Nora Steddin — Der Cyber Resilience Act (Verordnung (EU) 2024/2847, amtlich Cyberresilienz-Verordnung) (CRA) legt erstmals horizontale Cybersicherheitsanforderungen für vernetzte Produkte mit digitalen Elementen im EU-Binnenmarkt fest. Verpflichtet werden in erster Linie die Hersteller, daneben Einführer und Händler. Die Meldepflichten nach Art. 14 CRA gelten ab dem 11. September 2026, die übrigen Anforderungen im Wesentlichen ab dem 11. Dezember 2027.

Vernetzte Produkte gehören längst zum Unternehmensalltag: vom Router über die Industriesteuerung bis zur Buchhaltungssoftware. Cybersicherheitsanforderungen gab es dafür bislang vor allem sektorbezogen, ein horizontaler und produktübergreifender Rahmen fehlte. Mit dem CRA hat sich das geändert.

Was der CRA bezweckt

Der CRA verfolgt im Wesentlichen vier Ziele:

• einheitliche Cybersicherheitsanforderungen für vernetzte Hard- und Software im EU-Binnenmarkt,
• die Stärkung von Security by Design und Security by Default,
• die Verantwortung der Hersteller für Schwachstellen und Sicherheitsupdates über den gesamten Produktlebenszyklus,
• eine bessere Information der Nutzer über Sicherheitseigenschaften und Unterstützungszeiträume.

Welche Produkte erfasst der CRA?

Nach Art. 2 Abs. 1 CRA gilt die Verordnung für „auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“. Vereinfacht ausgedrückt geht es somit um vernetzte Produkte mit digitalen Elementen.

Der Produktbegriff ist dabei weit zu verstehen. Gemäß Art. 3 Nr. 1 CRA sind Software- und Hardwareprodukte einschließlich getrennt in den Verkehr gebrachter Komponenten umfasst. Die Palette reicht von Smartphones, Smart-Home-Geräten und vernetztem Spielzeug über Mikroprozessoren bis zu reinen Softwareprodukten wie Buchhaltungssoftware oder mobilen Anwendungen (Apps, etc.). Datenfernverarbeitungslösungen werden dem Produkt zugerechnet, soweit sie vom Hersteller oder unter dessen Verantwortung entwickelt wurden und das Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte (vgl. Art. 3 Nr. 2 CRA). Gerade bei SaaS- und Cloud-Angeboten erfordert diese Abgrenzung eine genaue Betrachtung der Produktarchitektur.

Wann liegt eine direkte oder indirekte logische oder physische Datenverbindung vor?

Anknüpfungspunkt ist die Fähigkeit zum Datenaustausch, etwa über Hardware-Schnittstellen, Programmierschnittstellen (APIs), Bluetooth oder eine Internetverbindung. Auf ihrer grundlegendsten Ebene setzt eine Datenverbindung nach Ansicht der EU-Kommission die Übertragung von Informationen in binärer Form voraus, das heißt als Folge von Nullen und Einsen. Das bloße Ein- und Ausschalten eines Ausgangs (Ein/Aus) soll nach Ansicht der EU-Kommission für sich genommen allerdings keine Datenverbindung darstellen, solange diese Zustände weder dazu bestimmt sind, Daten darzustellen, noch von einem digitalen Eingang als Daten gelesen werden. Dasselbe soll gelten, wenn elektrische oder elektronische Signale ausschließlich dazu dienen, eine Funktion zu aktivieren oder Energie bereitzustellen, ohne dabei digital codierte Informationen zu übertragen. Erforderlich ist nach Ansicht der EU-Kommission vielmehr, dass ein Sender digitale Symbole gezielt nach einem definierten Schema erzeugt und ein Empfänger diese als Daten interpretieren kann.

Konkret festgemacht an einem Beispiel bedeutet das Folgendes: Ein einfacher Lichtschalter, der lediglich den Stromkreis zur Lampe schließt, erzeugt und übermittelt selbst keine Information, sondern löst nur unmittelbar eine Funktion aus – unter Zugrundelegung der Ansicht der EU-Kommission sollte daher keine Datenverbindung vorliegen. Anders sollte es bei einem smarten Lichtschalter sein, der den Schaltzustand als codierte Nachricht an eine Smart-Home-Zentrale sendet, die diese Information auswertet: Hier wird bewusst Information erzeugt und übertragen, sodass eine Datenverbindung vorliegt.

Welche Produkte sind ausgenommen?

Nicht jedes vernetzte Produkt mit digitalen Elementen fällt in den Anwendungsbereich. Ausgenommen sind nach Art. 2 Abs. 2 bis 4 CRA vor allem Produkte, für die bereits sektorspezifische Rechtsakte gelten, namentlich unter anderem Medizinprodukte und In-vitro-Diagnostika, Produkte unter der Verordnung (EU) 2019/2144 zur Fahrzeugsicherheit, nach der Verordnung (EU) 2018/1139 zertifizierte Produkte der zivilen Luftfahrt sowie Schiffsausrüstung. Ebenfalls ausgenommen sind Ersatzteile mit identischen Spezifikationen wie die bisher im Produkt enthaltenen Bauteile (vgl. Art. 2 Abs. 6 CRA) , Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder für Verteidigungszwecke entwickelt oder geändert wurden oder Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert wurden (vgl. Art. 2 Abs. 7 CRA).

Bei freier und quelloffener Software ist zu differenzieren. Eine Bereitstellung auf dem Markt setzt nach Art. 3 Nr. 22 CRA eine Abgabe im Rahmen einer Geschäftstätigkeit voraus; fehlt es daran, greift der CRA regelmäßig nicht ein. Für Verwalter quelloffener Software im Sinne des Art. 3 Nr. 14 CRA sieht Art. 24 CRA demgegenüber ein eigenständiges und deutlich reduziertes Pflichtenprogramm vor.

Wer ist Adressat des CRA?

Hauptadressaten sind die Hersteller, deren umfangreiche Pflichten in den Art. 13 und 14 CRA festgelegt werden. Einführer und Händler treffen eigene Prüf- und Informationspflichten nach Art. 19 und Art. 20 CRA. Ein Bevollmächtigter kann nach Art. 18 CRA benannt werden und handelt nach Maßgabe seines Auftrags, wobei zentrale Herstellerpflichten davon ausgenommen sind (Art. 18 Abs. 2 CRA).

Praktisch besonders bedeutsam ist Art. 21 CRA: Ein Einführer oder Händler gilt selbst als Hersteller und unterliegt den Pflichten aus Art. 13 und Art. 14 CRA, wenn er ein vernetztes Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in den Verkehr bringt oder daran eine wesentliche Änderung vornimmt. Nach Art. 22 CRA kann diese Rechtsfolge auch Dritte treffen. Wer Produkte zukauft und unter eigener Marke vertreibt, sollte diese Regelung im Blick behalten und seine Rolle daher frühzeitig klären.

Welche Pflichten treffen Hersteller?

Der Pflichtenkatalog der Hersteller ist umfangreich. Zu den zentralen Anforderungen zählen:

• Konzeption, Entwicklung und Herstellung des vernetzten Produkts mit digitalen Elementen nach den grundlegenden Cybersicherheitsanforderungen des Anhangs I Teil I CRA (vgl. Art. 13 Abs. 1 CRA),
• Durchführung, Dokumentation und Aktualisierung einer Bewertung der Cybersicherheitsrisiken (vgl. Art. 13 Abs. 2 bis 4 CRA),
• Sorgfaltspflichten bei der Integration von Komponenten Dritter (vgl. Art. 13 Abs. 5 und 6 CRA),
• Festlegung und transparente Angabe eines Unterstützungszeitraums (vgl. Art. 13 Abs. 8 und 19 CRA),
• Behandlung von Schwachstellen nach Anhang I Teil II CRA einschließlich der Zurverfügungstellung von Sicherheitsupdates während des Unterstützungszeitraums und der Erstellung einer Software-Stückliste (SBOM) (vgl. Art. 13 Abs. 8 und 9 CRA),
• technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung (vgl. Art. 13 Abs. 12 CRA),
• Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle (vgl. Art. 14 CRA).

Der Unterstützungszeitraum soll dabei die voraussichtliche Nutzungsdauer widerspiegeln und beträgt mindestens fünf Jahre; er kann bei kürzerer erwarteter Nutzung darunter liegen und sollte bei längerer Nutzung aber entsprechend länger bemessen werden (vgl. Art. 13 Abs. 8 CRA).

Die Meldepflichten sind eng getaktet: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, jeweils ab Kenntniserlangung, danach ein Abschlussbericht (vgl. Art. 14 Abs. 2 und 4 CRA).

Standard, wichtig oder kritisch: die Einstufung des Produkts

Der CRA unterscheidet zwischen Standardprodukten, wichtigen Produkten (Anhang III, Klassen I und II) und kritischen Produkten (Anhang IV). Zu den wichtigen Produkten zählen etwa Passwort-Manager, Betriebssysteme und Browser in Klasse I sowie Firewalls und manipulationssichere Mikroprozessoren in Klasse II; als kritisch gelten unter anderem Smart-Meter-Gateways und Chipkarten mit Sicherheitselementen. Weiterführende technische Beschreibungen enthält die Durchführungsverordnung (EU) 2025/2392.

Maßgeblich für die Festlegung, ob ein Produkt als wichtiges oder kritisches Produkt zählt, ist dabei, ob das Produkt die Kernfunktionen einer gelisteten Kategorie aufweist (vgl. Art. 7 Abs. 1, Art. 8 Abs. 1 CRA). Die bloße Integration eines wichtigen oder kritischen Produkts in ein anderes vernetztes Produkt mit digitalen Elementen führt für sich genommen entsprechend nicht dazu, dass auch das Gesamtprodukt als wichtiges oder kritisches Produkt gilt.

Die Einstufung als wichtiges oder kritisches Produkt wirkt sich vor allem auf das Konformitätsbewertungsverfahren nach Art. 32 CRA aus: Standardprodukte können im internen Kontrollverfahren selbst bewertet werden, bei wichtigen Produkten der Klasse I bleibt das möglich, solange einschlägige harmonisierte Normen oder gleichwertige Vorgaben vollständig angewandt werden, bei wichtigen Produkten der Klasse II und bei kritischen Produkten ist im Grundsatz eine notifizierte Stelle oder eine europäische Zertifizierung einzubinden. Da die Fundstellen harmonisierter Normen bislang nur teilweise vorliegen, sollten Unternehmen den Normungsstand beobachten.

Im Übrigen gelten die Pflichten des CRA unabhängig davon, wie ein Produkt einzustufen ist. Allerdings kann sich die Einstufung insbesondere auf Zuschnitt und Tiefe der anzustellenden Risikobewertung und der umzusetzenden Cybersicherheitsanforderungen durchschlagen.

Welche Fristen gelten?

• Dezember 2024: Inkrafttreten des CRA.
• Juni 2026: Geltung der Vorschriften über die Notifizierung von Konformitätsbewertungsstellen.
• September 2026: Beginn der Meldepflichten nach Art. 14 CRA.
• Dezember 2027: Umfassende Geltung der übrigen Anforderungen des CRA.

Für Bestandsprodukte enthält Art. 69 CRA eine Übergangsregelung. Vernetzte Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, werden von den Anforderungen erst erfasst, wenn sie ab dem 11. Dezember 2027 wesentlich geändert werden (vgl. Art. 3 Nr. 30 CRA). Reine Sicherheitsaktualisierungen, die die Zweckbestimmung des Produkts nicht verändern, zählen nach Erwägungsgrund 39 des CRA nicht als derartige wesentliche Änderungen.

Maßgeblich bei der Betrachtung, ob ein Produkt unter diese Übergangsregelung fällt, ist dabei das einzelne Produkt, nicht die Produktreihe (vgl. Erwägungsgrund 38 CRA). Einheiten desselben Modells, die erst nach dem 11. Dezember 2027 in den Verkehr gebracht werden, haben daher die Anforderungen des CRA vollständig zu erfüllen, während dies für die gleichen Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht werden, nicht gilt.

Demgegenüber gibt es für die Meldepflichten des Art. 14 CRA keine vergleichbare Übergangsregelung. Die Meldepflichten gelten für vernetzte Produkte mit digitalen Elementen unabhängig davon, zu welchem Zeitpunkt diese auf den Markt gebracht wurden.

Fazit

Der Zeitplan wirkt komfortabler, als er ist. Die Meldepflichten greifen bereits für alle auf dem Markt befindlichen vernetzten Produkte mit digitalen Elementen ab dem 11. September 2026 und setzen – insbesondere aufgrund der sehr kurzen Meldefristen – funktionierende interne Prozesse voraus. Diese lassen sich kurzfristig in der Regel kaum aufbauen. Sinnvoll ist daher ein strukturiertes Vorgehen: (1) Sichtung des Produktportfolios darauf, welche vernetzten Produkte mit digitalen Elementen erfasst sind, (2) Klärung der eigenen Rolle in der Lieferkette, (3) dokumentierte Einstufung der Produkte, (4) eine Bestandsaufnahme der Prozesse für die Risikobewertung, die Umsetzung der Cybersicherheitsanforderungen sowie das Schwachstellenmanagement und die Meldewege sowie (5) Prüfung der Verträge mit Kunden und Lieferanten, ob diese aufgrund des CRA angepasst werden sollten.

Dieser Beitrag gibt einen allgemeinen Überblick zum Stand August 2026 und ersetzt keine rechtliche Beratung im Einzelfall.

Haben Sie Fragen?

Wenn Sie prüfen möchten, ob Ihre Produkte in den Anwendungsbereich des Cyber Resilience Act fallen, wie sie einzustufen sind, welche Rolle Ihr Unternehmen in der Lieferkette einnimmt oder wie sich die Melde- und Dokumentationspflichten prozessual umsetzen lassen, stehen Ihnen Nora Steddin, Senior Associate und Rechtsanwältin im Referat IT-Recht und Datenschutz, sowie das Team von Vogel & Partner Rechtsanwälte mbB in Stuttgart und Karlsruhe gerne zur Verfügung. Einen Überblick über unsere Beratung finden Sie auf unserer Seite zum IT-Sicherheitsrecht.