CRA-Anforderungen: Welche Pflichten haben Hersteller und ab wann gelten sie?

Was beinhaltet der Cyber Resilience Act und wer ist betroffen?

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest und verteilt Pflichten auf Hersteller, Einführer (Importeure) und Händler. Die meisten trägt der Hersteller: wer solche Produkte entwickelt oder herstellt oder konzipieren, entwickeln oder herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet, auch unentgeltlich (Art. 3 Nr. 13). Die Definition unterscheidet weder nach Unternehmensgröße noch nach Sitz.

Unter den CRA fällt ein auf dem Markt bereitgestelltes Produkt, dessen bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Das gilt für Software und Hardware, auch für getrennt in Verkehr gebrachte Komponenten (Art. 3 Nr. 1). Die Ausnahmen stehen in Art. 2 Abs. 2 bis 7. Ob Ihr Produkt unter den CRA fällt, zeigt der CRA-Produktcheck.

Wann tritt der Cyber Resilience Act in Kraft und welche Pflicht gilt ab wann?

In Kraft ist der CRA seit dem 10. Dezember 2024 (Zusammenfassung der Kommission). Seine Pflichten gelten gestaffelt: Art. 14 seit dem 11. September 2026, alles Übrige in dieser Tabelle ab dem 11. Dezember 2027 (Art. 71 Abs. 2).

Die Zeilen ab dem 11. Dezember 2027 betreffen Produkte, die ab diesem Tag in Verkehr gebracht werden. Ein früheres Produkt unterliegt den Anforderungen des CRA nur, wenn es ab diesem Tag wesentlich geändert wird (Art. 69 Abs. 2); Art. 14 gilt auch ohne Änderung (Art. 69 Abs. 3). Maßgeblich ist das Exemplar, nicht der Typ: Laut FAQ der Kommission muss ein Hersteller 10.000 rechtzeitig in Verkehr gebrachte Router eines Typs, der den CRA nicht erfüllt, nicht nachrüsten; weitere 5.000 darf er nach diesem Tag nicht in Verkehr bringen. Wann die Meldefristen beginnen, erklärt die Seite zur CRA-Meldepflicht.

Welche Anforderungen stellt der CRA an Produkte und Prozesse?

Die Anforderungen stehen in den zwei Teilen von Anhang I. Teil II zur Behandlung von Schwachstellen erfüllen Sie während des Unterstützungszeitraums vollständig. Bei Teil I legen Sie anhand der Risikobewertung fest, welche Anforderungen für Ihr Produkt gelten; für die übrigen nehmen Sie eine klare Begründung in die technische Dokumentation auf (Art. 13 Abs. 4; FAQ der Kommission).

Teil I: Eigenschaften des Produkts

• a) keine bekannten ausnutzbaren Schwachstellen bei der Bereitstellung
• b) sichere Standardkonfiguration und Rücksetzen in den ursprünglichen Zustand
• c) Sicherheitsaktualisierungen, gegebenenfalls automatisch, mit Opt-out und Verschieben
• d) Schutz vor unbefugtem Zugriff
• e) Vertraulichkeit von Daten, etwa durch Verschlüsselung
• f) Integrität von Daten, Befehlen, Programmen und Konfigurationen
• g) Datenminimierung
• h) Verfügbarkeit wesentlicher und grundlegender Funktionen auch nach einem Sicherheitsvorfall
• i) möglichst geringe Auswirkungen auf Dienste anderer Geräte oder Netze
• j) möglichst geringe Angriffsflächen
• k) geringere Auswirkungen von Sicherheitsvorfällen durch Mechanismen zur Minderung der Ausnutzung
• l) Aufzeichnung oder Überwachung interner Vorgänge mit Opt-out für Nutzer
• m) dauerhaftes, sicheres Löschen von Daten und Einstellungen

Teil II: Behandlung von Schwachstellen

• 1) Schwachstellen und Komponenten ermitteln und dokumentieren, u. a. mit einer maschinenlesbaren Software-Stückliste (SBOM), mindestens für die obersten Abhängigkeiten
• 2) Schwachstellen unverzüglich behandeln und beheben; Sicherheitsaktualisierungen, soweit technisch machbar, von Funktionsaktualisierungen trennen
• 3) Sicherheit regelmäßig und wirksam testen und überprüfen
• 4) Informationen über beseitigte Schwachstellen veröffentlichen
• 5) Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen
• 6) Informationsaustausch über Schwachstellen erleichtern, u. a. mit einer Kontaktadresse
• 7) Aktualisierungen sicher verbreiten
• 8) Sicherheitsaktualisierungen unverzüglich und kostenlos verbreiten, mit Hinweisen für die Nutzer; bei maßgeschneiderten Produkten kann mit gewerblichen Nutzern anderes vereinbart werden

Wie lang muss der Unterstützungszeitraum sein?

Mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer genutzt wird; dann entspricht er der voraussichtlichen Nutzungsdauer (Art. 13 Abs. 8). Fünf Jahre sind aber kein Standardwert: Nach dem Leitfaden der Kommission vom 27. Juli 2026 sollten Produkte, die vernünftigerweise länger als fünf Jahre genutzt werden, länger unterstützt werden (Rn. 126). Die Grundlagen dafür gehören in die technische Dokumentation.

• Software: Jede wesentlich geänderte Version braucht einen eigenen Unterstützungszeitraum (Rn. 128). Die Behebung von Schwachstellen dürfen Sie auf die zuletzt in Verkehr gebrachte Version beschränken, wenn Nutzer älterer Versionen kostenlos Zugang zu ihr haben und ihnen keine zusätzlichen Kosten für die Anpassung der Umgebung entstehen (Art. 13 Abs. 10). Solche Kosten sind etwa der Zwang zu neuer Hardware, nicht aber routinemäßiges Testen (Rn. 130). Die übrigen Anforderungen aus Teil II gelten weiter (Rn. 131).
• Eine wesentliche Änderung verlängert den Zeitraum nicht automatisch (Rn. 133).
• Nach dem Ende entfällt die Behandlung von Schwachstellen nach Teil II, die Meldepflicht nach Art. 14 nicht (Rn. 210).

Was müssen Einführer und Händler prüfen?

Einführer prüfen mehr: Sie stellen zusätzlich sicher, dass der Hersteller die Konformitätsbewertung durchgeführt und die technische Dokumentation erstellt hat (Art. 19 Abs. 2). Einführer ist, wer in der EU ansässig oder niedergelassen ist und ein Produkt unter dem Namen oder der Marke einer Person von außerhalb der EU in Verkehr bringt (Art. 3 Nr. 16). Händler überprüfen vor der Bereitstellung die Punkte aus Art. 20 Abs. 2.

• Nichtkonformität: Haben sie Grund zu der Annahme, dass Produkt oder Herstellerverfahren nicht konform sind, bringen sie das Produkt nicht in Verkehr oder stellen es nicht bereit, bis die Konformität hergestellt ist (Art. 19 Abs. 3, Art. 20 Abs. 3).
• Schwachstelle: Sie informieren den Hersteller unverzüglich, bei einem erheblichen Cybersicherheitsrisiko auch die Marktüberwachungsbehörden (Art. 19 Abs. 5, Art. 20 Abs. 4).
• Rollenwechsel: Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder es wesentlich ändert, gilt als Hersteller und unterliegt Art. 13 und 14 (Art. 21).
• Lagerbestand: Händler müssen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nicht nachrüsten, solange sie sie nicht selbst wesentlich ändern (FAQ der Kommission).

In welcher Reihenfolge setzen Sie die Pflichten um?

Beginnen Sie mit der Meldepflicht, weil nur sie schon gilt. Die Dokumente kommen zum Schluss, weil sie auf den vorherigen Schritten aufbauen. Die Reihenfolge ist unsere Empfehlung, die Verordnung schreibt sie nicht vor.

1. Meldeablauf nach Art. 14 einrichten.
2. Produktklasse und Konformitätsbewertungsverfahren bestimmen, zum Beispiel mit dem CRA-Produktcheck.
3. Risiken bewerten und daraus ableiten, welche Anforderungen aus Teil I für Sie gelten.
4. Teil I im Produkt umsetzen, die Prozesse aus Teil II einrichten und den Unterstützungszeitraum festlegen.
5. Technische Dokumentation erstellen, Konformitätsbewertung durchführen, EU-Konformitätserklärung ausstellen und CE-Kennzeichnung anbringen. Erst dann das Produkt in Verkehr bringen.

Was davon für Ihr Produkt gilt, geht ein Ingenieur in der kostenlosen Ersteinschätzung mit Ihnen durch, ohne Zugriff auf Ihren Code. Die rechtliche Bewertung bleibt bei Ihrer Kanzlei.

Häufige Fragen

Können wir mit der Vorbereitung warten, bis die harmonisierten Normen vorliegen?

Davon raten wir ab. Laut FAQ der Kommission soll die Norm zu Anhang I Teil I bis zum 30. Oktober 2027 angenommen werden, sechs Wochen vor dem 11. Dezember 2027, und die Kommission prüft sie danach noch; dasselbe Datum nennt der Zeitplan der Kommission. Normen sind nicht der einzige Weg, die Konformität nachzuweisen. Bei Klasse I brauchen Sie aber ein Verfahren mit notifizierter Stelle, wenn Sie weder Normen noch gemeinsame Spezifikationen noch ein europäisches Zertifizierungsschema mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwenden (Art. 32 Abs. 2).

Welche Bußgelder drohen und gelten sie schon?

Bei Verstößen gegen Anhang I und Art. 13 und 14 bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist; bei weiteren aufgeführten Pflichten, etwa von Einführern und Händlern, bis zu 10 Mio. € oder 2 % (Art. 64). Für Kleinst- und Kleinunternehmen gelten bei versäumter 24-Stunden-Frist keine Geldbußen (Art. 64 Abs. 10, Erwägungsgrund 120). Die Vorschriften zur Durchsetzung gelten laut FAQ der Kommission ab dem 11. Dezember 2027, und Art. 64 steht nicht unter den Ausnahmen in Art. 71 Abs. 2. Was das für Verstöße gegen Art. 14 vor diesem Tag bedeutet, sollte Ihre Kanzlei prüfen. Melden müssen Sie in jedem Fall.

Müssen wir einen älteren Produkttyp wegen des CRA neu entwickeln?

Nicht automatisch. Zeigt die Risikobewertung, dass die vorhandenen Maßnahmen ausreichen, verlangt der CRA für sich genommen keine Neukonstruktion, und Testergebnisse aus der ursprünglichen Entwicklung müssen Sie bei Verfahren nach Art. 32 Abs. 1 nicht vorlegen (Leitfaden der Kommission, Rn. 34 und 38). Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung brauchen Sie für Exemplare, die ab dem 11. Dezember 2027 in Verkehr kommen, trotzdem (Rn. 35).

Müssen wir die technische Dokumentation an Kunden geben?

Nein. Laut FAQ der Kommission besteht keine Pflicht, sie Kunden oder der Öffentlichkeit zugänglich zu machen. Eine Ausnahme ist freie und quelloffene Software in den Kategorien von Anhang III, deren Hersteller die Konformität selbst bewerten will (Art. 32 Abs. 5). Der Marktüberwachungsbehörde müssen Sie sie auf begründetes Verlangen aber übermitteln (Art. 13 Abs. 22).

Wo bringen wir bei Software die CE-Kennzeichnung an?

Auf der EU-Konformitätserklärung oder auf der Website, die zu der Software gehört (Art. 30 Abs. 1). Ohne erfolgreich abgeschlossene Konformitätsbewertung darf die CE-Kennzeichnung nicht angebracht werden (FAQ der Kommission).