Cyber Resilience Act (CRA) – EU-Verordnung 2024/2847 Leitfaden & Anforderungen

Der Cyber Resilience Act (CRA), offiziell geregelt in der EU-Verordnung 2024/2847, vereinheitlicht die gesetzlichen Vorschriften zur Cybersicherheit für Hardware- und Softwareprodukte mit digitalen Elementen im gesamten europäischen Binnenmarkt. Ziel des Regelwerks ist es, digitale Produkte mit weniger Schwachstellen auf den Markt zu bringen und Hersteller dazu zu verpflichten, die IT-Sicherheit über den gesamten Produktlebenszyklus hinweg sicherzustellen.

Wer ist vom Cyber Resilience Act betroffen?
Die Verordnung gilt nicht nur für klassische Software- und IT-Hersteller, sondern erstreckt sich entlang der gesamten Lieferkette – von Komponentenherstellern über Importeure bis hin zu Händlern.

Welche Produkte fallen unter den CRA?

• Produkte mit indirekter Verbindung: Der CRA gilt auch für Geräte ohne direkte Internetverbindung. Sobald ein Produkt digitale Daten verarbeitet und bei normaler oder vorhersehbarer Nutzung eine indirekte Verbindung (z. B. via USB, Bluetooth, WLAN oder in einem Firmennetzwerk) zu anderen Geräten aufbauen kann, greifen die Vorgaben.

• Embedded-Systeme & Industrieausrüstung: Die Verordnung schließt explizit eingebettete Systeme ein und richtet sich damit direkt an Maschinenbauer und Industrieausrüster.

• Kaufteile und Zulieferkomponenten: Werden Produkte in ein Endprodukt integriert, trägt der Endprodukthersteller die primäre Verantwortung für das Gesamtsystem, muss jedoch sicherstellen, dass alle verbauten Zulieferkomponenten die geforderten Standards erfüllen.

Welche Ausnahmen sieht die Verordnung vor?

• Bereits regulierte Branchen: Ausgenommen sind Produkte, die bereits durch spezielle EU-Vorschriften ausreichend abgesichert sind – wie Kraftfahrzeuge (gemäß Verordnung (EU) 2019/2144), Medizinprodukte, Militärprodukte, Luftfahrtprodukte und Schiffsausrüstung.

• Reine Offline-Produkte: Produkte, die weder direkt noch indirekt Daten austauschen, sind ausgenommen. Achtung: Dies gilt nur, wenn absolut keine Schnittstellen (auch keine theoretisch nutzbaren Wartungs- oder Update-Zugänge) vorhanden sind.
   

Zentrale Pflichten für Hersteller und Inverkehrbringer
Unternehmen, die digitale Produkte auf dem europäischen Markt bereitstellen, müssen umfangreiche Compliance-Anforderungen erfüllen:

1. Risikoanalyse und Security-by-Design: Durchführung fundierter Risikoanalysen zur Identifizierung von Bedrohungen sowie der Nachweis einer sicheren Produktentwicklung von Beginn an.

2. Sicherheitsmanagement & Updates: Implementierung eines kontinuierlichen Schwachstellenmanagements und der Bereitstellung von Sicherheitsupdates vor der Markteinführung.

3. Digitale Stückliste (SBOM): Führung einer lückenlosen Übersicht aller verwendeten Softwarekomponenten (Software Bill of Materials).

4. CE-Kennzeichnung: Konforme Produkte erhalten das CE-Zeichen als Nachweis der Erfüllung aller CRA-Standards.

Zeitplan: Die wichtigsten Meilensteine des CRA
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die Umsetzung erfolgt stufenweise bis zur vollständigen Wirksamkeit:

• 11. Juni 2026: Notifizierende Behörden müssen ihre Verfahren zur Bewertung und Benennung von Konformitätsbewertungsstellen etabliert haben.

• 11. September 2026 (Strenger Meldezeitpunkt): Hersteller vernetzter Produkte unterliegen der strengen Meldepflicht. Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen (Zero-Day-Exploits) müssen ab diesem Datum innerhalb kürzester Zeit (in der Regel innerhalb von 24 Stunden) an die nationalen CSIRTs (in Deutschland das BSI – Bundesamt für Sicherheit in der Informationstechnik) gemeldet werden.

• 11. Dezember 2026: EU-Mitgliedstaaten müssen sicherstellen, dass ausreichend akkreditierte Prüfstellen für Konformitätsbewertungen bereitstehen.

• 11. Dezember 2027 (Vollständige Anwendbarkeit): Der Cyber Resilience Act wird vollständig verbindlich. Ab diesem Stichtag dürfen in der EU ausschließlich Produkte verkauft werden, die den CRA-Vorgaben entsprechen, dokumentierte Sicherheitsstandards einhalten und das CE-Kennzeichen tragen.

Fazit
Cybersicherheit ist im Rahmen des CRA keine optionale Maßnahme mehr. Betroffene Unternehmen müssen jetzt prüfen, ob ihre Hard- und Software unter die Verordnung fällt, um Prozesse wie das Schwachstellenmanagement, die SBOM-Pflicht und die Vorbereitung auf die Meldepflichten fristgerecht zu implementieren.