Cybersicherheit von Produkten

Was ist der Cyber Resilience Act?

CRA

Der Cyber Resilience Act ist eine EU-Verordnung mit einheitlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Wer solche Produkte in der EU auf den Markt bringt, muss sie sicher entwickeln, Schwachstellen behandeln und über einen festgelegten Zeitraum mit Sicherheitsupdates versorgen.

Sobald dein Unternehmen etwas verkauft, das Software enthält oder sich verbinden lässt, hängt die CE-Kennzeichnung künftig auch daran, wie ihr mit Schwachstellen und Updates umgeht.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Rechtsform: EU-Verordnung, gilt unmittelbar in allen Staaten
Gilt für: Produkte mit digitalen Elementen
Kernpflicht: Sichere Entwicklung, Schwachstellen, Updates
Nachweis: CE-Kennzeichnung nach Konformitätsbewertung

Für welche Produkte er gilt

Erfasst sind Produkte mit digitalen Elementen, also Hardware und Software, deren vorgesehene Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Das reicht vom vernetzten Sensor über die Firmware einer Maschine bis zur verkauften Anwendungssoftware.

Ausgenommen sind Bereiche mit eigenen Regelwerken, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Auch freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird, fällt nicht darunter. Sobald ein Unternehmen sie in ein kommerzielles Produkt einbaut, trägt es dafür aber die Verantwortung.

Pflichten entlang der Lieferkette

Hersteller bestimmen über eine Risikobewertung das nötige Sicherheitsniveau, entwickeln und liefern das Produkt entsprechend aus, führen eine technische Dokumentation und behandeln Schwachstellen über den Unterstützungszeitraum. Dazu gehört eine Stückliste der eingesetzten Softwarekomponenten, meist als SBOM geführt, sowie ein Weg, über den Sicherheitsupdates verlässlich beim Nutzer ankommen.

Importeure und Händler prüfen vor der Weitergabe, ob der Hersteller diese Pflichten erfüllt hat. Wer ein Produkt unter eigenem Namen vertreibt oder wesentlich verändert, rückt selbst in die Herstellerrolle. Das trifft viele Unternehmen, die zugekaufte Produkte mit dem eigenen Etikett versehen oder anpassen, ohne sich als Hersteller zu verstehen.

Hinzu kommen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Dafür braucht es intern eine erreichbare Kontaktstelle und einen geübten Ablauf, nicht nur eine Zuständigkeit auf dem Papier.

CE-Kennzeichnung und Konformitätsbewertung

Der CRA reiht sich in die Produktregulierung der EU ein und arbeitet mit der CE-Kennzeichnung. Für den Großteil der Produkte genügt eine Bewertung durch den Hersteller selbst. Für Kategorien mit höherem Risiko sieht die Verordnung strengere Verfahren vor, bis hin zur Einbindung einer benannten Stelle.

Die Einstufung des eigenen Produkts steht deshalb am Anfang, denn sie bestimmt, wie aufwendig der Nachweis wird und wie viel Vorlauf du einplanen musst.

Zeitplan und erste Schritte

Die Verordnung ist Ende 2024 in Kraft getreten, ihre Pflichten greifen gestaffelt. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.

Der Vorlauf klingt lang, ist es bei langen Entwicklungszyklen aber nicht. Zwei Dinge lohnen sich sofort: eine Bestandsaufnahme, welche eigenen Produkte überhaupt in den Anwendungsbereich fallen, und eine belastbare Komponentenliste je Produkt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Cyber Resilience Act und was oft damit gleichgesetzt wird

Cyber Resilience Act gegen NIS2

NIS2 verpflichtet Betreiber und Organisationen bestimmter Sektoren zu Risikomanagement und Meldewegen. Der CRA setzt eine Ebene tiefer an und regelt die Produkte selbst.

Cyber Resilience Act gegen KI-Verordnung

Die KI-Verordnung regelt Systeme mit künstlicher Intelligenz nach ihrem Risiko. Enthält ein Produkt KI-Funktionen, können beide Regelwerke nebeneinander gelten.

Cyber Resilience Act gegen Produkthaftung

Haftungsregeln greifen, wenn ein Schaden bereits eingetreten ist. Der CRA wirkt davor und beschreibt, wie ein Produkt beschaffen sein und gepflegt werden muss.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Betroffen sind mehr Produkte, als die IT-Abteilung vermutet

Die Verordnung fragt nicht nach der Branche, sondern nach dem Produkt. Eine Maschinensteuerung, ein Ladegerät mit Firmware, eine App, eine kommerziell vertriebene Softwarekomponente: Sobald digitale Elemente drinstecken und die Sache auf dem EU-Markt bereitgestellt wird, greifen die Anforderungen. In vielen Häusern ist deshalb nicht die IT-Abteilung betroffen, sondern die Produktentwicklung und der Vertrieb.

Der Aufwand steckt weniger im einzelnen Produkt als in den Abläufen dahinter: eine Stelle, die Schwachstellenmeldungen entgegennimmt und beantwortet, ein Verfahren, das Sicherheitsupdates auch für ältere Modellreihen ausliefert, und eine Übersicht darüber, welche Fremdkomponente in welchem Produkt steckt. Genau hier wird die SBOM zum Arbeitsmittel statt zur Formalie.

Die Pflichten greifen gestaffelt: Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab dem 11. September 2026, alle übrigen Anforderungen ab dem 11. Dezember 2027. Der Punkt, der die Kalkulation trifft, ist der Unterstützungszeitraum: Wie lange ihr ein Produkt mit Sicherheitsupdates versorgt, entscheidet ihr sinnvollerweise in der Produktplanung und nicht kurz vor dem Marktstart, denn diese Jahre kosten Entwicklungskapazität.

Cyber Resilience Act lernen

Was die Verordnung für Entwicklung, Dokumentation und Meldewege bedeutet, ordnen die Seminare zu IT-Recht und Compliance ein.

Wer Software einkauft, statt sie selbst herzustellen, muss die Anforderungen vertraglich weitergeben; dafür lohnt ein Blick auf die Vertragsmuster für die IT-Beschaffung der öffentlichen Hand .

Kurse, die Cyber Resilience Act behandeln

Häufige Fragen

Gilt der CRA auch für Software, die wir nur intern nutzen?

Der CRA knüpft an das Bereitstellen auf dem Markt an. Software, die du ausschließlich im eigenen Haus einsetzt und nicht vertreibst, fällt nicht darunter. Sobald du sie an Dritte abgibst, sieht die Bewertung anders aus.

Was ist eine SBOM und warum verlangt der CRA sie?

Eine SBOM ist eine maschinenlesbare Stückliste aller Softwarekomponenten eines Produkts samt Versionen. Ohne sie kannst du nach der Meldung einer Schwachstelle in einer verbreiteten Bibliothek nicht beantworten, welche deiner Produkte betroffen sind, und genau diese Antwort verlangt ein funktionierendes Schwachstellenmanagement.

Betrifft der CRA auch Open-Source-Komponenten in unserem Produkt?

Ja, allerdings nicht die Entwicklerinnen und Entwickler der Bibliothek, sondern dich als Hersteller. Für alles, was du einbaust und auslieferst, stehst du gegenüber deinen Kunden gerade.

Quellen