Was ist der CRA?
Der CRA (Cyber Resilience Act — EU-Verordnung 2024/2847) ist ein europäisches Gesetz, das Mindesanforderungen an die Cybersicherheit für alle in der EU verkauften Produkte mit digitalen Elementen festlegt. Kurz: Wenn Ihr Produkt sich mit einem Netzwerk verbindet oder Software ausführt, muss es von Anfang an sicher sein und während seiner gesamten Lebensdauer sicher bleiben.
Die Logik ist einfach. Bisher durchlief eine Maschine oder ein Gerät physische Sicherheitsprüfungen (die klassische CE-Kennzeichnung). Der digitale Teil — Software, Konnektivität, Updates — war praktisch unreguliert. Der CRA verlagert die Sicherheitsverantwortung vom Nutzer auf den Hersteller: Das Produkt muss sicher sein, bevor Sie es verkaufen, nicht nachdem jemand gehackt wurde.
Wen betrifft es?
Hersteller, Importeure und Händler, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen: Maschinen mit vernetzten Steuerungspanelen, IoT-Geräte, installierbare Anwendungen, als eigenständiges Produkt gelieferte Software, Geräte mit Online-Updates. Das Gesetz gilt unabhängig vom Standort des Herstellers — wenn ein EU-Kunde das Produkt kaufen kann, sind Sie betroffen.
Was NICHT unter den CRA fällt
Reines SaaS (alle Verarbeitung auf den Servern des Anbieters, Zugriff über Browser/API). Hinweis: NIS2 und DSGVO bleiben anwendbar.
Open-Source-Software, die ohne kommerziellen Zweck entwickelt wurde.
Kategorien, die durch andere Gesetze abgedeckt sind (Medizinprodukte, Automobil, Luftfahrt).
Wichtige Termine
11. Juni 2026 — Beginn der Akkreditierung von Konformitätsbewertungsstellen.
11. September 2026 — Pflichtmeldung aktiv ausgebeuteter Schwachstellen und schwerwiegender Vorfälle: 24 Stunden (erste Meldung), 72 Stunden (ausführlicher Bericht), 14 Tage (Abschlussbericht).
11. Dezember 2027 — vollständige Anwendung: CE-Kennzeichnung und Konformitätserklärung für alle neuen Produkte erforderlich.
Produkte müssen außerdem mindestens 5 Jahre lang (oder für die Lebensdauer des Produkts, falls kürzer) Sicherheitsupdates erhalten.
Was Sie riskieren
Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes. Hinweis: Kleinstunternehmen und kleine Unternehmen sind von der Geldbuße für verzögerte 24-Stunden-Meldungen befreit (Art. 64(10)), die Meldepflicht bleibt jedoch bestehen.
Was Sie tun müssen, kurz gefasst
Bestimmen Sie, welche Produkte unter den CRA fallen.
Integrieren Sie Sicherheit by Design von Anfang an.
Führen Sie eine Software-Komponentenliste (SBOM) und einen Schwachstellenmanagement-Prozess.
Bereiten Sie die technische Dokumentation und die Konformitätserklärung vor.
Richten Sie das 24h/72h/14-Tage-Meldeverfahren ein.