit von Produkten, die Software enthalten. Sein amtlicher Name ist Verordnung (EU) 2024/2847. Er verpflichtet die Unternehmen, die in der EU verkaufte Hardware- und Softwareprodukte herstellen, sie sicher zu konzipieren, sich um ihre Schwachstellen zu kümmern, solange die Produkte unterstützt werden, und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle den Behörden zu melden.

Er ist eine Verordnung, keine Richtlinie: Derselbe Text gilt unmittelbar in jedem Mitgliedstaat, ohne nationale Umsetzung. Die Mitgliedstaaten regeln nur, welche Behörden ihn durchsetzen; in Deutschland ist das BSI als Marktüberwachungsbehörde vorgesehen.

Warum die EU ihn erlassen hat

Zwei Probleme, wie die Kommission es bei ihrem Vorschlag 2022 formulierte: Zu viele vernetzte Produkte kommen mit schwacher Sicherheit auf den Markt, und Käufer können nicht erkennen, welche sicher sind. Sicherheitsupdates gab es oft nur kurz oder gar nicht. Der CRA beantwortet beides, indem er Sicherheit zur Voraussetzung für den Verkauf in der EU macht, so wie es die elektrische Sicherheit bereits ist, und die CE-Kennzeichnung als Nachweis hinzufügt.

Was er erfasst

Der CRA gilt für Produkte mit digitalen Elementen: Hardware und Software sowie ihre separat verkauften Komponenten, die sich direkt oder indirekt mit einem Gerät oder einem Netz verbinden. Dazu gehören installierbare Software, Mobil-Apps, Firmware, vernetzte Geräte aller Art, einzeln verkaufte Bibliotheken und SDKs sowie die Datenfernverarbeitung, die ein Produkt zum Funktionieren braucht.

Nicht erfasst sind:

  • reine Software as a Service, es sei denn, sie ist das Backend eines Produkts;
  • freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird;
  • Produkte, für die bereits eigene EU-Vorschriften gelten: Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge, Zivilluftfahrt, Schiffsausrüstung;
  • Produkte, die nur für die nationale Sicherheit oder Verteidigung oder zur Verarbeitung von Verschlusssachen hergestellt werden.

Unser Leitfaden Gilt der CRA für Ihr Produkt? geht jeden Test durch.

Wer was tun muss

Hersteller tragen die Hauptlast (Artikel 13). Wenn sie ein Produkt in Verkehr bringen, und während seines Unterstützungszeitraums, müssen sie:

  1. seine Cybersicherheitsrisiken bewerten und es so konzipieren, dass es die grundlegenden Anforderungen aus Anhang I erfüllt;
  2. seine Schwachstellen während des Unterstützungszeitraums behandeln, in der Regel mindestens fünf Jahre, mit kostenlosen Sicherheitsupdates;
  3. die technische Dokumentation erstellen (Anhang VII), einschließlich einer Software-Stückliste;
  4. die passende Konformitätsbewertung durchführen, eine EU-Konformitätserklärung unterzeichnen und die CE-Kennzeichnung anbringen;
  5. den Nutzern klare Informationen geben: eine Anlaufstelle für Schwachstellen, das Enddatum der Unterstützung, Anleitungen für den sicheren Gebrauch.

Einführer und Händler prüfen, dass die Produkte, die sie verkaufen, diese Pflichten erfüllen, und verkaufen sie nicht weiter, wenn das nicht der Fall ist. Ein Einführer oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke verkauft, und jeder, der es wesentlich ändert, wird zu seinem Hersteller.

Verwalter quelloffener Software, also Stiftungen und Organisationen, die Open-Source-Projekte für die kommerzielle Nutzung unterstützen, haben eine eigene, leichtere Regelung: eine Cybersicherheitsstrategie, Zusammenarbeit mit den Behörden und einige Meldepflichten.

Die grundlegenden Anforderungen

Anhang I ist das Herzstück der Verordnung. Teil I nennt die Sicherheitseigenschaften des Produkts: keine bekannten ausnutzbaren Schwachstellen bei der Bereitstellung, eine sichere Standardkonfiguration, Sicherheitsupdates, Zugriffskontrolle, Verschlüsselung, Integrität, Datenminimierung, Widerstandsfähigkeit, eine begrenzte Angriffsfläche, Protokollierung und eine Möglichkeit für Nutzer, ihre Daten zu löschen. Teil II beschreibt den Umgang mit Schwachstellen: eine SBOM, zügige Korrekturen, regelmäßige Tests, öffentliche Hinweise, eine Strategie für die koordinierte Offenlegung von Schwachstellen, eine Kontaktadresse und eine sichere Verteilung von Updates.

Wir gehen sie einzeln durch in Anhang I, Anforderung für Anforderung.

Produktklassen

Die meisten Produkte gehören zur Standardkategorie, und ihr Hersteller bewertet die Konformität allein. Produkte, deren Versagen weiterreichende Folgen hätte, sind als wichtig (Klasse I oder II, Anhang III) oder kritisch (Anhang IV) aufgeführt: Betriebssysteme, Browser, Passwortmanager, VPNs, Router, smarte Schlösser und Sicherheitskameras sind Klasse I; Firewalls, Hypervisoren und manipulationssichere Chips sind Klasse II; Chipkarten und Smart-Meter-Gateways sind kritisch. Je höher die Klasse, desto stärker ist ein Dritter beteiligt, eine notifizierte Stelle.

Meldungen an die ENISA

Seit dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen melden, gleichzeitig an das als Koordinator benannte nationale CSIRT und an die ENISA, über die einheitliche Meldeplattform der ENISA: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die deren Sicherheit beeinträchtigen. Die Uhr ist knapp: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und später ein Abschlussbericht. Diese Pflicht gilt bereits für jedes Produkt auf dem Markt, nicht nur für neue. Siehe die Meldeuhr.

Wichtige Termine

  • 10. Dezember 2024: Der CRA tritt in Kraft.
  • 11. Juni 2026: Die Vorschriften über notifizierte Stellen gelten.
  • 11. September 2026: Die Meldepflichten gelten.
  • 11. Dezember 2027: Alles Übrige gilt, einschließlich der grundlegenden Anforderungen und der CE-Kennzeichnung.

Den vollständigen Kalender, mit den Übergangsregeln für bereits verkaufte Produkte, finden Sie in unserer CRA-Zeitleiste.

Bußgelder

Jeder Mitgliedstaat setzt den CRA über seine Marktüberwachungsbehörde durch, die auch die Rücknahme oder den Rückruf von Produkten anordnen kann. Die Verordnung legt die Höchstbeträge der Geldbußen fest:

Verstoß Höchste Geldbuße
Grundlegende Anforderungen, Pflichten des Herstellers und Meldungen 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes
Sonstige Pflichten (Einführer, Händler, CE-Kennzeichnung, Erklärung …) 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden 5 Mio. € oder 1 % des weltweiten Jahresumsatzes

Es gilt jeweils der höhere Betrag. Gegen Kleinst- und kleine Unternehmen kann allein wegen einer versäumten 24-Stunden-Frühwarnung keine Geldbuße verhängt werden, und gegen Verwalter quelloffener Software überhaupt keine.

Wie der CRA zu anderen Gesetzen passt

Der CRA betrifft Produkte. Die NIS-2-Richtlinie betrifft die Einrichtungen, die wesentliche und wichtige Dienste erbringen: Sie regelt, wie diese ihre eigenen Netze absichern und Sicherheitsvorfälle melden. Ein Unternehmen kann unter beide fallen: unter den CRA für das, was es verkauft, unter NIS-2 für seinen Betrieb. Funkgeräte unterliegen bereits Cybersicherheitsanforderungen aus einem delegierten Rechtsakt zur Funkanlagenrichtlinie, der seit August 2025 gilt; die Kommission dürfte diesen Rechtsakt für die vom CRA erfassten Produkte aufheben oder einschränken.

Wo Sie anfangen

  1. Listen Sie Ihre Produkte auf und prüfen Sie, ob der CRA gilt, für jedes einzeln und in welcher Klasse.
  2. Bereiten Sie sich schon jetzt auf Meldungen vor: Kennen Sie Ihre Komponenten, überwachen Sie sie auf ausgenutzte Schwachstellen, üben Sie die 24-Stunden-Frühwarnung.
  3. Veröffentlichen Sie eine Offenlegungsstrategie und eine security.txt als Kontaktstelle.
  4. Bauen Sie die technische Akte Version für Version auf, beginnend mit einer SBOM.

Wie Provetry hilft

Provetry erstellt die SBOM jeder Version, überwacht jede Komponente auf neue und ausgenutzte Schwachstellen, startet die Meldeuhr mit Entwürfen für die ENISA, entwirft Ihre Offenlegungsstrategie und bewahrt die Nachweise und die Dokumentation auf, die der CRA verlangt.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen