Cybersicherheit BLOGCyber Resilience Act (CRA): Wer ist betroffen – und was du bis September 2026 liefern musst

• Was: Der Cyber Resilience Act (CRA) – Verordnung (EU) 2024/2847 – verpflichtet Hersteller von „Produkten mit digitalen Elementen“ zu Cybersicherheit über den gesamten Lebenszyklus.
• Fristen: In Kraft seit 10.12.2024. Meldepflichten ab 11.09.2026. Volle Pflichten (CE, Security by Design, SBOM) ab 11.12.2027.
• Betroffen ist, wer ein Produkt in Verkehr bringt: installierbare Software, App, Plugin, SDK, vernetztes Gerät mit Firmware. Reines SaaS im Browser: kein CRA (eher NIS2).
• Firmengröße egal: Wer selbst entwickelt, ist Hersteller – die Rolle mit den meisten Pflichten.
• Bußgeld: bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes.

Der Cyber Resilience Act (auf Deutsch: Cyberresilienz-Verordnung) legt erstmals EU-weit verbindliche Cybersicherheits-Anforderungen für Produkte mit digitalen Elementen fest. Die Logik dahinter: Ein vernetztes Produkt soll ein Sicherheitsversprechen tragen wie eine Maschine das CE-Zeichen – Sicherheit wird Pflicht, von der Entwicklung bis nach dem Verkauf.

Die Verordnung ist am 10. Dezember 2024 in Kraft getreten, die Pflichten greifen aber gestaffelt über mehrere Jahre. Wichtig zur Abgrenzung: Der CRA regelt Produkte. Für reine Dienste, die du betreibst, ist in der Regel die NIS2-Richtlinie zuständig, nicht der CRA.

Die Frage ist nicht, wer den Code geschrieben hat. Sondern: Ist es ein Produkt – und wird es in Verkehr gebracht?

Lieferst du ein Produkt aus – oder betreibst du nur einen Dienst im Browser?

• Wird ausgeliefert/installiert (Mobile App, Desktop-Tool, Plugin, Browser-Erweiterung, SDK, vernetztes Gerät mit Firmware) → Produkt → CRA. Du bist Hersteller.
• Läuft nur im Browser (deine Website, deine SaaS-Plattform) → Dienst → kein CRA (eher NIS2).

Zwei Beispiele, weil viele hier falsch liegen:

• Website selbst programmiert? Kein CRA. Eine Website wird betrieben, nicht „in Verkehr gebracht“.
• App selbst entwickelt? Wird sie installiert, bist du Hersteller – CRA. Läuft sie nur im Browser, ist es SaaS – kein CRA.

So steht es auch in der Verordnung: Websites und Cloud-Dienste ohne Produktbezug fallen laut Erwägungsgrund 12 ausdrücklich nicht in den Anwendungsbereich.

Du betreibst eine Plattform im Browser (kein CRA), lieferst aber eine Companion-App, eine Browser-Erweiterung oder ein CLI-Tool zum Installieren mit? Dann gilt für genau diese Komponente wieder der CRA. Das eigens dafür entwickelte Backend zählt dann als „Fernverarbeitungslösung“ und fällt ebenfalls darunter. Die Trennlinie ist also nicht „Browser vs. Download“, sondern „Produkt vs. Dienst“.

Hersteller ist, wer ein Produkt entwickelt (oder entwickeln lässt) und unter eigenem Namen auf den Markt bringt – ob bezahlt oder gratis. Daneben gibt es Importeure und Händler. Achtung: Wer ein fremdes Produkt unter eigenem Namen vermarktet oder es wesentlich verändert, wird selbst zum Hersteller.

Der Punkt, der oft überrascht: Die Firmengröße spielt keine Rolle. Wer selbst entwickelt, ist Hersteller – vom Ein-Personen-Betrieb bis zum Konzern. Es gibt lediglich Erleichterungen bei der Form der Dokumentation für Kleinst- und Kleinunternehmen – nicht bei den Sicherheitsanforderungen selbst.

Datum	Was passiert
10. Dezember 2024	Inkrafttreten. Die Verordnung gilt – die Pflichten greifen gestaffelt.
11. Juni 2026	Regeln zu den Konformitätsbewertungsstellen werden anwendbar.
11. September 2026	Die Meldepflichten greifen (24 h / 72 h / 14 Tage bzw. 1 Monat). Erster Stichtag, der dich direkt betrifft.
11. Dezember 2027	Volle Anwendbarkeit: CE-Kennzeichnung, Security by Design, SBOM, Sicherheitsupdates über den Supportzeitraum.

Der Knackpunkt ist also nicht Dezember 2027 – es ist der September 2026. Wer bis dahin keinen funktionierenden Meldeprozess hat, hat ein Problem, sobald die erste Lücke aktiv ausgenutzt wird.

Ab diesem Datum gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Gemeldet wird dreistufig – gleichzeitig an das zuständige CSIRT (die nationale Notfallstelle) und an die EU-Agentur ENISA, über eine zentrale Meldeplattform.

Bei einer aktiv ausgenutzten Schwachstelle:

• 🕐 24 Stunden – Frühwarnung (erste Meldung, ggf. mit betroffenen Mitgliedstaaten).
• 🕐 72 Stunden – Detailmeldung (Produkt, Art des Exploits, ergriffene/empfohlene Abhilfemaßnahmen).
• 🕐 14 Tage – Abschlussbericht, nachdem ein Fix verfügbar ist (Schwachstelle, Schweregrad, Update-Details).

Bei einem schwerwiegenden Vorfall gilt dasselbe 24/72-Schema – der Abschlussbericht aber innerhalb eines Monats nach der 72-Stunden-Meldung.

Dazu: Du musst die Nutzer deines Produkts über die Schwachstelle und verfügbare Patches informieren. Versäumst du das, darf das benachrichtigte CSIRT die Nutzer selbst informieren.

Erst dann greifen die großen Pflichten – und nur für Produkte, die ab dann neu in Verkehr gebracht werden:

• CE-Kennzeichnung mit nachgewiesener Cybersicherheits-Konformität
• Security by Design und sichere Standardkonfiguration (Secure by Default)
• SBOM (Software Bill of Materials): maschinenlesbare Stückliste der Komponenten, mind. der direkten Abhängigkeiten – nicht zu veröffentlichen, aber der Behörde auf Verlangen vorzulegen
• Sicherheitsupdates über den Supportzeitraum (in der Regel mind. 5 Jahre)

Die gute Nachricht: Für rund 90 % der Produkte (Standardklasse) reicht eine Selbstbewertung mit interner Dokumentation – kein externer Auditor. Nur „wichtige“ und „kritische“ Kategorien (z. B. Passwortmanager, Firewalls, Betriebssysteme bzw. Smartcards) brauchen eine externe Prüfung oder Zertifizierung. Geprüft wird stichprobenbezogen durch die Marktüberwachungsbehörde. Fehlt dann die Doku, wird es teuer.

🔒 Wichtig zum Altbestand: Die Voll-Pflichten treffen Bestandsprodukte erst bei wesentlicher Änderung ab Dezember 2027. Die Meldepflichten ab September 2026 gelten dagegen für alle Produkte am Markt – auch für schon ausgelieferte.

• bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes – bei Verstößen gegen Sicherheitsanforderungen und Kernpflichten (inkl. Meldepflichten)
• bis 10 Mio. € oder 2 % – bei den meisten übrigen Pflichten
• bis 5 Mio. € oder 1 % – bei falschen Angaben gegenüber Behörden

Augenmaß für Kleine: Kleinst- und Kleinunternehmen werden für ein bloßes Versäumnis der 24-Stunden-Frist nicht mit Bußgeld belegt.

Die großen Pflichten ab Dezember 2027 stehen im Rampenlicht – ernst wird es aber zuerst am 11. September 2026. Ab dann zählt, ob du eine aktiv ausgenutzte Schwachstelle in 24 Stunden melden kannst. Das ist keine Frage der Dokumentation, sondern des Prozesses: Wer bemerkt die Lücke? Wer entscheidet? Wer meldet – an wen? Wer informiert die Nutzer?

Wer das heute nicht beantworten kann, sollte dieses Monat nutzen und den Ablauf einmal als Trockenübung durchspielen – von „Signal“ bis „Meldung verschickt“.