Cyber Resilience Act (CRA)

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie ist am 10. Dezember 2024 in Kraft getreten und gilt in ihrem Kern ab dem 11. Dezember 2027. Anders als die NIS2-Richtlinie, die Organisationen und deren Risikomanagement adressiert, reguliert der CRA das Produkt selbst: Jede Software und jede Hardware mit digitalen Elementen, die auf dem EU-Binnenmarkt in Verkehr gebracht wird, muss künftig grundlegende Cybersicherheitsanforderungen erfüllen, ein Konformitätsbewertungsverfahren durchlaufen und die CE-Kennzeichnung tragen. Der CRA ist damit Produktsicherheitsrecht nach dem Muster des New Legislative Framework — mit Pflichten für Hersteller, Bevollmächtigte, Importeure und Händler entlang der gesamten Lieferkette.

Inhaltlich verlangt Anhang I des CRA zweierlei. Teil I beschreibt die Eigenschaften des Produkts: Auslieferung ohne bekannte ausnutzbare Schwachstellen, sichere Standardkonfiguration, Schutz von Vertraulichkeit, Integrität und Verfügbarkeit, Minimierung der Angriffsfläche, Zugriffskontrolle, Protokollierung sowie die Möglichkeit, Sicherheitsupdates einzuspielen. Teil II beschreibt die Prozesse der Schwachstellenbehandlung: eine Software-Stückliste (SBOM) mindestens für die obersten Abhängigkeitsebenen, regelmäßige Tests, zeitnahe und unentgeltliche Sicherheitsupdates, eine Coordinated-Vulnerability-Disclosure-Policy und eine Kontaktstelle für Schwachstellenmeldungen. Diese Pflichten gelten für den Unterstützungszeitraum, der nach Art. 13 Abs. 8 grundsätzlich mindestens fünf Jahre beträgt beziehungsweise der erwarteten Nutzungsdauer entspricht, wenn diese kürzer ist. Der Nachweis erfolgt über technische Dokumentation, EU-Konformitätserklärung und je nach Produktklasse über Selbstbewertung oder die Einbindung einer notifizierten Stelle: Standardprodukte im Regelfall in Eigenverantwortung, wichtige Produkte der Klassen I und II nach Anhang III sowie kritische Produkte nach Anhang IV in verschärften Verfahren.

Zeitlich greift der CRA gestuft, und die erste praktisch relevante Stufe sind die Meldepflichten nach Art. 14, die ab dem 11. September 2026 gelten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts über die einheitliche Meldeplattform der ENISA an das zuständige CSIRT und die ENISA melden — Frühwarnung binnen 24 Stunden, Schwachstellen- beziehungsweise Vorfallmeldung binnen 72 Stunden, Abschlussbericht danach. Bereits ab dem 11. Juni 2026 gelten die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen. Verstöße gegen die grundlegenden Anforderungen können nach Art. 64 mit Geldbußen bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Zur Rechtslage im August 2026 ist zu beachten, dass die Europäische Kommission im Rahmen ihrer Omnibus- und Vereinfachungsinitiativen Anpassungen am digitalen Rechtsrahmen diskutiert; ob und wie sich daraus Änderungen am CRA oder an seinen Fristen ergeben, ist offen und sollte vor der Planung verbindlicher Meilensteine anhand des aktuellen Standes im Amtsblatt geprüft werden.