Cyber Resilience Act: Pflichten für digitale Produkte

Sie verkaufen ein Programm. Oder ein Gerät, das sich mit dem WLAN verbindet. Oder Sie lassen eine App für Ihre Kunden bauen. Dann betrifft Sie ein EU-Gesetz, das viele noch nicht auf dem Schirm haben: der Cyber Resilience Act, kurz CRA.

Das Gesetz sagt: Digitale Produkte müssen sicher sein, wenn jemand sie kauft. Und sie müssen sicher bleiben, solange die Kunden sie nutzen.

Der erste Termin ist vorbei: Seit dem 11. September 2026 gelten die Meldepflichten, und die Meldeplattform der EU ist in Betrieb. Auf dieser Seite lesen Sie, was der CRA verlangt, für wen er gilt, wie Sie die Meldeplattform erreichen und was Sie jetzt tun sollten. Rechtsstand ist der 13. Oktober 2026.

Was der CRA ist

Der volle Name lautet Verordnung (EU) 2024/2847. Sie ist am 10. Dezember 2024 in Kraft getreten.

Es ist eine Verordnung, kein deutsches Gesetz. Sie gilt in allen EU-Ländern unmittelbar. Die Pflichten der Hersteller ergeben sich aus der Verordnung selbst. Deutschland regelt in einem eigenen Durchführungsgesetz nur, welche Behörde zuständig ist und wie das Bußgeldverfahren läuft. Den Stand dazu lesen Sie weiter unten.

Bisher gab es für die Sicherheit von Software kaum verbindliche Regeln. Ein Hersteller konnte ein Programm verkaufen und danach nie wieder anfassen. Das ändert der CRA.

Der CRA gilt für Produkte, nicht für Nutzer

Der CRA gilt für Produkte mit digitalen Elementen. Damit sind zwei Dinge gemeint: Software, also Programme jeder Art, und Hardware mit Software darin, also Geräte.

Entscheidend ist eine Eigenschaft: Das Produkt kann sich direkt oder indirekt mit einem Gerät, einem Netzwerk oder einer Cloud verbinden.

Drei Rollen tragen Pflichten.

Die meisten Pflichten treffen den Hersteller.

Für wen der CRA nicht gilt

Das ist der Teil, der viele beruhigen wird.

• Wer Software nur benutzt, hat aus dem CRA keine Pflichten. Ein Unternehmen, das ein Warenwirtschafts- oder Buchhaltungsprogramm einsetzt, muss nichts melden und nichts zertifizieren. Der CRA richtet sich an die, die Produkte auf den Markt bringen.
• Reines Software-as-a-Service ist ausgenommen, solange die Software ausschließlich beim Anbieter läuft. Anders kann es aussehen, sobald Ihre Kunden etwas installieren. Beispiel: ein Programm auf dem eigenen Rechner oder eine Komponente im eigenen Netz. Dann sollte geprüft werden, ob der CRA doch greift.
• Freie und quelloffene Software ist privilegiert, aber nicht pauschal ausgenommen. Maßgeblich ist, ob sie im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird. Nicht monetarisierte Open-Source-Software fällt grundsätzlich nicht unter die Herstellerpflichten. Wer mit Open Source Geld verdient, sollte die eigene Rolle prüfen lassen.
• Bereiche mit eigenen Sicherheitsregeln sind ausgenommen. Dazu zählen unter anderem Medizinprodukte, Fahrzeuge und Luftfahrt. Dort gelten andere Gesetze.

Drei Termine, und der erste wird übersehen

Der CRA kommt in Stufen. Das ist wichtig, weil viele nur den Termin 2027 kennen und den ersten Termin übersehen.

Seit dem 11. September 2026 müssen Sie melden

Seit diesem Tag müssen Hersteller melden, wenn etwas passiert. Zwei Fälle lösen eine Meldung aus:

1. Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt
2. Ein schwerwiegender Sicherheitsvorfall, der die Sicherheit Ihres Produkts betrifft

Die Meldung läuft über die zentrale Meldeplattform der EU, die Single Reporting Platform der ENISA. Hersteller melden dort einmal. Die Plattform leitet die Meldung an das zuständige koordinierende CSIRT und an die ENISA weiter, von dort an die CSIRTs der Länder, in denen das Produkt angeboten wird. Ein CSIRT ist eine staatliche Stelle für Computersicherheitsvorfälle. In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT. Der Zugang läuft über ein persönliches EU-Login-Konto. Wie Sie die Plattform erreichen und was Sie vorher einrichten sollten, steht im nächsten Abschnitt.

Die Meldepflicht gilt auch für Produkte, die schon vor dem 11. Dezember 2027 auf dem Markt waren. Das regelt Art. 69 Abs. 3 ausdrücklich. Für die übrigen Pflichten gibt es dagegen Bestandsschutz, solange ein Produkt nicht wesentlich verändert wird.

Die Fristen sind kurz.

Zugang zur Meldeplattform: Konto vorher anlegen

Für eine Meldung brauchen Sie zwei Dinge: ein persönliches EU-Login-Konto und den Einstieg in die Meldeplattform.

Der deutsche Einstieg und die Kontoseite wurden am 13. Oktober 2026 aufgerufen. Beide führen zur Anmeldung mit EU Login.

Legen Sie das EU-Login-Konto an, bevor Sie es brauchen. Die Plattform verlangt ein persönliches EU-Login-Konto mit einem zweiten Faktor, etwa der EU-Login-App auf dem Mobiltelefon. Ein gemeinsames Firmenkonto gibt es nicht. Wer das Konto erst im Ernstfall anlegt, verbraucht dafür einen Teil der 24 Stunden: E-Mail-Adresse bestätigen, Passwort setzen, zweiten Faktor einrichten. Die Person, die meldet, und ihre Vertretung sollten ihr Konto deshalb jetzt anlegen, den zweiten Faktor einrichten und sich einmal zur Probe bei EU Login anmelden. ENISA weist selbst darauf hin, dass sich das Konto vorab anlegen lässt.

Die Registrierung auf der Plattform ist ein zweiter Schritt. Beim ersten Zugang wählen Sie die Rolle „Assigned Representative“ und das Land mit dem koordinierenden CSIRT, bestätigen die Nutzungsbedingungen und tragen die Angaben zum Hersteller ein. Eine Pflicht, sich vorab zu registrieren, besteht nicht. ENISA rät sogar, diesen Schritt erst zu gehen, wenn tatsächlich eine Meldung ansteht. Mit vorhandenem EU-Login-Konto dauert er nach Angaben von ENISA und BSI wenige Minuten. Das CSIRT prüft danach, ob die Person für den Hersteller melden darf. Diese Prüfung läuft parallel: Melden können Sie sofort, bis zu 20 Meldungen sind vor der Bestätigung möglich.

Die Vertretung braucht Vorlauf. Je Hersteller gibt es eine erste Vertretungsperson und bis zu 20 weitere. Die weiteren lädt die erste Person ein, und das geht erst, wenn das CSIRT ihre Zuordnung bestätigt hat. Wie lange die Bestätigung dauert, ist nach Angaben der ENISA je CSIRT verschieden. Ein erster öffentlicher Erfahrungsbericht aus Belgien nennt drei Arbeitstage. Wer auf eine eingetragene Vertretung angewiesen ist, sollte deshalb abwägen, die Registrierung früher vorzunehmen, als ENISA rät. Das ist eine Einordnung aus der Praxis, keine Vorgabe der Verordnung.

Drei Dinge sollten Sie außerdem wissen:

• Die Plattform gibt es bisher nur auf Englisch. Das Merkblatt der ENISA liegt auch auf Deutsch vor.
• Meldungen geben Sie von Hand in der Oberfläche ein. Eine Schnittstelle für die maschinelle Übermittlung gibt es noch nicht.
• Freiwillige Meldungen nach Art. 15 sind noch nicht möglich. ENISA kündigt sie für eine spätere Ausbaustufe an.

Am 12. Oktober 2026 hat ENISA die Plattform auf Version 1.1 gebracht und die Anleitungen angepasst. Was sich geändert hat, nennt ENISA auf der Übersichtsseite nicht. Wer eine Anleitung vor diesem Datum gespeichert hat, sollte sie neu abrufen. Das BSI stellt eine Schritt-für-Schritt-Anleitung und ein Video bereit.

Was ein tragfähiger Meldeweg leisten muss

Die Verordnung schreibt nicht vor, wie Sie Ihren Meldeweg organisieren. Sie schreibt vor, dass die Meldung rechtzeitig ankommt. Aus der Frist von 24 Stunden ergeben sich in der Praxis fünf Fragen, die Sie vorher beantwortet haben sollten. Das ist eine Einordnung aus der Umsetzung, keine ausdrückliche Aussage der Verordnung.

• Wie erfahren Sie überhaupt davon? Schwachstellen melden oft Dritte: Kunden, Sicherheitsforschende, ein Partner. Wenn diese Meldung in einem allgemeinen Postfach liegt, das freitagnachmittags niemand mehr liest, läuft die Frist trotzdem.
• Wer entscheidet? Nicht jede gemeldete Lücke ist eine aktiv ausgenutzte Schwachstelle. Jemand muss diese Einschätzung treffen dürfen, und zwar schnell.
• Wer meldet? Benennen Sie eine Person und eine Vertretung. Eine Abteilung ist keine Zuständigkeit.
• Wohin? Die Meldung läuft über die Single Reporting Platform der ENISA. Klären Sie vorab, wer bei Ihnen ein EU-Login-Konto mit zweitem Faktor hat, wer als Vertretungsperson meldet und welches CSIRT für Sie koordiniert. Der Vorfall ist der falsche Zeitpunkt, um das herauszufinden.
• Funktioniert es außerhalb der Bürozeiten? Vorfälle halten sich nicht an Arbeitszeiten. Eine Rufbereitschaft oder wenigstens eine Eskalationskette gehört dazu.

Spielen Sie den Ablauf einmal durch, bevor Sie ihn brauchen. Ein Probelauf von einer Stunde zeigt zuverlässiger als jedes Dokument, ob der Weg trägt.

Leitlinien, Normen und deutsches Durchführungsgesetz

Die Kommission hat am 27. Juli 2026 ihre Leitlinien zur Anwendung des CRA gebilligt, rund 80 Seiten, dazu Fragen und Antworten. Die Leitlinien sind nicht verbindlich, zeigen aber, wie Kommission und Marktüberwachung die Verordnung lesen. Eine Aussage daraus zur Meldepflicht: Die Frist beginnt nicht beim ersten Verdacht, sondern wenn eine erste Bewertung mit hinreichender Sicherheit ergibt, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall vorliegt.

Harmonisierte Normen fehlen noch. Der Normungsauftrag umfasst rund 41 Normen. Bis zum 13. Oktober 2026 ist keine davon im Amtsblatt zitiert, es gibt also noch keine Konformitätsvermutung. Die ersten beiden Normen zu Begriffen und Grundsätzen, EN 40000-1-1 und EN 40000-1-2, haben die förmliche Abstimmung bei CEN und CENELEC bestanden. Das wurde am 2. Oktober 2026 bekannt, die Ratifizierung ist für den 2. November 2026 angesetzt. Die übrigen Normen folgen voraussichtlich bis Ende 2026 oder Anfang 2027. Der Normungsstand ist nur aus Sekundärquellen belegt.

Für Hersteller heißt das: Die Pflichten ab dem 11. Dezember 2027 gelten unabhängig davon, ob bis dahin eine Norm zitiert ist. Wer heute plant, orientiert sich an den Anforderungen in Anhang I der Verordnung und an der Technischen Richtlinie BSI TR-03183.

Deutsches Durchführungsgesetz. Die Verordnung gilt unmittelbar, die Zuständigkeiten regelt jedes Land selbst. Die Bundesregierung hat dazu den Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 vorgelegt, Bundestagsdrucksache 21/6134 vom 26. Mai 2026. Der Entwurf schafft die Rechtsgrundlage dafür, dass das BSI als Marktüberwachungsbehörde und als notifizierende Behörde tätig wird, und ändert das BSI-Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz. Der Bundestag hat ihn am 11. Juni 2026 in erster Lesung an die Ausschüsse überwiesen, federführend ist der Innenausschuss. Der Bundesrat hat am 12. Juni 2026 keine Einwendungen erhoben. Anfang Oktober 2026 war das Gesetz nach einem Pressebericht noch nicht verabschiedet, ein Beschluss des Bundestags war am 13. Oktober 2026 nicht zu finden. Die Meldepflichten hängen davon nicht ab. Sie gelten aus der Verordnung.

Förderung für kleine und mittlere Unternehmen

Für die Vorbereitung auf den CRA gibt es EU-Geld. Das Projekt SECURE, finanziert aus dem Programm Digitales Europa, hat am 1. Oktober 2026 seinen zweiten Aufruf geöffnet. Die Eckdaten nach Angaben des Projekts:

• 11,5 Mio. Euro für diesen Aufruf
• bis zu 30.000 Euro je Vorhaben bei einer Förderquote von 50 %, die andere Hälfte trägt das Unternehmen
• antragsberechtigt sind Kleinst-, kleine und mittlere Unternehmen in der EU
• Einreichung bis zum 11. Dezember 2026 über die Plattform des Projekts

Welche Tätigkeiten förderfähig sind, regeln die Unterlagen des Aufrufs. Das sollte vor einem Antrag geprüft werden. Die Förderung schiebt keine Frist: Die Meldepflicht gilt bereits, die übrigen Pflichten ab dem 11. Dezember 2027.

Ab dem 11. Dezember 2027 folgt der Rest

Ab diesem Datum gelten die übrigen Herstellerpflichten. Die wichtigsten in einfachen Worten:

• Keine bekannten ausnutzbaren Schwachstellen beim Verkauf. Sie dürfen ein Produkt nicht ausliefern, wenn Sie von einer ausnutzbaren Lücke wissen.
• Sichere Voreinstellungen. Das Produkt muss ab Werk sicher konfiguriert sein, nicht erst nach Einstellungen durch den Kunden.
• Sicherheitsupdates bereitstellen. Der Zeitraum orientiert sich an der erwarteten Nutzungsdauer des Produkts. Als Richtwert werden fünf Jahre genannt. Wie lange es im Einzelfall sein muss, hängt vom Produkt ab und sollte geprüft werden.
• Schwachstellen dokumentieren. Dazu gehört eine Liste der verwendeten Komponenten, oft SBOM genannt, also Software-Stückliste.
• Technische Dokumentation erstellen und aufbewahren.
• Konformität bewerten und CE-Kennzeichnung anbringen. Das CE-Zeichen steht künftig auch für Cybersicherheit.

Nicht jedes Produkt wird gleich geprüft

Der CRA teilt Produkte in Stufen ein. Je kritischer, desto strenger die Prüfung.

Die Einordnung einzelner Produkte in Klasse I oder II wird in verschiedenen Quellen nicht einheitlich dargestellt. Für die verbindliche Zuordnung sollten Sie den Anhang der Verordnung heranziehen.

Was Verstöße kosten können

Für Verstöße gegen die wesentlichen Sicherheitsanforderungen und gegen die Meldepflichten sind Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vorgesehen. Es gilt der höhere Betrag. Für andere Verstöße sind niedrigere Beträge vorgesehen. Die genaue Staffelung steht in der Verordnung.

Für wen das wirklich wichtig ist

• Softwarehäuser und Entwicklungsdienstleister. Sie sind in aller Regel Hersteller. Für Sie gilt der volle Pflichtenkatalog.
• Maschinen- und Anlagenbau mit vernetzten Geräten. Sobald eine Maschine Software enthält und sich verbinden kann, ist sie ein Produkt mit digitalen Elementen.
• Unternehmen mit einer eigenen App oder eigener Software. Auch wenn Software nicht Ihr Hauptgeschäft ist: Wenn Sie sie auf den Markt bringen, sind Sie Hersteller. Das übersehen viele.
• Händler und Importeure. Sie müssen prüfen, ob die Produkte, die Sie verkaufen, die Anforderungen erfüllen und das CE-Zeichen tragen.
• Einkauf und IT-Leitung in jedem Unternehmen. Sie profitieren, ohne selbst Pflichten zu tragen. Ab Dezember 2027 ist die CE-Kennzeichnung ein prüfbares Kriterium bei der Beschaffung.
• Steuerkanzleien und andere Beratungsberufe. In der Regel sind Sie Nutzer und haben keine Pflichten aus dem CRA. Wenn Sie eigene Werkzeuge entwickeln und an Mandanten weitergeben, kann allerdings eine Herstellerrolle entstehen. Das sollte im Einzelfall geprüft werden.

CRA und KI-Verordnung können denselben Fall betreffen

Beide Verordnungen arbeiten mit gestaffelten Fristen, beide knüpfen die Pflichten an eine Rolle, und beide kennen den Hersteller beziehungsweise Anbieter als Hauptadressaten. Wer ein Produkt mit KI-Funktionen auf den Markt bringt, kann deshalb aus beiden Regelwerken Pflichten tragen. Das ist eine Einordnung, keine ausdrückliche Aussage der Verordnungen.

Praktisch heißt das: Die Bestandsaufnahme lohnt sich nur einmal. Wenn Sie ohnehin auflisten, welche Produkte Sie ausliefern und welche Rolle Sie dabei einnehmen, beantworten Sie die erste Frage für beide Verordnungen gleichzeitig. Was für die KI-Verordnung gilt, lesen Sie auf der Seite EU AI Act einfach erklärt.

Was Sie jetzt tun sollten

1. Produkte auflisten. Schreiben Sie auf, welche Software und welche vernetzten Geräte Sie auf den Markt bringen. Ohne diese Liste können Sie nichts weiter beurteilen.
2. Eigene Rolle klären. Sind Sie Hersteller, Importeur, Händler oder nur Nutzer? Die Antwort kann je Produkt unterschiedlich ausfallen.
3. Meldeweg festlegen und erproben. Wer meldet? Wie erfahren Sie innerhalb von 24 Stunden von einem Vorfall? Legen Sie für die meldende Person und ihre Vertretung jetzt ein EU-Login-Konto mit zweitem Faktor an, damit der Zugang zur Meldeplattform der ENISA im Ernstfall bereitsteht. Die Pflicht gilt seit dem 11. September 2026. Wer noch keinen Meldeweg hat, ist im Verzug.
4. Verantwortliche Person benennen. Eine Person, die zuständig ist, nicht eine Abteilung.
5. Schwachstellenmanagement aufbauen. Sie brauchen einen Weg, wie Schwachstellen gemeldet, bewertet und behoben werden.
6. Verträge prüfen. Klären Sie mit Zulieferern, wer welche Sicherheitsanforderungen erfüllt und wer wen wann informiert.
7. Dokumentation beginnen. Technische Dokumentation und Software-Stückliste entstehen nicht kurz vor der Frist.

Diese Schritte decken einen Teil der Anforderungen ab, nicht alle. Sie schaffen die Grundlage.

Der dringendste nächste Schritt

Prüfen Sie zuerst, ob Sie Hersteller im Sinne des CRA sind. Wenn ja, brauchen Sie heute einen Meldeweg, der innerhalb von 24 Stunden funktioniert, einschließlich Zugang zur Meldeplattform. Die Pflicht gilt seit dem 11. September 2026, auch für Produkte, die schon auf dem Markt sind.

Der erste Handgriff ist klein: Legen Sie das EU-Login-Konto mit zweitem Faktor an, bevor Sie es brauchen. Die Meldung selbst geben Sie über den deutschen Einstieg der Meldeplattform ab.

Alles andere hat bis Dezember 2027 Zeit. Der Meldeweg nicht.

Rechtlicher Hinweis

Die genannten Angaben beruhen auf dem Stand vom 13. Oktober 2026. Zu einzelnen Punkten, etwa der Zuordnung konkreter Produkte zu den Klassen I und II und der genauen Länge des Supportzeitraums, liegen unterschiedliche Darstellungen vor. Die Leitlinien der Kommission liegen vor, harmonisierte Normen sind noch nicht im Amtsblatt zitiert, das deutsche Durchführungsgesetz ist noch nicht verabschiedet. Adressen und Abläufe der Meldeplattform können sich ändern, maßgeblich sind die Angaben von ENISA und BSI. Maßgeblich für die Pflichten ist der Verordnungstext.

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Verordnungstext
• Europäische Kommission zum Cyber Resilience Act
• Europäische Kommission, Meldepflichten nach dem CRA
• ENISA, Start der Single Reporting Platform
• ENISA, Single Reporting Platform, Übersicht mit Anleitungen und Hinweis auf Version 1.1 vom 12.10.2026
• ENISA, Fragen und Antworten zur Single Reporting Platform, Stand 03.10.2026, dort Frage 9 zu EU Login, Rollen und Zeitpunkt der Registrierung
• ENISA, Anleitung zur Registrierung als Assigned Representative
• BSI, Informationsseite zur Single Reporting Platform mit Schritt-für-Schritt-Anleitung
• Europäische Kommission, zweite Faktoren für das EU-Login-Konto
• Deutscher Bundestag, Gesetzentwurf zur Durchführung der Verordnung (EU) 2024/2847, Drucksache 21/6134
• Deutscher Bundestag, erste Lesung am 11.06.2026
• ingenieur.de vom 02.10.2026, Beginn der Meldefrist und Stand des Durchführungsgesetzes, Sekundärquelle
• SECURE, zweiter offener Aufruf für kleine und mittlere Unternehmen
• Aikido Security, erster Erfahrungsbericht zur Meldeplattform vom 23.09.2026, Einzelbericht eines Anbieters aus Belgien
• Aktriva, Briefing vom 04.10.2026 zur Annahme von EN 40000-1-1 und EN 40000-1-2, Sekundärquelle
• BSI, Pressemitteilung zum Start der Meldepflicht vom 11.09.2026
• BSI zum Cyber Resilience Act
• WKO, Übersicht zum CRA
• Cyber-Regulierung.de, Geltungsbereich und Ausnahmen