Cyber Resilience Act: Pflichten für digitale Produkte

Sie verkaufen ein Programm. Oder ein Gerät, das sich mit dem WLAN verbindet. Oder Sie lassen eine App für Ihre Kunden bauen. Dann betrifft Sie ein EU-Gesetz, das viele noch nicht auf dem Schirm haben: der Cyber Resilience Act, kurz CRA.

Das Gesetz sagt: Digitale Produkte müssen sicher sein, wenn jemand sie kauft. Und sie müssen sicher bleiben, solange die Kunden sie nutzen.

Der erste Termin ist der 11. September 2026. Auf dieser Seite lesen Sie, was der CRA verlangt, für wen er gilt und was Sie jetzt tun sollten. Rechtsstand ist der 26. August 2026.

Was der CRA ist

Der volle Name lautet Verordnung (EU) 2024/2847. Sie ist am 10. Dezember 2024 in Kraft getreten.

Es ist eine Verordnung, kein deutsches Gesetz. Sie gilt in allen EU-Ländern unmittelbar. Deutschland muss dafür kein eigenes Gesetz beschließen.

Bisher gab es für die Sicherheit von Software kaum verbindliche Regeln. Ein Hersteller konnte ein Programm verkaufen und danach nie wieder anfassen. Das ändert der CRA.

Der CRA gilt für Produkte, nicht für Nutzer

Der CRA gilt für Produkte mit digitalen Elementen. Damit sind zwei Dinge gemeint: Software, also Programme jeder Art, und Hardware mit Software darin, also Geräte.

Entscheidend ist eine Eigenschaft: Das Produkt kann sich direkt oder indirekt mit einem Gerät, einem Netzwerk oder einer Cloud verbinden.

Drei Rollen tragen Pflichten.

Die meisten Pflichten treffen den Hersteller.

Für wen der CRA nicht gilt

Das ist der Teil, der viele beruhigen wird.

• Wer Software nur benutzt, hat aus dem CRA keine Pflichten. Ein Unternehmen, das ein Warenwirtschafts- oder Buchhaltungsprogramm einsetzt, muss nichts melden und nichts zertifizieren. Der CRA richtet sich an die, die Produkte auf den Markt bringen.
• Reines Software-as-a-Service ist ausgenommen, solange die Software ausschließlich beim Anbieter läuft. Anders kann es aussehen, sobald Ihre Kunden etwas installieren. Beispiel: ein Programm auf dem eigenen Rechner oder eine Komponente im eigenen Netz. Dann sollte geprüft werden, ob der CRA doch greift.
• Freie und quelloffene Software ist privilegiert, aber nicht pauschal ausgenommen. Maßgeblich ist, ob sie im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird. Nicht monetarisierte Open-Source-Software fällt grundsätzlich nicht unter die Herstellerpflichten. Wer mit Open Source Geld verdient, sollte die eigene Rolle prüfen lassen.
• Bereiche mit eigenen Sicherheitsregeln sind ausgenommen. Dazu zählen unter anderem Medizinprodukte, Fahrzeuge und Luftfahrt. Dort gelten andere Gesetze.

Drei Termine, und der erste wird übersehen

Der CRA kommt in Stufen. Das ist wichtig, weil viele nur den Termin 2027 kennen und den ersten Termin übersehen.

Ab dem 11. September 2026 müssen Sie melden

Ab diesem Tag müssen Hersteller melden, wenn etwas passiert. Zwei Fälle lösen eine Meldung aus:

1. Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt
2. Ein schwerwiegender Sicherheitsvorfall, der die Sicherheit Ihres Produkts betrifft

Die Meldung geht an das zuständige CSIRT und an die europäische Agentur ENISA. Ein CSIRT ist eine staatliche Stelle für Computersicherheitsvorfälle. In Deutschland ist das BSI die zentrale Anlaufstelle.

Die Fristen sind kurz.

Was ein tragfähiger Meldeweg leisten muss

Die Verordnung schreibt nicht vor, wie Sie Ihren Meldeweg organisieren. Sie schreibt vor, dass die Meldung rechtzeitig ankommt. Aus der Frist von 24 Stunden ergeben sich in der Praxis fünf Fragen, die Sie vorher beantwortet haben sollten. Das ist eine Einordnung aus der Umsetzung, keine ausdrückliche Aussage der Verordnung.

• Wie erfahren Sie überhaupt davon? Schwachstellen melden oft Dritte: Kunden, Sicherheitsforschende, ein Partner. Wenn diese Meldung in einem allgemeinen Postfach liegt, das freitagnachmittags niemand mehr liest, läuft die Frist trotzdem.
• Wer entscheidet? Nicht jede gemeldete Lücke ist eine aktiv ausgenutzte Schwachstelle. Jemand muss diese Einschätzung treffen dürfen, und zwar schnell.
• Wer meldet? Benennen Sie eine Person und eine Vertretung. Eine Abteilung ist keine Zuständigkeit.
• Wohin? Klären Sie vorab, welches CSIRT für Sie zuständig ist und wie die Meldung technisch abgesetzt wird. Der Vorfall ist der falsche Zeitpunkt, um das herauszufinden.
• Funktioniert es außerhalb der Bürozeiten? Vorfälle halten sich nicht an Arbeitszeiten. Eine Rufbereitschaft oder wenigstens eine Eskalationskette gehört dazu.

Spielen Sie den Ablauf einmal durch, bevor Sie ihn brauchen. Ein Probelauf von einer Stunde zeigt zuverlässiger als jedes Dokument, ob der Weg trägt.

Ab dem 11. Dezember 2027 folgt der Rest

Ab diesem Datum gelten die übrigen Herstellerpflichten. Die wichtigsten in einfachen Worten:

• Keine bekannten ausnutzbaren Schwachstellen beim Verkauf. Sie dürfen ein Produkt nicht ausliefern, wenn Sie von einer ausnutzbaren Lücke wissen.
• Sichere Voreinstellungen. Das Produkt muss ab Werk sicher konfiguriert sein, nicht erst nach Einstellungen durch den Kunden.
• Sicherheitsupdates bereitstellen. Der Zeitraum orientiert sich an der erwarteten Nutzungsdauer des Produkts. Als Richtwert werden fünf Jahre genannt. Wie lange es im Einzelfall sein muss, hängt vom Produkt ab und sollte geprüft werden.
• Schwachstellen dokumentieren. Dazu gehört eine Liste der verwendeten Komponenten, oft SBOM genannt, also Software-Stückliste.
• Technische Dokumentation erstellen und aufbewahren.
• Konformität bewerten und CE-Kennzeichnung anbringen. Das CE-Zeichen steht künftig auch für Cybersicherheit.

Nicht jedes Produkt wird gleich geprüft

Der CRA teilt Produkte in Stufen ein. Je kritischer, desto strenger die Prüfung.

Die Einordnung einzelner Produkte in Klasse I oder II wird in verschiedenen Quellen nicht einheitlich dargestellt. Für die verbindliche Zuordnung sollten Sie den Anhang der Verordnung heranziehen.

Was Verstöße kosten können

Für Verstöße gegen die wesentlichen Sicherheitsanforderungen und gegen die Meldepflichten sind Geldbußen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vorgesehen. Es gilt der höhere Betrag. Für andere Verstöße sind niedrigere Beträge vorgesehen. Die genaue Staffelung steht in der Verordnung.

Für wen das wirklich wichtig ist

• Softwarehäuser und Entwicklungsdienstleister. Sie sind in aller Regel Hersteller. Für Sie gilt der volle Pflichtenkatalog.
• Maschinen- und Anlagenbau mit vernetzten Geräten. Sobald eine Maschine Software enthält und sich verbinden kann, ist sie ein Produkt mit digitalen Elementen.
• Unternehmen mit einer eigenen App oder eigener Software. Auch wenn Software nicht Ihr Hauptgeschäft ist: Wenn Sie sie auf den Markt bringen, sind Sie Hersteller. Das übersehen viele.
• Händler und Importeure. Sie müssen prüfen, ob die Produkte, die Sie verkaufen, die Anforderungen erfüllen und das CE-Zeichen tragen.
• Einkauf und IT-Leitung in jedem Unternehmen. Sie profitieren, ohne selbst Pflichten zu tragen. Ab Dezember 2027 ist die CE-Kennzeichnung ein prüfbares Kriterium bei der Beschaffung.
• Steuerkanzleien und andere Beratungsberufe. In der Regel sind Sie Nutzer und haben keine Pflichten aus dem CRA. Wenn Sie eigene Werkzeuge entwickeln und an Mandanten weitergeben, kann allerdings eine Herstellerrolle entstehen. Das sollte im Einzelfall geprüft werden.

CRA und KI-Verordnung können denselben Fall betreffen

Beide Verordnungen arbeiten mit gestaffelten Fristen, beide knüpfen die Pflichten an eine Rolle, und beide kennen den Hersteller beziehungsweise Anbieter als Hauptadressaten. Wer ein Produkt mit KI-Funktionen auf den Markt bringt, kann deshalb aus beiden Regelwerken Pflichten tragen. Das ist eine Einordnung, keine ausdrückliche Aussage der Verordnungen.

Praktisch heißt das: Die Bestandsaufnahme lohnt sich nur einmal. Wenn Sie ohnehin auflisten, welche Produkte Sie ausliefern und welche Rolle Sie dabei einnehmen, beantworten Sie die erste Frage für beide Verordnungen gleichzeitig. Was für die KI-Verordnung gilt, lesen Sie auf der Seite EU AI Act einfach erklärt.

Was Sie jetzt tun sollten

1. Produkte auflisten. Schreiben Sie auf, welche Software und welche vernetzten Geräte Sie auf den Markt bringen. Ohne diese Liste können Sie nichts weiter beurteilen.
2. Eigene Rolle klären. Sind Sie Hersteller, Importeur, Händler oder nur Nutzer? Die Antwort kann je Produkt unterschiedlich ausfallen.
3. Meldeweg festlegen. Wer meldet? An wen? Wie erfahren Sie innerhalb von 24 Stunden von einem Vorfall? Das ist die dringendste Aufgabe, weil der Termin am 11. September 2026 liegt.
4. Verantwortliche Person benennen. Eine Person, die zuständig ist, nicht eine Abteilung.
5. Schwachstellenmanagement aufbauen. Sie brauchen einen Weg, wie Schwachstellen gemeldet, bewertet und behoben werden.
6. Verträge prüfen. Klären Sie mit Zulieferern, wer welche Sicherheitsanforderungen erfüllt und wer wen wann informiert.
7. Dokumentation beginnen. Technische Dokumentation und Software-Stückliste entstehen nicht kurz vor der Frist.

Diese Schritte decken einen Teil der Anforderungen ab, nicht alle. Sie schaffen die Grundlage.

Der dringendste nächste Schritt

Prüfen Sie zuerst, ob Sie Hersteller im Sinne des CRA sind. Wenn ja, richten Sie bis zum 11. September 2026 einen Meldeweg ein, der innerhalb von 24 Stunden funktioniert.

Alles andere hat bis Dezember 2027 Zeit. Der Meldeweg nicht.

Rechtlicher Hinweis

Die genannten Angaben beruhen auf dem Stand vom 26. August 2026. Zu einzelnen Punkten, etwa der Zuordnung konkreter Produkte zu den Klassen I und II und der genauen Länge des Supportzeitraums, liegen unterschiedliche Darstellungen vor. Maßgeblich ist der Verordnungstext.

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Verordnungstext
• Europäische Kommission zum Cyber Resilience Act
• BSI zum Cyber Resilience Act
• WKO, Übersicht zum CRA
• Cyber-Regulierung.de, Geltungsbereich und Ausnahmen