Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, auch Cyberresilienzgesetz, offiziell Verordnung (EU) 2024/2847 oder kurz CRA ist die Antwort der EU auf eine simple, aber unbequeme Realität: Vernetzte Produkte – von der Smart-Home-Kamera bis zur industriellen Steuerungssoftware – sind oft unzureichend gegen Cyberangriffe abgesichert. Der CRA schreibt deshalb erstmals EU-weit verbindlich vor, dass Cybersicherheit von Anfang an in die Produktentwicklung eingebaut werden muss – bekannt als „Security by Design“. Das betrifft sowohl Hardware als auch Software mit digitalen Elementen, sofern diese eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk aufweisen und in der EU in Verkehr gebracht werden.
Verpflichtet werden Hersteller, Importeure und Händler solcher Produkte. Die Pflichten decken den gesamten Produktlebenszyklus ab: sichere Entwicklung, Sicherheitsupdates über die erwartete Nutzungsdauer, technische Dokumentation und die Meldung von Sicherheitsvorfällen.
CRA vs. NIS-2 – nicht verwechseln
Die EU hat zwei zentrale Cybersicherheits-Regelwerke, die gerne durcheinandergebracht werden. Die Faustregel: Der CRA schaut aufs Produkt, NIS-2 schaut auf den Betrieb. Der CRA reguliert digitale Produkte auf dem EU-Markt – egal, wie groß der Hersteller ist. NIS-2 verpflichtet dagegen Organisationen in kritischen Sektoren zu Sicherheitsmaßnahmen im eigenen Betrieb. Wer einen Onlinedienst betreibt, statt ein Produkt zu verkaufen, bewegt sich in der NIS-2-Logik – nicht im CRA.
Weitere Informationen zur NIS-2-Richtlinie findest du in unserem Blogbeitrag NIS-2 und Domains: Was Inhaber und Registrare in der DACH-Region jetzt wissen müssen.
Der Zeitplan im Überblick
- 10. Dezember 2024: Die Verordnung ist in Kraft getreten.
- 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle beginnen.
- 11. Dezember 2027: Sämtliche Anforderungen gelten verbindlich – inklusive CE-Kennzeichnung, technischer Dokumentation und Konformitätsbewertung. Produkte ohne CRA-Konformität dürfen ab dann nicht mehr in der EU in Verkehr gebracht werden.
Besonders die Meldepflicht ab September 2026 hat es in sich: Wer von einer aktiv ausgenutzten Schwachstelle oder einem schweren Sicherheitsvorfall erfährt, muss innerhalb von 24 Stunden eine erste Frühwarnung an die europäische Cybersicherheitsagentur ENISA absetzen. Eine detaillierte Hauptmeldung folgt spätestens nach 72 Stunden, später ein Abschlussbericht. Für diese Meldungen wird eine zentrale Meldeplattform eingerichtet, die sogenannte Single Reporting Platform – dort finden sich bereits Factsheets und Anleitungen zur Registrierung und Einreichung.
Bin ich als Unternehmen betroffen? Der Selbst-Check
Da der CRA als EU-Verordnung unmittelbar gilt, sind Unternehmen in Deutschland und allen anderen EU-Mitgliedstaaten direkt in der Pflicht – eine Ausrede über fehlende nationale Umsetzung gibt es nicht. Entscheidend ist aber nicht die bloße Unternehmensgröße oder Branche, sondern was konkret angeboten wird. Prüfe deshalb, in welche der folgenden Kategorien dein Unternehmen fällt.
Du betreibst eine Website oder einen Onlineshop
Gute Nachricht vorweg: Deine Website oder dein Shop ist selbst kein Produkt im Sinne des CRA. Das Betreiben einer Website – auch mit vielen Besucher:innen und Kund:innen – ist kein „Inverkehrbringen“ eines Produkts mit digitalen Elementen. Eine Steuerberatungskanzlei mit Firmenwebsite, ein Restaurant mit Reservationsformular oder ein Möbelgeschäft mit Onlineshop sind vom CRA nicht direkt betroffen.
Entscheidend ist jedoch, was über den Shop verkauft wird: Dienstleistungen, Beratung oder physische Produkte ohne Digitalanteil (Kleider, Möbel, Lebensmittel) sind unkritisch. Das gilt auch für Elektrogeräte ohne Netzwerk- oder App-Anbindung – der einfache Lautsprecher fällt nicht unter den CRA, sein Bluetooth-Pendant hingegen schon. Ebenfalls unkritisch sind digitale Inhalte wie E-Books, Musik- oder Foto-Downloads: Inhalte sind keine Produkte mit digitalen Elementen. Verkaufst du hingegen vernetzte Hardware oder Software, lies den nächsten Abschnitt aufmerksam.
Du verkaufst Produkte mit digitalen Elementen
Hier greift der CRA – und zwar unabhängig von der Unternehmensgröße. Betroffen sind zwei Rollen:
Als Hersteller, wenn du eigene Produkte entwickelst und auf den EU-Markt bringst: Software, WordPress-Plugins oder Themes, Desktop- und Mobile-Apps, smarte Geräte, vernetzte Sensoren. Sie tragen die vollen CRA-Pflichten – von Security by Design über Sicherheitsupdates bis zur CE-Kennzeichnung ab Dezember 2027.
Als Händler, wenn du Produkte anderer Hersteller über deinen Shop verkaufst – etwa Smart-Home-Geräte, IoT-Gadgets oder Software von Drittanbietern. In dem Fall musst du ab Dezember 2027 prüfen, ob die Produkte CE-gekennzeichnet sind und die vorgeschriebene Herstellerdokumentation vorliegt. Stammt das Produkt von einem Hersteller außerhalb der EU – etwa aus Asien, den USA oder der Schweiz –, gehört zu dieser Prüfung auch, ob ein EU-Bevollmächtigter benannt wurde. Nicht-konforme Produkte darfst du dann nicht mehr verkaufen. Dieser Punkt wird gerne übersehen: Auch wer „nur handelt“ und selbst nichts entwickelt, trägt eigene Prüfpflichten.
Du bietest SaaS oder Cloud-Dienste an
Hier wird es differenzierter. Reines SaaS – eine Webanwendung, die Kund:innen im Browser nutzen – gilt grundsätzlich als Dienstleistung und fällt damit nicht unter den CRA, sondern unter die NIS-2-Richtlinie. Anders sieht es aus, wenn die sogenannte Fernverarbeitung integraler Bestandteil eines Produkts ist: Eine App, die ohne ihr Cloud-Backend nicht funktioniert, wird als Einheit betrachtet – und damit CRA-relevant. Die Abgrenzung ist im Einzelfall nicht trivial. Wer hier unsicher ist, sollte die Frage frühzeitig rechtlich abklären lassen, statt sie auf die lange Bank zu schieben.
Du bist Zulieferer
Auch ohne eigenes Endprodukt kannst du den CRA zu spüren bekommen: Wer Software-Komponenten, Bibliotheken oder Module an Hersteller liefert, deren Produkte unter den CRA fallen, wird die Anforderungen vertraglich weitergereicht bekommen – etwa den Nachweis einer Software-Stückliste (SBOM, Software Bill of Materials) oder definierte Sicherheitsprozesse. Für viele Software-KMU ist dies der realistischste Berührungspunkt mit der Verordnung, auch wenn sie selbst nicht direkt reguliert sind. Eine aktuelle Einordnung von Ebner Stolz empfiehlt gerade Zulieferbetrieben eine frühzeitige Betroffenheitsanalyse, um vertragliche Anforderungen ihrer Kund:innen rechtzeitig erfüllen zu können.
Was betroffene Unternehmen beachten müssen
Wer in eine der betroffenen Kategorien fällt, muss folgende Anforderungen erfüllen:
- Security by Design: Produkte müssen ohne bekannte ausnutzbare Schwachstellen und mit sicherer Standardkonfiguration ausgeliefert werden.
- Sicherheitsupdates: kostenlose Updates über den Unterstützungszeitraum, der die erwartete Nutzungsdauer widerspiegelt – in der Regel mindestens fünf Jahre.
- Technische Dokumentation: inklusive einer Software-Stückliste (SBOM), die alle verwendeten Komponenten auflistet – relevant auch für Open-Source-Bausteine, die in fast jeder kommerziellen Software stecken.
- Meldeprozesse: Ab September 2026 muss intern klar sein, wer im Ernstfall was innerhalb von 24 Stunden an wen meldet.
Besonders betroffen sind exportorientierte Branchen wie der Maschinenbau, wo vernetzte Steuerungen und Software längst zum Alltag gehören, wie auch ein Fachartikel von ingenieur.de zum drohenden Verkaufsverbot ab 2027 einordnet. Wie wenig vorbereitet viele Unternehmen aktuell sind, zeigt der IoT & OT Cybersecurity Report 2025 von ONEKEY: Demnach ist nur rund ein knappes Drittel der befragten deutschen Industrieunternehmen mit den CRA-Anforderungen umfassend vertraut, mehr als ein Viertel hat sich mit dem Thema noch gar nicht befasst.
Bei Verstößen drohen Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Erste Schritte: So gehst du es an
- Selbst-Check durchführen: Ordne dein Angebot den vier Kategorien oben zu. Für die meisten Website- und Shop-Betreiber endet die Übung hier.
- Produkt-Inventar erstellen: Falls du betroffen bist: Welche Produkte, Versionen und Software-Komponenten bietest du an?
- Grauzonen klären: SaaS-Konstellationen und Freemium-Modelle mit Open-Source-Anteil frühzeitig rechtlich einordnen lassen.
- Prozesse aufbauen: Meldekette für den 24-Stunden-Fall definieren, Update-Fähigkeit sicherstellen, Dokumentation und SBOM aufsetzen. Von der ersten Bestandsaufnahme bis zur vollständigen Umsetzung kann je nach Ausgangslage gut ein Jahr vergehen – schiebe das Thema daher nicht zu lange vor dir her.
Tipp: Für die konkrete Umsetzung von Security by Design bietet die ENISA mit ihrem Secure-by-Design-and-Default-Playbook eine praxisnahe Orientierungshilfe.
Fazit
Der Cyber Resilience Act ist ein Wendepunkt für die Cybersicherheit digitaler Produkte – aber kein Grund zur generellen Panik. Für die große Mehrheit der KMU in Deutschland mit Website oder Onlineshop besteht kein direkter Handlungsbedarf. Wer hingegen Software, Apps oder vernetzte Hardware verkauft – ob als Hersteller oder Händler –, sollte die verbleibende Zeit bis September 2026 respektive Dezember 2027 nutzen: für eine ehrliche Bestandsaufnahme, die Klärung von Grauzonen und den Aufbau der nötigen Prozesse. Frühzeitig nachweisbare Cybersicherheit ist dabei mehr als Compliance – sie wird zunehmend zum Qualitätsmerkmal im Verkaufsgespräch.
FAQ zum Cyber Resilience Act
Was ist der Cyber Resilience Act (CRA) genau?
Der CRA ist eine EU-Verordnung (2024/2847), die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Sie verpflichtet Hersteller, Importeure und Händler von vernetzter Hardware und Software, die auf den EU-Markt kommen, über den gesamten Produktlebenszyklus.
Ab wann gelten die Pflichten des CRA?
Erste Meldepflichten für ausgenutzte Schwachstellen und schwere Vorfälle greifen ab dem 11. September 2026. Die vollständigen Anforderungen, inklusive CE-Kennzeichnung und Konformitätsbewertung, gelten ab dem 11. Dezember 2027.
Meine Website hat viele Besucher:innen und Kund:innen – bin ich betroffen?
Nein. Eine Website oder ein Onlineshop ist kein Produkt im Sinne des CRA. Das gilt auch, wenn du darüber Dienstleistungen oder physische Produkte ohne Digitalanteil verkaufst.
Ich verkaufe ein WordPress-Plugin oder eine App – bin ich betroffen?
Sehr wahrscheinlich ja. Software, die als Produkt in den EU-Markt gebracht wird, fällt unter den CRA – unabhängig von der Größe deines Unternehmens. Bei Open-Source-Software mit kommerziellem Modell (z. B. Freemium) gelten eigene Abgrenzungsregeln; hier lohnt sich eine rechtliche Einordnung.
Gilt der CRA für mein SaaS-Angebot?
Grundsätzlich nein – reines SaaS gilt als Dienstleistung. Eine Ausnahme besteht, wenn die Cloud-Verarbeitung integraler Bestandteil eines Produkts ist, etwa bei einer App, die ohne ihr Backend nicht funktioniert. Im Zweifel rechtlich abklären.
Was passiert bei Verstößen?
Ab den jeweiligen Stichtagen drohen Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes. Ab Dezember 2027 dürfen nicht-konforme Produkte zudem gar nicht mehr in der EU in Verkehr gebracht werden – faktisch ein Marktausschluss.
