Cyber Resilience Act: Pflichten für Hersteller und Einführer

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 vom 23. Oktober 2024. Sie ist am 20. November 2024 im Amtsblatt der EU veröffentlicht worden und trat 20 Tage später, am 10. Dezember 2024, in Kraft. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten. Es gibt keinen nationalen Umsetzungsakt, keine Übergangsregelung des deutschen Gesetzgebers, keinen Spielraum für Interpretation. Der Rechtsbestand steht fest, die Fristen laufen.

Rechtlich ist der CRA eine horizontale Produktsicherheitsverordnung. Sie setzt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen - von der vernetzten Maschine über B2B-Software bis zur mobilen App. Die Abgrenzung zur NIS-2-Richtlinie ist eindeutig: NIS-2 (über §§ 30, 38 BSIG) schützt Unternehmen und kritische Infrastrukturen. Der CRA schützt die Produkte selbst. Beide Regelwerke treffen Ihr Unternehmen möglicherweise gleichzeitig, verlangen aber unterschiedliche Nachweise. Wer NIS-2-konform organisiert ist, hat damit keine einzige CRA-Pflicht erfüllt.

Die Sanktionen stehen in Art. 64 CRA. Verstöße gegen die wesentlichen Cybersicherheitsanforderungen aus Anhang I sowie gegen die Pflichten aus Art. 13 und Art. 14 CRA kosten bis zu 15.000.000 EUR oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Für weitere Pflichtenverletzungen gelten bis zu 10.000.000 EUR oder 2 %, für falsche Angaben gegenüber Behörden bis zu 5.000.000 EUR oder 1 %. Dazu kommt der Marktzugang: Ohne Konformitätsbewertung und CE-Kennzeichnung darf Ihr Produkt ab dem 11. Dezember 2027 nicht mehr in der EU in Verkehr gebracht werden.

Das ist die Kernaussage dieses Beitrags: Der CRA ist eine Marktzugangs- und Haftungsfrage. Die Entscheidung, ob Ihr Produkt ab Ende 2027 noch verkauft werden darf, trifft nicht das Entwicklerteam. Sie trifft die Geschäftsführung - vergleichbar mit der Aufsichtspflicht nach § 130 OWiG, die die Bestellung und Überwachung von Beauftragten bereits heute zur Chefsache macht. Die Aufsichtsbehörde liest keine Ausreden, sondern Bestellurkunden. Im CRA-Fall liest sie Konformitätserklärungen und technische Dokumentation.

Die Verordnung (EU) 2024/2847 definiert den Begriff in Art. 3 Nr. 1: ein Software- oder Hardwareprodukt samt seiner entfernten Datenverarbeitungslösungen, einschließlich separat vermarkteter Komponenten. Art. 2 Abs. 1 zieht die Grenze: Erfasst ist, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk einschließt. Das ist weit. Vernetzte Industriesteuerungen, Smart-Home-Geräte, Mikrochips, B2B-Software, Apps, Computerspiele. Auch Cloud-Dienste, ohne die das Produkt seine Funktion nicht erfüllt, zählen als Datenfernverarbeitung dazu.

Der CRA ist horizontal, nicht exklusiv. Art. 2 Abs. 2 bis 7 nennt die Ausnahmen. Sie gelten, weil für diese Produkte bereits eigene Unionsvorschriften Cybersicherheitsanforderungen stellen. Prüfen Sie die Ausnahme im Einzelfall: Sie befreit das Produkt, nicht den Hersteller von jeder Sorgfalt.

Freie und Open-Source-Software ist nicht pauschal befreit. Außerhalb bleibt, wer Software ohne kommerzielle Aktivität bereitstellt. Sobald Sie sie gegen Entgelt anbieten oder kommerziell in Produkte einbauen, greift die Verordnung. Wer Open-Source-Projekte systematisch unterstützt und deren Fortbestand sichert, wird als Verwalter quelloffener Software (Open Source Steward) selbst zum Wirtschaftsakteur mit eigenen, abgeschwächten Pflichten: Die Geldbußen nach Art. 64 Abs. 3 bis 9 CRA gelten für ihn bei Verstößen gegen die Verordnung nicht.

Entscheidend ist das Inverkehrbringen. Art. 3 Nr. 21 definiert es als erstmaliges Bereitstellen auf dem Unionsmarkt, ob gegen Entgelt oder unentgeltlich. Jedes einzelne Produktexemplar zählt: der Download, die Einzelanfertigung, das Update im Feld. Eine wesentliche Änderung nach Art. 3 Nr. 30, etwa ein großes Funktionsupdate, gilt als erneutes Inverkehrbringen und löst die Pflichten erneut aus. Ab dem 11. Dezember 2027 gelten alle übrigen Pflichten der Verordnung, die Meldepflichten nach Art. 14 laufen schon ab dem 11. September 2026. Die sichtbare Folge der Konformität ist die CE-Kennzeichnung, deren Pflichten wir an anderer Stelle ausführlich behandeln.

Art. 13 Verordnung (EU) 2024/2847 macht den Hersteller zum Verantwortlichen für die gesamte Lebensdauer des Produkts. Die wesentlichen Cybersicherheitsanforderungen aus Anhang I Teil I gelten nicht nur für das fertige Gerät, sondern für Planung, Entwicklung, Produktion, Auslieferung und Wartung. Wer Komponenten von Dritten integriert, muss auch deren Schwachstellen über den Unterstützungszeitraum wirksam behandeln, ebenso bei Open-Source-Bausteinen.

Anhang I Teil I verlangt eine sichere Standardkonfiguration: kein Standardpasswort, minimale Angriffsfläche, Kryptographie, automatische Updates. Die Grundlage ist eine dokumentierte Cyber-Risikobewertung nach Art. 13 der Verordnung (EU) 2024/2847, die das Gesamtsystem einschließlich zugekaufter Komponenten erfasst und während des Unterstützungszeitraums fortgeschrieben wird. Dazu gehört eine Software-Stückliste (SBOM) als Teil der technischen Dokumentation.

Diese Pflichten sind dokumentationsintensiv und dauerhaft. Wer sie strukturiert angeht, legt Aufgaben, Fristen und Nachweise pro Produktmandat an, statt sie in verteilten Ordnern zu pflegen. Die CE-Kennzeichnung und die Konformitätsbewertung, die am Ende dieser Kette stehen, behandelt der nächste Abschnitt; die Herstellerpflichten bei der aus dem GPSR- und ProdSG-Kontext folgen einer vergleichbaren Logik. Entscheidend ist: Die Geschäftsleitung trägt die Verantwortung, nicht der Entwicklungsteam-Alltag. Nachweise entstehen pro Aufgabe, nicht am Jahresende.

Der CRA endet nicht beim Hersteller. Die Verordnung verteilt die Verantwortung entlang der gesamten Lieferkette: Neben dem Hersteller treffen auch Einführer und Händler eigene Pflichten. Einführer und Händler sind keine Durchgangsstationen. Sie sind Prüfinstanzen. Wer nichts prüft, rückt selbst in die Haftung. Diese Systematik ist kein Nebenprodukt, sondern Kern des Regelungsmodells.

Einführer müssen vor dem Inverkehrbringen sicherstellen, dass der Hersteller die Verordnung eingehalten hat: Konformitätsbewertung durchgeführt, technische Dokumentation erstellt, CE-Kennzeichnung am Produkt, EU-Konformitätserklärung und Nutzerinformationen beigefügt. Besteht der begründete Verdacht der Nichtkonformität, gilt ein klares Verbot: Das Produkt darf erst in Verkehr gebracht werden, wenn die Konformität hergestellt ist. Die EU-Konformitätserklärung ist mindestens zehn Jahre oder für den Unterstützungszeitraum bereitzuhalten und die technische Dokumentation der Marktüberwachung auf Verlangen vorzulegen.

Die CE-Kennzeichnung ist dabei nur der sichtbarste Prüfpunkt. Ihre rechtlichen Voraussetzungen, Konformitätsbewertung und technische Dokumentation, behandelt unser Beitrag zu den Herstellerpflichten bei der CE-Kennzeichnung. Händler prüfen mit gebührender Sorgfalt, ob die Kennzeichnung trägt und die Anweisungen beiliegen, bevor sie verkaufen. Wer ein Produkt unter eigenem Namen vertreibt oder nachträglich wesentlich verändert, rückt selbst in die Herstellerrolle und übernimmt sämtliche Pflichten nach Art. 13 CRA.

Und der CRA regelt den Marktzugang, nicht den Firmensitz. Ein Produkt mit digitalen Elementen, das unter der Marke eines Unternehmens mit Sitz außerhalb der EU in Verkehr gebracht wird, macht den in der Union ansässigen Einführer per Definition zum Verantwortlichen. Der Nicht-EU-Hersteller unterliegt denselben Pflichten, aber die Umsetzungsverantwortung liegt in der Lieferkette, und die sitzt in der EU.

Diese Prüfpflichten sind dokumentationspflichtige Dauerprozesse, keine Einmalaktion vor der ersten Bestellung. Jede Verifikation braucht einen belastbaren Nachweis: mit Zeitstempel, am richtigen rechtlichen Kriterium abgelegt, exportierbar, wenn die Marktüberwachung fragt. Wer Prüfprozesse heute nicht dokumentiert, liefert sie später unter Zeitdruck nach. Die Aufsichtsbehörde akzeptiert weder mündliche Zusicherungen noch verstreute E-Mail-Threads.

Ab dem 11. September 2026 gilt Art. 14 der Verordnung (EU) 2024/2847. Hersteller melden dann aktiv ausgenutzte Schwachstellen und schwere Vorfälle, die die Sicherheit ihres Produkts mit digitalen Elementen betreffen. Die Fristen laufen ab dem Zeitpunkt, in dem der Hersteller Kenntnis erlangt. Nicht ab dem Zeitpunkt, in dem die Meldung bequem passt.

Die Mechanik ist bewusst einfach gehalten: Sie melden einmal, nicht 27-mal. Das koordinierende CSIRT verteilt die Meldung weiter. Ihre Aufgabe bleibt trotzdem operativ: Sie müssen im Vorfeld festlegen, wer im Unternehmen Kenntnis zu wem eskaliert, wer die technische Bewertung durchführt und wer unterschreibt. Eine Meldung binnen 24 Stunden entsteht nicht im Krisenfall. Sie entsteht in dem Prozess, den Sie vorher gebaut haben.

Zwei Abgrenzungen sparen Ihnen unnötige Meldungen. Erstens: Eine bloß bekannte, nicht ausgenutzte Schwachstelle löst die Frist nicht aus. Die Meldepflicht greift erst bei aktiver Ausnutzung oder bei einem schweren Vorfall mit Auswirkung auf die Sicherheit des Produkts. Zweitens: Art. 69 Abs. 3 erfasst auch Bestandsprodukte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Das Baujahr startet die Meldepflicht nicht neu. Wer legacy Geräte im Feld hat, braucht einen Laufplan für Updates und einen Meldeweg, der auch für diese Geräte funktioniert.

Unsere Einschätzung als Betreiber von Compliance-Mandaten: Dokumentieren Sie jede Schwachstellenbewertung mit Zeitstempel und Entscheidung, auch die Fälle, in denen Sie nicht melden. Genau diese Akte prüft die Aufsicht, wenn ein Vorfall später groß wird. Die 24-Stunden-Frist ist kein IT-Kennwert. Sie ist eine Organisationsleistung der Geschäftsleitung.

Konformität ist kein Zustand, sondern ein Nachweis. Und dieser Nachweis muss vor dem Inverkehrbringen vorliegen: Die technische Dokumentation nach Art. 23 in Verbindung mit Anhang V der Verordnung (EU) 2024/2847 beschreibt Risikobewertung, umgesetzte Sicherheitsanforderungen und den Umgang mit Schwachstellen. Darauf folgt die EU-Konformitätserklärung, dann die CE-Kennzeichnung am Produkt. Es gibt kein separates CRA-Siegel. Das bestehende CE-Zeichen trägt künftig auch die Cybersicherheitsanforderungen. Dokumentation und Konformitätserklärung sind mindestens zehn Jahre oder für den Supportzeitraum aufzubewahren.

Welche Produkte in Anhang III und IV tatsächlich gemeint sind, legt die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 fest. Sie konkretisiert die technischen Beschreibungen der Kategorien. Der praktische Umsetzungsweg führt über harmonisierte Normen von CEN, CENELEC und ETSI: Wer sie vollständig anwendet, löst die Vermutungswirkung der Konformität aus.

Für die Geschäftsleitung zählt die operative Konsequenz: Die technische Dokumentation ist kein Projekt mit Enddatum, sondern ein Archiv, das über zehn Jahre mit jedem Update, jeder SBOM und jedem Schwachstellenbefund wächst. Wer diese Nachweisführung CE-Kennzeichnung von Anfang an strukturiert aufbaut, besteht die Bewertung ohne Sonderaktion. Wer sie nachträglich rekonstruiert, verliert Zeit, die der Marktzeitplan nicht hergibt.

Der CRA wird nicht an einem einzigen Tag anwendbar. Er tritt in vier Stufen in Kraft, und die erste durchsetzbare Pflicht liegt nicht am Ende, sondern mitten im Zeitplan: die Meldepflicht nach Art. 14 CRA greift mehr als fünfzehn Monate vor der vollständigen Anwendbarkeit. Wer auf Dezember 2027 wartet, verliert diese Frist aus den Augen. Die Stufen im Überblick:

Das Sanktionsrisiko ist kein Papierdatum. Art. 64 CRA verpflichtet die Mitgliedstaaten zu Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei Verstößen gegen die grundlegenden Anforderungen, die Herstellerpflichten nach Art. 13 oder die Meldepflichten nach Art. 14. Daneben drohen Marktrücknahme und Rückruf. Für die Geschäftsführung gilt dieselbe Logik wie bei § 130 OWiG: Die Behörde prüft, ob ein funktionierendes System existiert, nicht ob gute Absichten vorhanden waren.

Nachweiskette und Fristensteuerung laufen nur mit System. Der CIVAC Workspace bildet Meldefristen, Audits und Dokumentation revisionssicher in einer Oberfläche ab: Jede Aufgabe wird mit Zeitstempel und Unterschrift dokumentiert und ist exportierbar in dem Moment, in dem die Marktüberwachung danach fragt. Die 24-Stunden-Frist des Art. 14 CRA ist damit keine Organisationslücke mehr, sondern ein ablegbarer Nachweis. Compliance. Gelöst.

Die Verordnung (EU) 2024/2847 ist seit dem 10. Dezember 2024 in Kraft und wird in Stufen anwendbar: Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, ab dem 11. Dezember 2027 alle übrigen Anforderungen inklusive Konformitätsbewertung und CE-Kennzeichnung.

Ja. Produkte mit digitalen Elementen umfassen sowohl vernetzte Hardware (IoT-Geräte, Smart Home, Industriesteuerungen) als auch Software wie Apps, Computerspiele und B2B-Anwendungssoftware. Faustregel: Software mit externer Schnittstelle, die im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt wird, fällt unter den CRA.

Ja. Art. 69 Abs. 3 CRA dehnt die Meldepflicht auf alle Produkte mit digitalen Elementen aus, die vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden. Das Baujahr spielt keine Rolle - es ist die einzige Regelung des CRA, die Bestandsprodukte auf diese Weise erfasst.

Nach Art. 64 drohen bei Verstößen gegen die wesentlichen Cybersecurity-Anforderungen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Zusätzlich können Marktüberwachungsbehörden Produktmaßnahmen bis zum Rückruf anordnen. Kleinst- und kleinen Unternehmen entfallen Bußgelder für versäumte 24-Stunden-Frühwarnungen, nicht aber die Meldepflicht selbst.

Die Meldepflicht nach Art. 14 trifft den Hersteller. Einführer und Händler tragen aber eigene Prüfpflichten: Einführer müssen verifizieren, dass der Hersteller die Verordnung eingehalten hat (CE-Kennzeichnung, Konformitätserklärung, technische Dokumentation), Händler müssen die CE-Kennzeichnung und die beiliegenden Anweisungen prüfen. Wer diese Prüfpflichten verletzt, haftet selbst wie ein Hersteller.

Über den gesamten Supportzeitraum, der sich an der erwarteten Nutzungsdauer des Produkts orientiert und grundsätzlich mindestens fünf Jahre beträgt - bei langlebigen Industrieprodukten auch länger. Sicherheitsrelevante Updates müssen für Endnutzer kostenlos sein, und das Ende des Supportzeitraums muss vor dem Kauf kommuniziert werden.

Nicht-kommerzielle Open-Source-Software ohne Gewinnerzielungsabsicht ist ausgenommen. Sobald kommerzieller Support oder kostenpflichtige Enterprise-Versionen angeboten werden, greift der CRA in der Regel dennoch. Für Verwalter quelloffener Software (Open Source Stewards) gilt eine eigene, abgeschwächte Pflichtenregelung.

Die NIS-2-Richtlinie adressiert die Cybersicherheit von Unternehmen und kritischen Infrastrukturen, der CRA regelt die Sicherheit der Produkte selbst. Ein CRA-konformes Produkt hilft NIS-2-pflichtigen Betreibern, ihre eigenen Anforderungen zu erfüllen - beide Rechtsakte greifen aber an unterschiedlichen Stellen und ergänzen sich.