Das Cyber Resilience Act (CRA) der Europäischen Union ist die erste bedeutende Verordnung, die Cybersicherheit als Produktsicherheitsanforderung und nicht als organisatorische Governance-Anforderung behandelt.

Während zahlreiche Vorschriften den internen Umgang von Organisationen mit Cyberrisiken regeln, verfolgt die CRA einen anderen Ansatz. Sie konzentriert sich auf die Produkte selbst. Genauer gesagt, darauf, ob Software, Geräte, Plattformen und vernetzte Technologien, die auf den europäischen Markt gelangen, von Grund auf sicher konzipiert sind, angemessen gewartet und während ihres gesamten Lebenszyklus unterstützt werden.

Jahrelang wurde Cybersicherheit oft als Governance-Thema, operative Angelegenheit oder technische Herausforderung betrachtet, die hauptsächlich von Sicherheitsteams verantwortet wurde. Der CRA signalisiert jedoch etwas Umfassenderes: Cybersicherheit wird zunehmend als Produktsicherheitsanforderung angesehen, und für Unternehmen, die Produkte auf dem EU-Markt verkaufen, reichen die Auswirkungen weit über die reine Einhaltung der Vorschriften hinaus.

Was ist der Cyber Resilience Act?

Im Kern ist die CRA darauf ausgelegt, die Cybersicherheit von Produkten mit digitalen Elementen zu verbessern.

In der Praxis bedeutet dies, dass ein Produkt wahrscheinlich in den Anwendungsbereich fällt, wenn es Software enthält, sich mit einem Netzwerk verbindet, Daten digital austauscht oder eingebettete vernetzte Technologie beinhaltet.

Die Verordnung gilt für den gesamten Produktlebenszyklus und führt Verpflichtungen in Bezug auf sichere Produktentwicklung, Schwachstellenmanagement, Sicherheitsupdates und Patches, Meldung von Vorfällen und Schwachstellen, technische Dokumentation und Konformitätsbewertungen sowie die laufende Produktsicherheitswartung ein. Sie sieht außerdem finanzielle Strafen und, was möglicherweise noch wichtiger ist, die Möglichkeit vor, dass Produkte eingeschränkt oder vollständig vom Markt genommen werden, wenn Unternehmen die Verordnung wiederholt und schwerwiegend nicht einhalten.

Ziel ist es, die Anzahl unsicherer digitaler Produkte auf dem europäischen Markt zu reduzieren und gleichzeitig einheitlichere Cybersicherheitsstandards in den Mitgliedstaaten zu schaffen. Wichtig: Es handelt sich hierbei nicht um eine Leitlinie oder einen empfohlenen Rahmen. Die Cybersicherheitsverordnung (CRA) ist eine rechtsverbindliche Verordnung.

Warum die CRA wichtig ist

Einer der Gründe, warum die CRA so viel Aufmerksamkeit erregt hat, ist, dass sie die Verantwortlichkeit verlagert.

Historisch gesehen konzentrierten sich viele Cybersicherheitsvorschriften auf die organisatorische Resilienz: wie Unternehmen Risiken managen, auf Vorfälle reagieren, Lieferanten steuern und kritische Dienste schützen. Der CRA verlagert den Fokus auf die Sicherheit des Produkts selbst.

Die Verordnung behandelt Cybersicherheit faktisch ähnlich wie herkömmliche Produktsicherheit. So wie Hersteller physischer Produkte vor der Markteinführung die Einhaltung von Sicherheitsstandards gewährleisten müssen, erwartet die CRA, dass digitale Produkte grundlegende Cybersicherheitsanforderungen erfüllen, bevor sie in der EU verkauft werden dürfen. Dies hat erhebliche Auswirkungen auf Produktentwicklungsteams, Ingenieurabteilungen, Softwareanbieter, Einkaufsleiter und Lieferketten.

Dies unterstreicht auch einen breiteren Markttrend. Kunden, Aufsichtsbehörden, Versicherer und Investoren erwarten zunehmend von Unternehmen, dass sie nicht nur nachweisen, dass sie auf Cyberangriffe reagieren können, sondern dass Sicherheit von Anfang an in die Produkte integriert wurde.

Für wen gilt die CRA?

Ein weit verbreiteter Irrtum ist, dass die Verordnung nur für Organisationen mit Hauptsitz in der EU gilt. Tatsächlich gilt die CRA für alle Organisationen, die qualifizierte Produkte auf dem EU-Markt anbieten, unabhängig von ihrem Sitz. Das bedeutet, dass britische, US-amerikanische und internationale Organisationen unter die Verordnung fallen können, wenn sie Produkte mit digitalen Elementen in Europa verkaufen.

Die Verordnung dürfte Auswirkungen auf eine Vielzahl von Organisationen haben, darunter:

Softwareanbieter
SaaS- und Cloud-Anbieter
IoT-Hersteller
Hardwarehersteller mit eingebetteter Software
Anbieter von Industrietechnologien
Importeure und Distributoren digitaler Produkte

Die Hersteller tragen die größte Verantwortung gemäß der Verordnung, da sie für die Einhaltung der Vorschriften während des gesamten Produktlebenszyklus verantwortlich sind.

Darüber hinaus gibt es Kategorien von „kritischen Produkten“, die aufgrund des mit ihnen verbundenen Cyberrisikos einer verstärkten Überprüfung und strengeren Konformitätsbewertungsanforderungen unterliegen.

Was die CRA verlangt

Die operativen Auswirkungen der CRA werden viele Organisationen voraussichtlich am stärksten belasten. Die Verordnung beschränkt sich nicht allein auf die Erstellung von Dokumentationen oder die Aktualisierung von Richtlinien. Sie verpflichtet Organisationen nachzuweisen, dass Sicherheit über den gesamten Produktlebenszyklus hinweg gewährleistet ist. Dies umfasst die Integration von Secure-by-Design-Prinzipien in die Entwicklungsprozesse, die Aufrechterhaltung effektiver Schwachstellenmanagement-Funktionen, die sachgerechte Bereitstellung von Sicherheitsupdates und die Dokumentation der Einhaltung der Vorschriften.

Für viele Unternehmen bedeutet dies eine verbesserte Transparenz hinsichtlich Softwarekomponenten, Abhängigkeiten, Lieferanten und Drittanbieterrisiken. Zudem rücken ausgereifte Prozesse für das Schwachstellenmanagement und klarere Eskalationswege zwischen Sicherheits-, Entwicklungs-, Produkt- und Compliance-Teams stärker in den Fokus. In der Praxis werden manche Organisationen feststellen, dass die größte Herausforderung nicht im Verständnis der Vorschriften selbst liegt, sondern in der operativen Umsetzung.

Meldung von Vorfällen gemäß CRA und der ENISA-Plattform

Einer der operativ wichtigsten Aspekte des CRA ist die Einführung der Meldepflicht für Vorfälle und Sicherheitslücken. Hersteller sind verpflichtet, Folgendes zu melden:

Aktiv ausgenutzte Schwachstellen
Schwerwiegende Vorfälle, die die Sicherheit von Produkten mit digitalen Elementen beeinträchtigen

Wichtig ist, dass die Meldepflichten speziell mit der Produktsicherheit und der Ausnutzung von Schwachstellen verknüpft sind. Dies unterscheidet die CRA von umfassenderen Meldepflichten bei Datenschutzverletzungen gemäß Vorschriften wie der DSGVO oder NIS 2..

Die Zeitvorgaben selbst sind bewusst anspruchsvoll. Unter Artikel 14 des CRA, Von den Organisationen wird erwartet, dass sie Folgendes einreichen:

Eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden einer aktiv ausgenutzten Sicherheitslücke oder eines schwerwiegenden Vorfalls.
Eine detailliertere Benachrichtigung innerhalb von 72 Stunden
Ein Abschlussbericht innerhalb eines Monats

Für viele Organisationen dürften sich diese Berichtszeiträume in der Praxis als schwierig zu realisieren erweisen, insbesondere dort, wo die Software-Lieferketten komplex sind oder die Transparenz hinsichtlich der Abhängigkeiten begrenzt ist.

Die Verordnung sieht außerdem eine zentrale Berichtsstruktur vor, die mit der Europäischen Agentur für Cybersicherheit (ENISA) verknüpft ist. ENISA entwickelt eine einheitliche Meldeplattform (Single Reporting Platform, SRP). Das System ist darauf ausgelegt, die Meldepflichten zwischen den Mitgliedstaaten zu vereinfachen. Anstatt Unternehmen zu verpflichten, mehrere nationale Behörden separat zu benachrichtigen, soll ein einheitlicherer Meldemechanismus geschaffen werden. Der aktuell veröffentlichte Meldeablauf beschreibt das erwartete Verfahren wie folgt:

Ein Hersteller identifiziert eine ausgenutzte Sicherheitslücke oder einen schwerwiegenden Vorfall.
Eine erste Meldung wird über die ENISA-Meldeplattform übermittelt.
Die zuständigen nationalen Behörden und die Computer Security Incident Response Teams (CSIRTs) werden informiert.
Anschließend werden über denselben Weg weitere technische Informationen und Details zur Behebung der Mängel übermittelt.

Zum Zeitpunkt der Veröffentlichung dieses Textes befindet sich die Plattform selbst noch in der Entwicklung; die Meldepflichten sollen ab September 2026 gelten.

Operativ dürften diese Verpflichtungen einen größeren Druck auf folgende Bereiche ausüben:

Schwachstellenüberwachung
Interne Eskalationsverfahren
Transparenz der Software-Stückliste (SBOM)
Lieferantenüberwachung
Koordinierung der Reaktion auf Vorfälle
Funktionsübergreifende Kommunikation zwischen den Teams für Engineering, Sicherheit, Recht und Compliance.

Wichtige Termine, die Unternehmen kennen sollten

Es gibt zwei wichtige Termine, auf die sich Organisationen bereits vorbereiten sollten.

Ab dem 11. September 2026 gelten die Meldepflichten der CRA bezüglich Sicherheitslücken und Vorfällen.

Die erweiterten Compliance-Verpflichtungen treten am 11. Dezember 2027 in Kraft. Ab diesem Zeitpunkt müssen Produkte, die auf den EU-Markt gelangen, die Cybersicherheitsanforderungen der CRA erfüllen, eine technische Dokumentation vorhalten und die entsprechenden Konformitätsbewertungen durchführen. Erfüllung der damit verbundenen CE-Kennzeichnungspflichten– die aus der physikalischen Produktsicherheit bekannte Konformitätskennzeichnungspflicht, die bestätigt, dass ein Produkt vor dem Inverkehrbringen die geltenden EU-Regulierungsstandards erfüllt.

Auch wenn diese Fristen noch in weiter Ferne liegen, stellen viele Organisationen mit komplexen Lieferketten oder begrenzter SBOM-Transparenz bereits fest, dass die operative Vorbereitung deutlich länger dauert als erwartet.

Was Unternehmen häufig falsch über die CRA verstehen

Eines der häufigsten Missverständnisse ist die Annahme, dass die CRA (Consumer Reconstruction Act) primär eine IoT-Verordnung sei. Zwar fallen vernetzte Endgeräte selbstverständlich in ihren Anwendungsbereich, doch die Verordnung ist deutlich umfassender, als viele Unternehmen zunächst annehmen. Unternehmenssoftware, Cloud-Plattformen, Industrietechnologien, eingebettete Softwaresysteme und eine Vielzahl vernetzter Produkte können betroffen sein.

Ein weiterer Irrtum besteht darin, dass die Verordnung nur für Organisationen mit Hauptsitz in der EU gilt. Tatsächlich gilt die CRA für alle Organisationen, die Produkte mit digitalen Elementen auf dem EU-Markt anbieten, unabhängig vom Standort des Unternehmens. Britische und US-amerikanische Organisationen, die nach Europa exportieren, unterliegen denselben Verpflichtungen wie Anbieter mit Sitz in der EU.

Es besteht zudem die Tendenz, den praktischen Nutzen der Verordnung zu unterschätzen. Die CRA ist nicht bloß eine Dokumentationsübung oder ein weiteres richtlinienbasiertes Compliance-Framework. Sie verpflichtet Organisationen, Nachweise über sichere Entwicklungspraktiken, Prozesse zum Umgang mit Schwachstellen, Patch-Management-Fähigkeiten und die kontinuierliche Produktsicherheitswartung vorzulegen.

Dies bedeutet, dass die Verordnung voraussichtlich folgende Auswirkungen haben wird:

Ingenieur- und Entwicklungsteams
Produktfunktionen
DevOps- und Sicherheitsoperationen
Beschaffungs- und Lieferantenmanagement
Rechts- und Compliance-Teams
Exekutive Führung

Viele Organisationen unterschätzen zudem den erforderlichen Vorbereitungsaufwand. Die größte Herausforderung dürfte weniger im Verständnis der Vorschriften selbst liegen. Vielmehr mangelt es häufig an operativer Bereitschaft. Typische Defizite sind:

Eingeschränkte Transparenz hinsichtlich Softwarekomponenten und Abhängigkeiten
Unvollständiges SBOM-Management
Schwache Lieferantenüberwachung
Fragmentierte Schwachstellenmanagementprozesse
Unausgereifte Eskalations- und Meldeverfahren
Schwierigkeiten beim Nachweis von sicheren Entwicklungspraktiken

Viele Unternehmen konzentrieren sich zunächst auf die finanziellen Strafen im Zusammenhang mit der Verordnung und vernachlässigen dabei die weiterreichenden wirtschaftlichen Folgen. Die Behörden können den Verkauf einschränken, Abhilfemaßnahmen anordnen, Rückrufe erzwingen oder nicht konforme Produkte vollständig vom EU-Markt nehmen. Für viele Organisationen dürfte der fortgesetzte Zugang zum europäischen Markt letztendlich der stärkste Anreiz für die Einhaltung der Vorschriften sein.

Die Strafen bei Nichteinhaltung

Die finanziellen Strafen nach dem Cybersecurity Regulation Act (CRA) sind erheblich. Bei schwersten Verstößen drohen Unternehmen Geldstrafen von bis zu 15 Millionen Euro oder 2.5 % ihres weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Diese Strafen können verhängt werden, wenn Unternehmen die Anforderungen an die Cybersicherheit nicht erfüllen, ihren Meldepflichten nicht nachkommen oder nicht konforme Produkte in Verkehr bringen.

Zusätzliche Strafen können verhängt werden, wenn Organisationen den Aufsichtsbehörden ungenaue oder irreführende Informationen übermitteln.

Die finanziellen Strafen allein erfassen jedoch nicht das gesamte mit der Regulierung verbundene Geschäftsrisiko. Die potenziellen Auswirkungen auf den Marktzugang, das Kundenvertrauen, die Beschaffungsberechtigung und die Lieferantenbeziehungen könnten sich als noch weitaus bedeutender erweisen.

Vorbereitung auf die CRA: Wo anfangen?

Für viele Organisationen Die Vorbereitung erfordert mehr als die Überprüfung von Richtlinien oder die Aktualisierung von Compliance-Dokumentationen.Die Verordnung wird Unternehmen voraussichtlich dazu zwingen, zu prüfen, wie Sicherheit in Produktdesign, Entwicklung, Wartung, Lieferantenüberwachung und Reaktion auf Sicherheitsvorfälle integriert wird.

Für viele Organisationen ist der beste Ausgangspunkt die Abgrenzung: zu verstehen, welche Produkte unter die Verordnung fallen und welche nicht. Darauf aufbauend kann die Vorbereitung in einer logischen Reihenfolge erfolgen:

Grundlage: Sichtbarkeit schaffen. Die meisten Organisationen stellen fest, dass die größte anfängliche Herausforderung nicht in der Prozessreife, sondern in der grundlegenden Transparenz liegt, insbesondere in der Fähigkeit, Softwarekomponenten und Abhängigkeiten mithilfe einer gepflegten Software-Stückliste (SBOM) abzubilden. Ohne diese Transparenz fehlt es dem Schwachstellenmanagement und der Lieferantenüberwachung an einer verlässlichen Grundlage.

Prozess: Schwachstellen beheben und Reaktion auf Sicherheitsvorfälle verbessern. Sobald Transparenz geschaffen ist, können Organisationen den Reifegrad ihrer Schwachstellenmanagementprozesse, ihre Fähigkeit, die aggressiven Meldefristen der CRA einzuhalten, und die Effektivität der Eskalationswege zwischen den Bereichen Engineering, Sicherheit und Compliance beurteilen.

Zusicherung: Nachweis sicherer, von vornherein auf Design basierender Praktiken. Die letzte Ebene besteht darin, nachzuweisen, dass Sicherheit von Anfang an in den Entwicklungszyklus integriert und nicht nachträglich hinzugefügt wurde. Dies ist typischerweise der Punkt, an dem Organisationen mit ausgereiften Governance-Rahmenwerken, wie beispielsweise ISO 27001, sind besser positioniert.Die Kontrollinfrastruktur ist bereits vorhanden; sie muss erweitert und auf die Produktsicherheit ausgerichtet werden.

Aus diesem Grund gleichen viele Unternehmen ihre bestehenden Governance- und Sicherheitsrahmen zunehmend an die neuen Produktsicherheitsanforderungen an. Rahmenwerke allein garantieren keine Konformität, aber Organisationen mit ausgereiften Governance-, Risikomanagement-, Lieferantenüberwachungs- und Incident-Response-Fähigkeiten dürften besser aufgestellt sein, wenn die CRA-Verpflichtungen in Kraft treten.

Die Reiserichtung

Der Cyber Resilience Act (CRA) stellt eine bedeutende Weiterentwicklung der Cybersicherheitsregulierung dar. Anstatt sich ausschließlich auf die Unternehmensführung oder Resilienz zu konzentrieren, legt der CRA die Cybersicherheitsanforderungen direkt auf digitale Produkte selbst. Für Unternehmen, die auf dem europäischen Markt tätig sind, dürfte dies nicht nur eine Frage der Compliance, sondern auch der Produktstrategie, der operativen Resilienz und des Geschäftsvertrauens werden.

Die Organisationen, die am besten auf eine erfolgreiche Reaktion vorbereitet sind, dürften diejenigen sein, die die CRA nicht nur als eine Compliance-Übung in letzter Minute betrachten, sondern sie als Teil eines umfassenderen Wandels hin zu einem von Grund auf sicheren Betrieb, stärkerer Resilienz und größerer Produktverantwortung begreifen.

Letztlich spiegelt die CRA eine umfassendere Realität wider, mit der moderne Unternehmen konfrontiert sind: Cybersicherheit ist nicht länger alleinige IT-Verantwortung. Sie entwickelt sich zunehmend zu einer zentralen Erwartung an Produktqualität, Kundenvertrauen und Marktzugang.