Einleitung
Für Hersteller von Software und vernetzten Geräten gelten künftig strengere Anforderungen an die Cybersicherheit ihrer Produkte. Mit dem Cyber Resilience Act (CRA) verpflichtet die Europäische Union Unternehmen dazu, Sicherheitsrisiken bereits bei der Entwicklung zu berücksichtigen und Schwachstellen auch nach dem Verkauf wirksam zu beheben.
Die wesentlichen Vorschriften der EU-Verordnung gelten ab dem 11. Dezember 2027. Erste Pflichten sind jedoch bereits seit dem 11. September 2026 zu beachten. Insbesondere müssen Hersteller bestimmte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle innerhalb kurzer Fristen melden.
Für betroffene Unternehmen bedeutet dies, dass sie nicht nur ihre Produkte, sondern auch interne Entwicklungs- und Sicherheitsprozesse überprüfen müssen.
Was ist drin für mich als Unternehmen?
Wer Software entwickelt, vernetzte Geräte herstellt oder digitale Produkte unter eigener Marke vertreibt, sollte frühzeitig klären, welche Anforderungen des Cyber Resilience Act für das eigene Unternehmen gelten. Eine rechtzeitige Vorbereitung kann helfen, kostspielige Nachbesserungen, Verzögerungen bei der Markteinführung und mögliche Sanktionen zu vermeiden.
Dieser Beitrag erläutert, welche Unternehmen und Produkte betroffen sind, welche Pflichten bereits gelten und welche Maßnahmen bis Ende 2027 erforderlich werden. So können Hersteller ihren Anpassungsbedarf einschätzen und notwendige Schritte rechtzeitig in ihre Produktentwicklung und Unternehmensplanung einbeziehen.
Kurz erklärt: Worum geht es rechtlich?
Grundlage ist die Verordnung (EU) 2024/2847, der sogenannte Cyber Resilience Act. Anders als eine EU-Richtlinie gilt die Verordnung unmittelbar in den Mitgliedstaaten und muss nicht erst in nationales Recht umgesetzt werden.
Welche Unternehmen sind betroffen?
Der CRA richtet sich insbesondere an Hersteller von sogenannten „Produkten mit digitalen Elementen“. Hierzu gehören beispielsweise Softwareanwendungen, Betriebssysteme, vernetzte Maschinen, Smart-Home-Geräte und einzelne Software- oder Hardwarekomponenten.
Entscheidend ist grundsätzlich, dass die Produkte im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden und eine direkte oder indirekte Datenverbindung zu anderen Geräten oder Netzwerken vorgesehen oder vernünftigerweise vorhersehbar ist.
Dabei können auch Unternehmen als Hersteller gelten, die Produkte von Dritten entwickeln lassen und anschließend unter eigenem Namen oder eigener Marke vertreiben. Für reine Cloud- oder SaaS-Dienstleistungen sowie bestimmte Open-Source-Projekte gelten Besonderheiten. Ob der CRA anwendbar ist, muss daher im Einzelfall geprüft werden (Art. 2 und 3 CRA).
Welche neuen Pflichten gelten?
Cybersicherheit bei der Produktentwicklung
Hersteller müssen künftig eine Bewertung der Cybersicherheitsrisiken durchführen und ihre Produkte entsprechend sicher gestalten. Dazu gehören beispielsweise sichere Standardeinstellungen, geeignete Schutzmechanismen und Maßnahmen zur Vermeidung bekannter ausnutzbarer Schwachstellen (vgl. Art. 13 CRA, Anhang I).
Schwachstellenmanagement und Sicherheitsupdates
Auch nach dem Inverkehrbringen müssen Hersteller Sicherheitslücken während eines festgelegten Unterstützungszeitraums wirksam behandeln und erforderliche Sicherheitsupdates bereitstellen. Dieser Zeitraum beträgt grundsätzlich mindestens fünf Jahre. Bei Produkten mit einer kürzeren erwarteten Nutzungsdauer kann er entsprechend kürzer ausfallen (vgl. Art. 13 Abs. 8 CRA).
Konformitätsbewertung und CE-Kennzeichnung
Vor dem Inverkehrbringen müssen Hersteller nachweisen, dass ihre Produkte die gesetzlichen Anforderungen erfüllen. Hierfür sind insbesondere eine technische Dokumentation, ein geeignetes Konformitätsbewertungsverfahren und eine EU-Konformitätserklärung erforderlich. Anschließend ist die CE-Kennzeichnung anzubringen. Bei bestimmten sicherheitsrelevanten Produktkategorien ist eine externe Konformitätsbewertung vorgeschrieben (vgl. Art. 13, 28 ff. CRA).
Meldepflichten bereits seit September 2026
Seit dem 11. September 2026 müssen Hersteller ihnen bekannt gewordene aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit ihrer Produkte beeinträchtigen, melden.
Dabei gelten insbesondere folgende Fristen:
- Innerhalb von 24 Stunden: Erste Warnmeldung nach Kenntniserlangung.
- Innerhalb von 72 Stunden: Weitergehende Meldung mit den verfügbaren Informationen.
- Abschlussbericht: Bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme; bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
Die Meldungen erfolgen über die zentrale Meldeplattform der EU-Cybersicherheitsagentur ENISA (vgl. Art. 14 und 16 CRA).
Die Meldepflichten können bereits für Produkte gelten, die vor Dezember 2027 auf den Markt gebracht wurden. Die übrigen Produktanforderungen gelten grundsätzlich für Produkte, die ab dem 11. Dezember 2027 erstmals in Verkehr gebracht werden. Für ältere Produkte können sie insbesondere bei wesentlichen Änderungen relevant werden (vgl. Art. 69 und 71 CRA).
Typische Fehler im Unternehmen
Ein wesentliches Risiko besteht darin, die Anforderungen des CRA erst zu spät, zum Beispiel kurz vor der Markteinführung eines Produkts zu berücksichtigen. Werden Sicherheitsvorgaben nicht bereits während der Entwicklung eingeplant, können nachträgliche Änderungen mit erheblichem Aufwand verbunden sein.
Auch die Verantwortung für zugekaufte Softwarekomponenten wird häufig unterschätzt. Hersteller müssen berücksichtigen, dass Sicherheitslücken in eingebundenen Komponenten die Sicherheit ihres gesamten Produkts beeinträchtigen können.
Problematisch ist außerdem, wenn Unternehmen keine klaren Zuständigkeiten für die Erkennung, Bewertung und Meldung von Sicherheitsvorfällen festgelegt haben. Angesichts der kurzen Meldefristen können fehlende interne Abläufe schnell zu Verstößen führen.
Praxisbeispiel
Ein mittelständisches IT-Unternehmen entwickelt und vertreibt vernetzte Zugangssysteme für Bürogebäude. Die Geräte lassen sich über eine eigene Software steuern und werden regelmäßig mit Sicherheitsupdates versorgt.
Im Oktober 2026 erfährt das Unternehmen, dass eine Schwachstelle in seiner Software bereits gezielt von Angreifern ausgenutzt wird. Obwohl die Systeme schon seit mehreren Jahren verkauft werden, greifen die neuen Meldepflichten des CRA. Das Unternehmen muss die Schwachstelle grundsätzlich innerhalb von 24 Stunden erstmals melden und innerhalb von 72 Stunden weitere Informationen übermitteln.
Für neue Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, muss das Unternehmen zusätzlich die umfassenden Cybersicherheits- und Konformitätsanforderungen erfüllen.
Das Beispiel verdeutlicht, dass die Pflichten des CRA nicht erst Ende 2027 relevant werden und bestehende Produkte bereits heute betroffen sein können.
Was Unternehmen konkret tun sollten
Unternehmen sollten die verbleibende Zeit nutzen, um ihre Produkte und internen Prozesse systematisch auf die Anforderungen vorzubereiten. Dabei empfiehlt sich insbesondere:
- Anwendungsbereich prüfen: Feststellen, welche Produkte und Geschäftsmodelle unter den CRA fallen und welche Rolle das Unternehmen in der Lieferkette einnimmt.
- Sicherheitsrisiken bewerten: Bestehende Entwicklungsprozesse überprüfen und produktbezogene Cybersicherheitsrisiken systematisch erfassen.
- Schwachstellenmanagement einrichten: Verfahren zur Erkennung und Behebung von Sicherheitslücken sowie zur Bereitstellung von Sicherheitsupdates festlegen.
- Meldeverfahren sicherstellen: Klare Zuständigkeiten und interne Abläufe schaffen, damit die bereits geltenden Meldefristen eingehalten werden können.
- Konformitätsanforderungen vorbereiten: Technische Dokumentationen erstellen und prüfen, welches Konformitätsbewertungsverfahren für die jeweiligen Produkte erforderlich ist.
Praxistipp der Kanzlei
Hersteller sollten zunächst ihr bestehendes Produktportfolio überprüfen und feststellen, für welche Produkte bereits Meldepflichten bestehen und welche ab Dezember 2027 die vollständigen Anforderungen erfüllen müssen.
Besonders sinnvoll ist es, die rechtlichen Anforderungen frühzeitig mit der technischen Produktentwicklung abzustimmen. Wer Sicherheitsprüfungen, Dokumentationspflichten und das Schwachstellenmanagement von Anfang an in bestehende Abläufe integriert, kann spätere Umstellungen und zusätzliche Kosten reduzieren.
Auch Verträge mit Softwareentwicklern und Zulieferern sollten überprüft werden, damit Verantwortlichkeiten für Sicherheitsupdates, Schwachstellenmeldungen und die Bereitstellung notwendiger Informationen eindeutig geregelt sind.
Wann rechtlicher Rat sinnvoll ist
Rechtliche Beratung ist insbesondere dann sinnvoll, wenn unklar ist, ob bestimmte Softwareprodukte, Cloud-Anwendungen oder Hardwarekomponenten in den Anwendungsbereich des CRA fallen.
Auch bei der Einordnung von Produkten in die jeweiligen Risikokategorien, der Gestaltung von Hersteller- und Zuliefererverträgen oder der Vorbereitung von Konformitätsbewertungsverfahren können rechtliche Fragen entstehen.
Verstöße gegen zentrale Anforderungen des CRA können nach Art. 64 der Verordnung mit erheblichen Geldbußen geahndet werden. Je nach Verstoß sind Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich, wobei insbesondere für kleinere Unternehmen bestimmte Sonderregelungen gelten.
