Stellen Sie Software her, entwickeln Sie eine App oder verkaufen Sie vernetzte Geräte? Dann läuft für Sie gerade eine Uhr, die viele noch gar nicht ticken hören: Am 11. September 2026 greifen die ersten Meldepflichten des Cyber Resilience Act (CRA). Das ist in wenigen Wochen. Und selbst wenn Sie nichts dergleichen herstellen, sondern nur einkaufen, lohnt sich der Blick auf diese Verordnung. Denn sie verändert, was Sie von Ihren Lieferanten verlangen können.
Was der Cyber Resilience Act regelt
Der CRA ist eine EU-Verordnung, gilt also unmittelbar in Deutschland, ohne dass ein nationales Gesetz nötig wäre. Sein Grundgedanke ist einfach: Wer ein "Produkt mit digitalen Elementen" in der EU auf den Markt bringt, muss dessen Cybersicherheit über den gesamten Lebenszyklus gewährleisten. Gemeint sind Hardware und Software gleichermaßen: die smarte Kamera, der Router, die Branchensoftware, die Fitness-App.
Neu ist vor allem der Hebel: Cybersicherheit wird Teil der CE-Kennzeichnung. Ein Produkt ohne nachgewiesene Sicherheitseigenschaften darf künftig schlicht nicht mehr in Verkehr gebracht werden, genau wie ein Elektrogerät ohne Berührungsschutz. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Die Fristen im Überblick
| Datum | Was gilt |
|---|---|
| seit 10.12.2024 | Verordnung in Kraft, Übergangsfristen laufen |
| 11.09.2026 | Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen gemeldet werden |
| 11.12.2027 | Alle Hauptpflichten gelten: Neue Produkte brauchen die vollständige CRA-Konformität samt CE-Kennzeichnung |
Die Reihenfolge ist bewusst gewählt. Die EU will zuerst Sichtbarkeit über akute Bedrohungen schaffen und dann die Produktanforderungen scharfstellen.
Wer betroffen ist: mehr Unternehmen, als Sie denken
Der CRA adressiert Hersteller, Importeure und Händler. Der Herstellerbegriff ist dabei weit gefasst. Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und es unter eigenem Namen kommerziell anbietet. Das trifft den Maschinenbauer mit vernetzter Steuerung genauso wie das Softwarehaus mit zwölf Mitarbeitern oder die Agentur, die eine App unter eigener Marke vertreibt.
Ein paar wichtige Abgrenzungen:
- Reine SaaS-Dienste fallen grundsätzlich nicht unter den CRA, für sie gilt NIS-2. Ausnahme: Fernverarbeitung, die fester Bestandteil eines Produkts ist, etwa die Cloud-Anbindung einer Smart-Home-Kamera.
- Open-Source-Software ist nur betroffen, wenn sie im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird. Nicht-kommerzielle Projekte bleiben außen vor.
- Für bereits regulierte Bereiche wie Medizinprodukte oder Fahrzeuge gelten die dortigen Spezialregeln weiter.
Wichtig für die Einordnung: Der CRA stellt Anforderungen an das Produkt, NIS-2 und DORA dagegen an die Organisation. Wer Software herstellt und gleichzeitig als wichtige Einrichtung unter NIS-2 fällt, muss beides erfüllen. Was NIS-2 konkret verlangt, haben wir im Beitrag NIS-2 für KMU beschrieben, die Pflichten für Finanzunternehmen im DORA-Leitfaden für KMU.
Was ab September 2026 konkret gilt
Ab dem 11. September 2026 müssen Hersteller zwei Dinge melden: aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle, die die Produktsicherheit betreffen. Gemeldet wird über eine zentrale Plattform an das zuständige nationale CSIRT und die ENISA, und zwar in einem strammen Takt:
- Frühwarnung innerhalb von 24 Stunden, nachdem Sie von der ausgenutzten Schwachstelle Kenntnis erlangt haben
- Ausführliche Meldung innerhalb von 72 Stunden mit Bewertung, Schweregrad und ergriffenen Maßnahmen
- Abschlussbericht innerhalb von 14 Tagen, sobald eine Korrektur verfügbar ist
Wer diese Fristen halten will, braucht funktionierende Prozesse: eine erreichbare Meldestelle für Schwachstellen, klare interne Zuständigkeiten und die Fähigkeit, einen Vorfall überhaupt binnen Stunden zu erkennen und zu bewerten. Das baut niemand in einer Woche auf. Deshalb ist jetzt der richtige Zeitpunkt, damit anzufangen.
Was bis Dezember 2027 zu tun ist
Ab dem 11. Dezember 2027 gilt das volle Programm für alle neu in Verkehr gebrachten Produkte. Die Kernpflichten für Hersteller:
- Security by Design: Risikobewertung schon in der Entwicklung, sichere Standardkonfiguration, keine bekannten ausnutzbaren Schwachstellen bei Auslieferung
- Schwachstellenmanagement: Prozesse, um Schwachstellen zu identifizieren, zu beheben und Sicherheitsupdates bereitzustellen, in der Regel über einen Supportzeitraum von mindestens fünf Jahren
- Technische Dokumentation und Konformitätsbewertung: je nach Produktklasse als Selbsteinschätzung oder mit externer Prüfstelle, als Grundlage für die CE-Kennzeichnung
- Transparenz für Nutzer: verständliche Informationen zu Sicherheitseigenschaften, Supportzeitraum und Update-Bezug
Für die meisten KMU-Produkte reicht die Selbsteinschätzung. Aufwand entsteht trotzdem, vor allem bei der Dokumentation und beim Nachweis eines sauberen Entwicklungsprozesses.
Und wenn Sie gar nichts herstellen?
Dann ist der CRA Ihr neues Einkaufsargument. Ab Ende 2027 dürfen Sie erwarten, dass neue Software und vernetzte Geräte CRA-konform sind: mit zugesichertem Supportzeitraum, Update-Versorgung und dokumentierten Sicherheitseigenschaften. Nehmen Sie das in Ihre Beschaffungskriterien auf. Fragen Sie Anbieter konkret: Wie lange gibt es Sicherheitsupdates? Wo melde ich Schwachstellen? Ein Anbieter, der darauf keine Antwort hat, disqualifiziert sich künftig selbst.
Ob und wie stark die verschiedenen EU-Regulierungen Ihr Unternehmen treffen, können Sie übrigens in wenigen Minuten mit unserem kostenfreien Compliance-Checker einordnen.
Häufige Fragen
Betrifft der CRA auch unsere intern entwickelte Software? Nein, solange Sie die Software nur selbst nutzen und nicht auf dem Markt bereitstellen. Sobald Sie sie aber verkaufen, lizenzieren oder als Teil eines Produkts anbieten, sind Sie Hersteller im Sinne der Verordnung.
Gilt der CRA für Produkte, die schon auf dem Markt sind? Die Hauptpflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Bestandsprodukte sind nur betroffen, wenn sie danach wesentlich verändert werden. Die Meldepflichten ab September 2026 gelten dagegen für alle Produkte mit digitalen Elementen, die ein Hersteller anbietet.
Wir sind Händler und stellen nichts her. Müssen wir etwas tun? Ja, wenn auch deutlich weniger. Händler müssen prüfen, ob die Produkte eine CE-Kennzeichnung tragen und die erforderlichen Informationen beiliegen. Wer Produkte unter eigener Marke verkauft, rutscht allerdings in die Herstellerrolle samt aller Pflichten.
Reicht unsere ISO-27001-Zertifizierung nicht aus? Nein. ISO 27001 betrifft Ihre Organisation, der CRA Ihr Produkt. Ein sauberes Managementsystem hilft bei der Umsetzung, ersetzt aber weder die Konformitätsbewertung noch die produktbezogenen Pflichten.
Fazit: Die Uhr läuft, aber sie läuft für Vorbereitete
Der Cyber Resilience Act kommt nicht irgendwann, er kommt in zwei klaren Stufen: Meldepflichten im September 2026, volle Produktpflichten im Dezember 2027. Hersteller sollten jetzt ihre Produkte inventarisieren, Meldeprozesse aufsetzen und die Dokumentation angehen. Einkäufer sollten CRA-Konformität in ihre Lieferantenauswahl aufnehmen.
Wenn Sie unsicher sind, wo Ihr Unternehmen steht, unterstützen wir Sie gerne: von der Einordnung Ihrer Betroffenheit bis zum Aufbau der nötigen IT-Sicherheitsprozesse, mit einem festen Ansprechpartner und ohne Overengineering. Das Erstgespräch ist kostenfrei.
Dieser Beitrag dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Für eine verbindliche Bewertung Ihrer individuellen Pflichten konsultieren Sie bitte fachkundigen Rechtsrat.