Leitfaden zur Cybersicherheits-Compliance

Leitfaden zum Cyber Resilience Act: Compliance für vernetzte Produkte

Der Cyber Resilience Act ist das erste horizontale Cybersicherheitsgesetz der EU für Produkte – und es gilt weit über die traditionelle IT hinaus. Wenn Ihr Produkt auf irgendeine Weise mit einem Netzwerk verbunden ist, fällt es wahrscheinlich in den Geltungsbereich. Hier erfahren Sie, was Hersteller wissen müssen.

Sehen Sie, wie ECP Ihnen helfen kann Wie ECP funktioniert

Was ist der Cyber Resilience Act?

Die Cyber Resilience Act (Verordnung (EU) 2024/2847) oder CRA ist das erste sektorübergreifende Gesetz der EU, das verbindliche Cybersicherheitsanforderungen festlegt Produkte mit digitalen Elementen (PDE)– eine Kategorie, die allgemein als jedes Hardware- oder Softwareprodukt definiert wird, dessen beabsichtigte oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datumnverbindung zu einem Gerät oder Netzwerk umfasst.

In der Praxis umfasst dies vernetzte Unterhaltungselektronik, IoT-Geräte, Netzwerkgeräte, industrielle Steuerungskomponenten, eigenständige Softwareanwendungen, Firmware und Betriebssysteme – im Wesentlichen jedes Produkt, das eine Verbindung herstellt, fernkonfigurierbar ist oder Datumn austauscht.

Wichtige Datumn

Datum	Meilenstein
10. Dezember 2024	CRA in Kraft getreten
11. September 2026	Es gelten die Pflichten zur Meldung von Sicherheitslücken und Vorfällen
11. Dezember 2027	Vollständige Anwendung – grundlegende Anforderungen, Konformitätsbewertung, CE-Kennzeichnungspflichten

Was ist ausgeschlossen?

Produkte, für die bereits branchenspezifische Vorschriften mit gleichwertigen Cybersicherheitsanforderungen gelten – z. B. Medizinprodukte gemäß MDR/IVDR, Kraftfahrzeuge, Ausrüstung für die Zivilluftfahrt, Fahrzeug- und Schiffsausrüstung
Software-as-a-Service (SaaS), es sei denn, es entspricht der Definition einer Remote-Datumnverarbeitungslösung, die für die Funktion eines Hardware-/Softwareprodukts unerlässlich ist
Kostenlose und Open-Source-Software, die außerhalb einer kommerziellen Tätigkeit entwickelt oder bereitgestellt wird
Produkte, die ausschließlich für die nationale Sicherheit oder militärische Zwecke entwickelt wurden

💡 Überschneidung mit der Maschinenverordnung und RED Vernetzte Maschinen müssen möglicherweise sowohl die CRA als auch die grundlegenden Anforderungen an die Cybersicherheit im neuen Jahr erfüllenMaschinenverordnung (EU) 2023/1230. Funkgeräte, die zuvor unter die Cybersicherheitsanforderungen der RED-Delegierten Verordnung 2022/30 fielen, werden im Allgemeinen von der CRA geregelt, sobald sie in Kraft tritt, um eine Doppelregulierung zu vermeiden – Hersteller sollten jedoch bestätigen, welches Regime während des Übergangs für ihr spezifisches Produkt gilt.

Produktklassifizierung

Kategorie	Beispiele	Konformitätsbewertung
Standard (≈90 % der Produkte)	Die meisten vernetzten Verbraucher- und Geschäftsprodukte	Selbsteinschätzung des Herstellers
Wichtig – Klasse I	Passwortmanager, VPN-Clients, Netzwerkverwaltungssoftware, Browser, Endpunktsicherheitssoftware	Selbstbewertung anhand harmonisierter Standards oder Bewertung durch Dritte, wenn Standards nicht angewendet werden
Wichtig – Klasse II	Firewalls, Intrusion Detection/Prevention-Systeme, manipulationssichere Mikroprozessoren, Smartcard-Lesegeräte	Bewertung durch Dritte (benannte Stelle) grundsätzlich erforderlich
Kritisch	Hardware-Sicherheitsmodule, Smart-Meter-Gateways und andere von der Kommission benannte Produkte	EU-Zertifizierungssystem für Cybersicherheit oder Bewertung durch Dritte

Wesentliche Kernanforderungen

Sicher durch Design und Standard– Produkte müssen mit einer sicheren Standardkonfiguration ausgeliefert werden und die Angriffsfläche minimieren
Keine bekannten ausnutzbaren Schwachstellen zum Zeitpunkt des Inverkehrbringens
Software-Stückliste (SBOM)– Hersteller müssen die im Produkt verwendeten Komponenten zumindest auf der obersten Abhängigkeitsebene dokumentieren
Prozess zur Schwachstellenbehandlung deckt den gesamten Supportzeitraum ab, einschließlich einer koordinierten Richtlinie zur Offenlegung von Schwachstellen
Kostenlose Sicherheitsupdates für die Dauer des definierten Supportzeitraums, automatisch bereitgestellt, sofern möglich
CE-Kennzeichnung– die CRA wird zu einer CE-Kennzeichnungsverordnung; Digital-Element-Produkte müssen neben allen anderen geltenden Richtlinien (RED, Maschinen, LVD usw.) das CE-Zeichen und eine EU-Konformitätserklärung zur CRA-Konformität tragen.

Schwachstellen- und Vorfallmeldung

Von 11. September 2026, Hersteller müssen ENISA und das relevante nationale CSIRT über Folgendes informieren:

Aktiv ausgenutzte Schwachstellen– Frühwarnung innerhalb 24 Stunden des Bewusstwerdens, vollständige Benachrichtigung innerhalb 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme
Schwerwiegende Vorfälle wirkt sich in einem vergleichbaren Zeitraum auf die Sicherheit des Produkts aus

Dies spiegelt den unter NIS2 verwendeten Melderhythmus wider und soll den EU-Behörden frühzeitig Einblick in Schwachstellen in der Lieferkette geben.

Die Supportzeitraumverpflichtung

Hersteller müssen eine erwartete Produktlebensdauer definieren und kostenlose Sicherheitsupdates für einen bereitstellen Supportzeitraum– im Allgemeinen mindestens 5 Jahre, es sei denn, die realistisch erwartete Lebensdauer des Produkts ist kürzer. Dies muss den Benutzern am Point of Sale mitgeteilt und bei der Engineering- und Supply-Chain-Planung berücksichtigt werden, da die Firmware-/Software-Update-Fähigkeit für den gesamten Supportzeitraum und nicht nur für die anfängliche Garantielaufzeit vorhanden sein muss.

Strafen

Art des Verstoßes	Höchststrafe
Grundlegende Cybersicherheitsanforderungen	15.000.000 € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Sonstige CRA-Pflichten (Berichterstattung, Dokumentation)	10.000.000 € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Falsche, unvollständige oder irreführende Informationen an Behörden	5.000.000 € oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Jetzt vorbereiten

Inventar verbundener Produkte und vergleichen Sie sie jeweils mit der Standard-/Wichtig-/Kritisch-Klassifizierung
Erstellen oder beschaffen Sie einen SBOM-Prozess für Ihre Software-Lieferkette
Führen Sie einen Prozess zur Offenlegung und Meldung von Schwachstellen ein vor Ablauf der Frist im September 2026
Supportzeiträume definieren pro Produktlinie und bestätigen Sie, dass Ihre Update-Infrastruktur für diesen Zeitraum liefern kann
Beauftragen Sie frühzeitig eine benannte Stelle wenn Sie über „wichtige“ oder „kritische“ Produkte der Klasse II verfügen, angesichts der erwarteten Nachfrage vor der Frist 2027

Ein vernetztes Produkt bauen?

Senden Sie auf ECP eine Anfrage mit einer Beschreibung der Konnektivitäts- und Datumnverarbeitungsfunktionen Ihres Produkts. Wir leiten es an benannte Stellen, Labore für Cybersicherheitstests und CRA-Compliance-Berater weiter, die Ihre Einstufung bestätigen und den Arbeitsumfang festlegen können.

Sehen Sie, wie ECP Ihnen helfen kann

Häufig gestellte Fragen

Welche Produkte deckt der Cyber Resilience Act ab?

Jedes Hardware- oder Softwareprodukt, dessen beabsichtigte oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datumnverbindung zu einem Gerät oder Netzwerk umfasst – eine breite Kategorie, die IoT, Netzwerkausrüstung, eigenständige Software und Firmware umfasst. Ausgenommen sind Produkte, für die bereits gleichwertige branchenspezifische Cybersicherheitsvorschriften gelten (z. B. MDR/IVDR-Medizinprodukte, Fahrzeuge, Luftfahrt).

Wann treten die Verpflichtungen des Cyber Resilience Act in Kraft?

In Kraft getreten am 10. Dezember 2024. Meldepflichten gelten ab 11. September 2026. Vollständige grundlegende Anforderungen und Konformitätsbewertung gelten ab 11. Dezember 2027.

Wie werden Produkte gemäß CRA klassifiziert?

Standardprodukte (~90 %) verwenden Selbstbewertung. „Wichtige“ Produkte der Klasse I (z. B. Passwort-Manager, VPNs) können sich häufig anhand harmonisierter Standards selbst bewerten; Klasse II (z. B. Firewalls, IDS) erfordert im Allgemeinen eine Bewertung durch Dritte. „Kritische“ Produkte benötigen eine Zertifizierung im Rahmen eines EU-Systems oder eine Bewertung durch Dritte.

Wie sieht der Zeitplan für die Meldung von Schwachstellen gemäß der CRA aus?

24-Stunden-Frühwarnung für aktiv ausgenutzte Schwachstellen, vollständige Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit eines Fixes. Schwerwiegende Vorfälle folgen einem ähnlichen Zeitplan.

Welche Strafen drohen bei Nichteinhaltung der CRA?

Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes für Verstöße gegen wesentliche Anforderungen, 10 Millionen Euro/2 % für andere Verpflichtungen und 5 Millionen Euro/1 % für irreführende Informationen gegenüber Behörden.

Finden Sie den richtigen Anbieter

Benannte Stelle

Erforderlich für „wichtige“ und „kritische“ Produkte der Klasse II mit digitalen Elementen.

Benannte Stelle finden →

Prüflabor

Cybersicherheits-, EMV- und RED-Tests für vernetzte Produkte.

Finden Sie ein Testlabor →

Bevollmächtigter EU-Vertreter

Obligatorisch für Nicht-EU-Hersteller, die Produkte mit digitalen Elementen auf den EU-Markt bringen.

Finden Sie einen EU-Vertreter →

Sie sind sich nicht sicher, was Sie brauchen?Sehen Sie, wie ECP Ihnen helfen kannund wir bringen Sie mit dem richtigen Experten zusammen.